Imre kasutab arvutit - Kasutaja kaastöö [et]

MacOS operatsioonisüsteemi kasutamine füüsilise MacBook Air M4 arvutiga

2026-08-05T17:37:24Z

Imre: /* WindBox 4.1 -> 4.2 uuendamine */

===Sissejuhatus===

TODO

Apple system level innovations

* XNU hybrid kernel (Mach + BSD + I/O Kit).
* Read-only, sealed root filesystem.
* APFS (snapshots, sealing, native encryption).
* Secure Enclave (separate CPU/resources).
* Cryptographic boot chain (from Boot ROM → kernel → apps).
* System Integrity Protection (SIP).
* Gatekeeper & notarization.
* Launchd (unified service/daemon manager).
* Unified logging & tracing (dtrace, signpost).
* Rosetta + Universal binaries (smooth arch transitions).
* Quartz compositor + Core Animation (graphics pipeline).
* Metal API (low-level GPU abstraction).
* mälu pakkimine käigult (vt Activity Monitor -> Memory -> Bottom)

Misc

* Aqua - desktop visuaal
* Quartz - desktop mootor
* UTM - qemu-based virtulization
* AWDL (Apple Wireless Direct Link) - midagi Wifi-Direct laadset

Väited

* Apple lahendustele on iseloomulik, et sama it shop kontrolli all on nii riistvara kui tarkvara (põhimõtteliselt sarnane olukord nagu kunagi Sun sparc lahendustega)
* macos on pigem threaded orienteeritud lahendus (mitte process-is-single-thread) - märksõnad: Grand Central Dispatch, Operation Queues, Swift Concurrency)
* nn 'giant lock (https://en.wikipedia.org/wiki/Giant_lock)' probleem on macos puhul pigem praktiliselt lahendatud, ju see on sama millest openbsd vabastamisega tegeldakse, nt https://www.openbsd.org/76.html - 'Removed net lock from sysctl(8) net.inet.ip.forwarding, net.inet6.ip6.forwarding, net.inet6.ip6.redirect, net.inet.ip.directed-broadcast.'

===Riistvara===

TODO

* MacBook Air 13" M4 protsessoriga arvuti
* compute resource - 1. cpu (risc arm), 2. gpu, 3. secure enclave, 4. neural engine
* 16 G ddr5 non-ecc memory - kõik compute resource'id kasutavad sama mälu, st ühisest pool'ist võetakse kasutuseks, ja antakse tagasi jne
* kaks Dell U2725QE monitori
* kaks thunderbolt 4 kaablit
* Logitech nö 9 eurone pc hiir
* lai apple magic keyboard
* väline andmekandja - SanDisk PRO-G40, https://www.apple.com/shop/mac/accessories/storage?f=thunderbolt3&fh=3783%2B47f6&page=1
* port saver - https://www.delock.com/produkt/66433/merkmale.html
* arvuti puhul ei ole kohta nagu pc arvuti puhul on 'enter bios' või 'enter setup' - ainuke realistlik sisenemiskoht on hoides alla toite nuppu arvuti käivitumise ajal

Väited

* macbookpro, air jt on non-ecc mäluga; mac pro ja mac studio on ecc mäluga
* arvuti on ühendatud ühe monitoriga TB4 kaabli abil
* esimese monitoriga on ühendatud usb klaviatuur ja hiir
* arvuti võrk töötab wifi abil, aga saaks töötada ka monitori rj45 ethernet kaabliga (arvutisse saabub üle thunderbolt neli nö signaali: 1. usb klaviatuur ja hiir, 2. ethenet, 3. video, 4. toide)
* teine monitor on ühendatud esimesega teise TB4 kaabliga nn daisy-chain ühenduses
* tundub, et monitoride pilt on vastuvõetava kvaliteediga ka non-4k režiimis (nt 3008 x 1692)

<pre>
system_profiler SPHardwareDataType # CPU, memory, model
system_profiler SPDisplaysDataType # GPU / monitor info
system_profiler SPUSBDataType # USB controllers and devices
system_profiler SPThunderboltDataType # Thunderbolt controllers
system_profiler SPNetworkDataType # Network interfaces
</pre>

Näiteks

<pre>
Imres-MacBook-Air:~ root# system_profiler SPHardwareDataType
Hardware:

Hardware Overview:

Model Name: MacBook Air
Model Identifier: Mac16,12
Model Number: MW0W3KS/A
Chip: Apple M4
Total Number of Cores: 10 (4 performance and 6 efficiency)
Memory: 16 GB
System Firmware Version: 11881.81.2
OS Loader Version: 11881.81.2
Serial Number (system): KGHGX652VT
Hardware UUID: 27AE0C7C-DCC6-5F5C-A133-8F10726347EC
Provisioning UDID: 00008132-001A618E0121801C
Activation Lock Status: Enabled

Imres-MacBook-Air:~ root# system_profiler SPDisplaysDataType
Graphics/Displays:

Apple M4:

Chipset Model: Apple M4
Type: GPU
Bus: Built-In
Total Number of Cores: 8
Vendor: Apple (0x106b)
Metal Support: Metal 3
Displays:
Color LCD:
Display Type: Built-in Liquid Retina Display
Resolution: 2560 x 1664 Retina
Main Display: Yes
Mirror: Off
Online: Yes
Automatically Adjust Brightness: Yes
Connection Type: Internal
DELL U2725QE:
Resolution: 6016 x 3384
UI Looks like: 3008 x 1692 @ 120.00Hz
Mirror: Off
Online: Yes
Rotation: Supported
</pre>

====Neural Engine====

TODO

* On-device machine learning
* Siri's voice recognition
* Image analysis in Photos
* Real-time video processing in apps like FaceTime

====Misc OS====

* cpu instructions - toimuvad kernel -> cpu vahel
* syscalls - toimuvad rakendustarkvara -> kernel vahel
* ei ole user-space-syscall'isid - kõik syscallid on nö kernel-space-syscall'd ehk lihtsalt syscall'id
* macos ei ole real-time operating system
* macos puhul on realiseeritud preemtion st ka tundlike kerneli kihi tegevuste puhul on võimalik teha nö katkestusi-tagasipöördumisi
* ei ole sellist storage-io lahenduste mitmekesisust nagu on linux puhul (nt io-uring, libaio) - nimetatakse 'Dispatch I/O'
* ei ole sellist network-io lahenduste mitmekesisust nagu on linux puhul (nt dpdk) - nimetatakse 'Network Framework'
* dpdk, rdma jms puudub kuna macos puhul tegevused käivad läbi kernel selleks, et toimuv oleks maksimaalselt kontrolli all (toimub kernel by-pass)
* tcp-offload jms siiski on kasutusel - kernel kontrollib siis ikkagi toimivat piisavalt
* XNU kernel ei võimalda linux namespace ja cgroup laadseid nö isolatsioone - st naturaalselt ei ole olemas native macos konteinerindust (nagu on linux jaoks olemas docker või freebsd jaoks daemonless) - kui on vajalik conteinerindus, siis on lahenduseks kasutada konteineri ja xnu kerneli vahel lisa kihti - linux-arm64)

Palju on https://www.openbsd.org/innovations.html nimekirjast olemas macos puhul, kas otseselt või siis kontseptuaalselt, aga implementatsioon on macos juhtumile iseloomulik

* OpenBSD: retguard uses a unique XOR-based canary on a function's return address to prevent a specific type of buffer overflow attack (ROP).
* macOS: macOS does not have a feature called retguard. However, the same concept is implemented by Apple's Clang compiler. macOS has used stack canaries (or stack cookies) for years, which are values placed on the stack to detect if the return address has been overwritten. Both systems use different implementations to solve the same problem.
* OpenBSD: pledge is a security mechanism where a program "pledges" to only use a limited set of system calls. If it tries to make a syscall outside of its "pledge," the program is killed.
* macOS: macOS does not have a pledge equivalent. The concept is not present in the same form. Instead, macOS uses sandboxing, which is a more comprehensive and declarative security model. Sandboxing restricts an application's access to files, network connections, and system resources based on a detailed set of rules (called entitlements) defined in a profile, which is part of the application itself. It's a different, but arguably more powerful, approach to the same problem.
* OpenBSD: W^X is a fundamental security policy that ensures a memory page is either writable or executable, but not both.
* macOS: This concept is directly implemented and has been a core security feature of macOS for many years. It is an integral part of the kernel and is enforced on all applications, making it impossible for an attacker to write shellcode to a memory page and then execute it.
* OpenBSD has long been a pioneer in security, and its implementation of ASLR is a core part of its "secure by default" philosophy.
* macOS introduced ASLR in Mac OS X Leopard (10.5) and has since continuously improved and strengthened it with each new release. Today, ASLR on macOS is a mandatory security feature for all modern applications.
* OpenBSD relinking
* Randomizing per-process: Instead of a single, system-wide reordering at boot, dyld randomizes the base addresses of shared libraries for every single process that is launched.
* Using a shared cache: To speed up program loading, macOS bundles commonly used system libraries into a single large file called the dyld_shared_cache. The location of this entire cache in memory is randomized at boot, and all processes then use this randomized location.

====User mode vs Kernel mode====

Väited

* User mode ja Kernel mode on kaks erinevat protsessori olekut
* esimesel puhul käitub arvuti nagu nö loogiline-masin, teisel juhul nagu riistvaraline-masin
* kontseptuaalselt võiks ette kujutada, et arvutis on kaks protsessorit - üks on pidevalt füüsilises ja teine loogilises olekus
* loogilist laadi tegevusteks on nt protsessi mällu laaditud mälu abil andmete sorteerimine, st kõik tegevused on taandatud matemaatikaks
* füüsilist laadi tegevusteks on nt võrku andmete saatmine, või plokkseadmelt andmete lugemine

====Seadme draiver====

Ettekujutuseks on nvme storage seade. Selleks, et andmed jõuaksid füüsilise plokkseadme pealt ühe user-space protsessi mällu nt postgresql andmebaas, liiguvad andmed läbi sellistest lõikudest koosneva teekonna

<pre>
plokkseade
control plain peal toimuv käsu tulemusel -> plokkseadmega seostatud fragment arvuti rom mälust
-> cpu kopeerib andmed oma registrite abil user-space mällu
..
</pre>

====SanDisk PRO-G40====

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Thunderbolt 4 porti ühendatud seade paistab selline

[[Fail:20250916-imre-sandisk-pro-g40-01.png|900px]]

kus

* seadet koheldakse pcie siinile ühendatud nvme seadmena

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Non-Thuderbolt-USB-C porti ühendatud seade paistab selline

TODO

kus

* seadet koheldakse usb-storage ühendatud plokkseadmena

===Kasutajaliides===

====Magic Apple Keyboard====

klahvikombinatsioonid

* command + nool paremale/vasakule - tekstikursori viimine vastavalt rea lõppu või algusse
* command + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt rea lõppu või algusse
* command + shift + suurem/väiksem - mitme aknalise programmi akende vahel liikumine (nt iterm/terminal/chrome/safari)
* option + nool paremale/vasakule - tekstikursori viimine vastavalt järgmise või eelmise sõna juurde
* option + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt sõna edasi või tagasi
* command + tühik - spotlight otsingu avamine
* control + nool paremal/vasakule - järgmise virtuaalse desktop juurde liikumine (spaces)
* control + nool üles/esc - xxx vaate avamine (üleval on virtuaalsete desktopide riba)
* command + nool üles/alla - teksti algusse või lõppu liikumine (nt chrome brauseris)
* option + nool üles/alla - tekstis nö page-up-page-down võtta liikumine (nt chrome brauseris)

====Touchpad====

gestured

* kahe sõrmega üles-alla swipe - hiirega skrollimine
* kolme sõrmega vasakule-paremale swipe - virtuaalsete desktopide vahel liikumine

===alt-grab - BetterTouchTool (BTT)===

====Tööpõhimõte====

Tegevuse eesmärk on alt-grab kasutamine akna asukohta muutmiseks ja akna suuruse muutmiseks. Linux desktop (gnome, xfce4 jt) puhul paistab see olevat tavaline, et akna asukoha muutmiseks ei pea tingimata haarama hiire vasaku nupuga akna tiitelribast ja siis vedama; või akna suuruse muutmiseks haarama hiire vasaku nupuga täpselt nurgast või servast ja siis vedama. Piisab hoida vasakut alt klahvi all ja haarata kuskilt akna seest hiire vasaku nupuga ning vedada; või hoida vasakut alt klahivi all ja haarata akna seest nurga lähedusest hiire parema nupuga ning vedada.

====BTT kopeerimine ja paigaldamine====

Väited

* https://folivora.ai/
* tundub, et BTT on usaldusväärne tarkvara (nt https://www.macworld.com/article/551700/mac-gems-bettertouchtool-review.html)
* BetterTouchTool ei ole tasuta tarkvara
* BetterTouchTool ei ole kõige parem lahendus nn alt-drag jaoks, aga paistab, et paremat ka pole (ja tundub, et ei saa olla kuna MacOS nö sisemiselt eriti ei võimalda alt-drag laadi tegevusi)
* BTT abil saab akna suurust muuta ainult paremas alumises nurgas
* akent ei saa ekraanilt osaliselt välja suruda üles suunas (nt alla saab)
* tundub, et paigaldamisel antakse rakendusele rikkalikult privileege

====Seadistamine====

Tööpõhimõte

* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse down', millele vastab tegevus (action) 'Start Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse up', millele vastab tegevus 'Stop Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse down', millele vastab tegevus 'Start Resizing'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse up', millele vastab tegevus 'Stop Resizing'

alt-drag seadistamine paistab selliselt, rightclick triggeri ja vastava tegevuse (action) kirjeldamine, basic

[[Fail:20250903-btt-rightclick-01.png|1000px]]

kus

* valitud programmid on For All Apps st kirjeldatavad võimed tekivad kõigi programmide akendele
* valitud seade on Normal Mouse (mitte magic mouse)
* on valitud ka modifer - opt (magic keyboard klahv 'option')

ning advanced

[[Fail:20250903-btt-rightclick-02.png|1000px]]

kus

* Trigger Conditions - Trigger on Mouse Down (vaikimisi)

Analoogselt kirjeldatakse ülejäänud triggerid ja tegevused - seejuures tuleb kindlasti valida modifier, vastasel korral võib olla väga halb kasutuskogemus kuna hiire vasaku klahvi nö tavaline töö on häiritud).

====Kasutamine====

Kasutamine paistab välja natuke puudulikumalt kui linux desktop keskkonnas

* suurust saab muuta vaid alumist paremat nurka sisse või väljapoole surudes (linux all saab tegeleda igas nurgas)
* asukohta saab muuta kuid see mõjub fookuses olevale aknale (vahel on see üsna nö eba kogemus, et hiir on mitte fookuses oleva akna kohal ja kõrval oleva akna asukoht muutub)
* tegelemise ajal on aken nö täidetud (linux all saab valida kas aken paistab nö täidetuna või wireframe'ina)

====Kasulikud lisamaterjalid====

* https://community.folivora.ai/t/resize-window-on-modifier-right-mouse-button-press/41430

===iterm2===

iterm2 võimaldab muu hulgas

* akende arrangement ettevalmistusi - st akende avamist komplektidena, seejuures logitakse automaatselt serveritesse ssh abil sisse, näiteks
* profile abil värvikasutust kirjeldada (taust, tekst, esiletoodud (bold), allajoonitud tekst jms)

[[Fail:20260302-iterm2-01.png|700px]]

avades

iTerm2 -> Settings -> Profiles

kus

* esiletoodud tekst esitatakse roheliselt (seda esineb linux puhul nt top, 'systemctl status postfix' ja dmesg väljundis)

aknale kerge ääre näitamine

iTerm2 -> Settings -> Appearence -> Windows -> Aestetics -> Heavy border around windows in light mode

Profiilid

<pre>
imreoolberg@Imres-MacBook-Air ~ % egrep -r wrx "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Command" : "ssh root@pve-wrx90e",
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Name" : "pve-wrx90e",
imreoolberg@Imres-MacBook-Air ~ % egrep -r svc "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
imreoolberg@Imres-MacBook-Air ~ % plutil -p ~/Library/Preferences/com.googlecode.iterm2.plist | grep -i "pve-svc-0"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-02"
</pre>

Tarkvara uuendamine

[[Fail:20260704-macos-01.png|900px]]

* ei toimu app store kaudu
* toimib rakenduse enda menüüst

Non-printable sümbol paistab nt selliselt

<pre>
root@rv-nswa-01:~# systemctl show rsyslog | grep -i nonew
Invalid unit name "rsyslog " escaped as "rsyslog\xc2\xa0" (maybe you should use systemd-escape?).
NoNewPrivileges=no
root@rv-nswa-01:~# systemctl show rsyslog | grep -i nonew
NoNewPrivileges=yes
</pre>

ning

<pre>
root@rv-nswa-01:~# echo "rsyslog " | od -c
0000000 r s y s l o g 302 240 \n
0000012
root@rv-nswa-01:~# echo "rsyslog" | od -c
0000000 r s y s l o g \n
0000010
root@rv-nswa-01:~#
</pre>

Claude teab, et '\xc2\xa0 is UTF-8 for U+00A0 — a non-breaking space (NBSP)'

===timemachine===

====Tööpõhimõte====

TODO

* võrgus failiserver
* võrgus avahi vms server
* macos süsteem

====Ettevalmistamine====

Väited

* tundub, et macos webgui kaudu ei õnnestu samba põhist tm lahendust ära seadistada, tuleb toimetada käsurealt (hüpotees on, et kuna cifs failisüsteemi monteerimisel Finder abil tekib .DS_Store vms faile automaatselt share peale, siis see eksitab tm lahendust

Samba serveri ettevalmistamine, Debian v. 12 (samba v. 4.17)

<pre>
# apt-get install --no-install-recommends samba
# apt-get install samba-vfs-modules

# cat /etc/samba/smb.conf
[global]
client min protocol = SMB3
client max protocol = SMB3
workgroup = MORAALCIFS
dns proxy = no
log file = /var/log/samba/log.%m
max log size = 1000
panic action = /usr/share/samba/panic-action %d
server role = standalone server

[timemachine]
path = /zpool_wdc/timemachine/
browsable =yes
writable = yes
guest ok = no
valid users = timemachine
smb encrypt = required
vfs objects = catia fruit streams_xattr
fruit:metadata = stream
fruit:resource = file
fruit:time machine = yes
fruit:time machine max size = 500G
</pre>

käivitamine

<pre>
# systemctl restart smbd
</pre>

Varundatava arvuti ettevalmistamine

<pre>
Imres-MacBook-Air:~ root# tmutil setdestination "smb://timemachine:parool@192.168.10.168/timemachine"
Imres-MacBook-Air:~ root# tmutil destinationinfo
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : 2E3ED96D-4626-4D55-BDD5-A0ED6CDDF973
</pre>

Varunduse käivitamine

<pre>
Imres-MacBook-Air:~ root# tmutil startbackup --auto
Imres-MacBook-Air:~ root# log stream --predicate 'process == "backupd"' --info
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 157Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 709 0 100% /dev
/dev/disk3s6 228Gi 20Ki 157Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 157Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 157Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 157Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 157Gi 2% 76 1.6G 0% /Volumes/Recovery
//timemachine@192.168.10.168/timemachine 500Gi 20Gi 480Gi 5% 21M 503M 4% /Volumes/.timemachine/192.168.10.168/CEF57214-AE85-44D1-86EB-D0D69E41EA1C/timemachine
/dev/disk5s1 15Ti 20Gi 480Gi 4% 383k 5.0G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
Imres-MacBook-Air:~ root#
</pre>

Tulemusena

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-015533.backup/2025-09-05-015533.backup
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# tmutil listlocalsnapshots /
Snapshots for volume group containing disk /:
com.apple.TimeMachine.2025-09-05-012346.local
com.apple.TimeMachine.2025-09-05-015510.local
com.apple.os.update-35F83766A7728F08A2DF1CFD45DF39CAB4C00F8C1A4A0DBECD314305426E5C549569F373D02B15DDC5C3E22E8E9D0A2F
com.apple.os.update-4278EFCBF37708F6ABE958C2E59447D754411B4697E4891DE3D58BC37F433306
com.apple.os.update-MSUPrepareUpdate
</pre>

====Kasutamine - süsteemi varundamine====

Time machine graafilise liidese peal, kui on kirjeldatud mitu time-machine varunduskohta, saab ühe peal hiire parema klõpsuga avada hüpikmenüü ja öelda, et käivitada varundus

[[Fail:20251109-timemachine-01.png|600px]]

====Kasutamine - üksiku faili taastamine====

TODO

====Kasutamine - süsteemi taastamine====

TODO

====Misc====

tm destinationinfo esitamine

<pre>
Imres-MacBook-Air:~ root# tmutil destinationinfo
> ==================================================
Name : volume-tm-backup-01
Kind : Local
Mount Point : /Volumes/volume-tm-backup-01 1
ID : B23C58B0-C5F1-4FE6-8CCE-B90B5FAA3C7A
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : ECA95A15-3033-460C-B928-46E809CC1C58
</pre>

korra time machine gui utiliidiga läbi browsitud taaste vaates (tundub, et siis ta nö monteerib külge jne), df

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 10Gi 99Gi 10% 427k 1.0G 0% /
devfs 219Ki 219Ki 0Bi 100% 758 0 100% /dev
/dev/disk3s6 228Gi 24Ki 99Gi 1% 0 1.0G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 13Gi 99Gi 12% 2.6k 1.0G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 7.5Mi 99Gi 1% 104 1.0G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 480Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 6.0Mi 480Mi 2% 38 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 3.6Mi 480Mi 1% 100 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 56Gi 99Gi 37% 696k 1.0G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk7s1 3.6Ti 5.9Gi 3.5Ti 1% 24 38G 0% /Volumes/PRO-G40
/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/volume-tm-backup-01
com.apple.TimeMachine.2025-09-19-012830.backup@/dev/disk7s3 3.6Ti 122Gi 3.5Ti 4% 541k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup
com.apple.TimeMachine.2025-11-09-213757.local@/dev/disk3s5 228Gi 55Gi 99Gi 36% 687k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-213757/Data
com.apple.TimeMachine.2025-11-09-213824.backup@/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup
com.apple.TimeMachine.2025-11-09-165402.backup@/dev/disk7s3 3.6Ti 140Gi 3.5Ti 4% 568k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup
com.apple.TimeMachine.2025-11-09-160153.local@/dev/disk3s5 228Gi 50Gi 99Gi 34% 711k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-160153/Data
//timemachine@192.168.10.168/timemachine 500Gi 71Gi 429Gi 15% 74M 450M 14% /Volumes/.timemachine/192.168.10.168/D4D414B7-3607-44F6-8151-4F53ECDEF964/timemachine
/dev/disk5s1 15Ti 44Gi 429Gi 10% 568k 4.5G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-11-09-162452.backup@/dev/disk5s1 15Ti 78Gi 429Gi 16% 568k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup
com.apple.TimeMachine.2025-09-05-014511.backup@/dev/disk5s1 15Ti 23Gi 429Gi 6% 500k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup
</pre>

samal ajal diskutil

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 11.3 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 11.3 GB disk3s1s1
3: APFS Volume Preboot 14.2 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 60.0 GB disk3s5
6: APFS Volume VM 24.6 KB disk3s6
7: APFS Volume macOS Restored - Data 40.1 GB disk3s7
8: APFS Volume macOS Restored 11.3 GB disk3s8

/dev/disk4 (disk image):
#: TYPE NAME SIZE IDENTIFIER
0: +16.0 TB disk4

/dev/disk5 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +16.0 TB disk5
Physical Store disk4
1: APFS Volume Backups of Imre’s Ma... 47.7 GB disk5s1

/dev/disk6 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *4.0 TB disk6
1: EFI EFI 209.7 MB disk6s1
2: Apple_APFS Container disk7 4.0 TB disk6s2

/dev/disk7 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +4.0 TB disk7
Physical Store disk6s2
1: APFS Volume PRO-G40 6.4 GB disk7s1
2: APFS Volume volume-tm-backup-01 152.3 GB disk7s3

Imres-MacBook-Air:~ root#
</pre>

kus

* võrgus samba põhise time-machine varundusele sünteesitakse vastav plokkseade /dev/disk4 ja omakorda /dev/disk5
* lokaalselt külge kinnitatud välisele sandisk-pro-g40 plokkseade on /dev/disk6 ja edasi on seal sünteesitud /dev/disk7 ning eriti /dev/disk7s3
* samba serveris on tm varunduse jaoks üks kataloog välja jagatud 16 TB suuremalt failisüsteemilt, st sellest siin väljundis 16 TB märge

üksiku tm ressursi kohta info küsimine

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/Backups\ of\ Imre’s\ MacBook\ Air
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup/2025-11-09-162452.backup

Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/volume-tm-backup-01
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup/2025-09-19-012830.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup/2025-11-09-165402.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup/2025-11-09-213824.backup
</pre>

===Storage===

Mõisted

* Seal
* Secure Enclave
* FileVault
* Volume Group

Tööpõhimõte

* füüsiline salvestusseade on jaotatud partitsioonideks
* partitsioonile vastab nn konteiner
* konteinerile vastab midagi lvm volume group või zfs pool laadset
* konteineris sisaldub hulk volume'eid
* volumile vastab failisüsteem (apfs - apple file system)
* sama konteineri sees asuvad failisüsteemid opereerivad sama jagatud vaba ruumi tingimustes

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 16.0 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 16.0 GB disk3s1s1
3: APFS Volume Preboot 13.1 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 45.9 GB disk3s5
6: APFS Volume VM 20.5 KB disk3s6
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 156Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 713 0 100% /dev
/dev/disk3s6 228Gi 20Ki 156Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 156Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 156Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 43Gi 156Gi 22% 582k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 156Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 156Gi 2% 76 1.6G 0% /Volumes/Recovery
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
com.apple.TimeMachine.2025-09-05-015510.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-015510/Data
</pre>

Juurika suhtes ressursid

<pre>
Imres-MacBook-Air:/ root# ls -lO /
total 10
lrwxr-xr-x 1 root admin - 36 Jan 15 2025 .VolumeIcon.icns -> System/Volumes/Data/.VolumeIcon.icns
---------- 1 root admin - 0 Jan 15 2025 .file
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .nofollow
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .resolve
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 .vol
drwxrwxr-x 16 root admin sunlnk 512 Sep 5 12:56 Applications
drwxr-xr-x 66 root wheel sunlnk 2112 Sep 3 21:05 Library
drwxr-xr-x@ 10 root wheel restricted 320 Jan 15 2025 System
drwxr-xr-x 5 root admin sunlnk 160 Sep 2 22:41 Users
drwxr-xr-x 6 root wheel hidden 192 Sep 7 11:57 Volumes
drwxr-xr-x@ 39 root wheel restricted,hidden 1248 Jan 15 2025 bin
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 cores
dr-xr-xr-x 4 root wheel hidden 5047 Sep 5 01:14 dev
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 etc -> private/etc
lrwxr-xr-x 1 root wheel hidden 25 Sep 5 01:14 home -> /System/Volumes/Data/home
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 opt
drwxr-xr-x 6 root wheel sunlnk,hidden 192 Sep 5 01:14 private
drwxr-xr-x@ 77 root wheel restricted,hidden 2464 Jan 15 2025 sbin
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 tmp -> private/tmp
drwxr-xr-x@ 11 root wheel restricted,hidden 352 Jan 15 2025 usr
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 var -> private/var
</pre>

kus

* sunlnk - apfs lahendusele iseloomulik nn sünteetline link (teine variatsioon on firmlink)
* /private sisuks on tegelikult volume /System/Volumes/Data
* / on unionfs laadne lahendus, st kokku on kogutud erinevad ressrussid, mõned on read-only, mõned on read-write
* / endale vastav /dev/disk3s1s1 on /dev/disk3s1 read-only apfs snapshot - sedasi on väga madalas kihis tagatud süsteemi osa immutability

ning

<pre>
Imres-MacBook-Air:~ root# diskutil apfs list
APFS Containers (3 found)
|
+-- Container disk3 71D88332-123F-4F15-99AA-FDD26D7118F7
====================================================
APFS Container Reference: disk3
Size (Capacity Ceiling): 245107195904 B (245.1 GB)
Capacity In Use By Volumes: 77898416128 B (77.9 GB) (31.8% used)
Capacity Not Allocated: 167208779776 B (167.2 GB) (68.2% free)
|
+-< Physical Store disk0s2 F202FF0C-8102-4C98-8DEA-BFC6BE9C61B4
| -----------------------------------------------------------
| APFS Physical Store Disk: disk0s2
| Size: 245107195904 B (245.1 GB)
|
+-> Volume disk3s1 9D894F4B-1ADA-47A9-9864-CECA47F5CC54
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s1 (System)
| Name: Macintosh HD (Case-insensitive)
| Mount Point: /System/Volumes/Update/mnt1
| Capacity Consumed: 15970652160 B (16.0 GB)
| Sealed: Broken
| FileVault: Yes (Unlocked)
| Encrypted: No
| |
| Snapshot: E4EE5A50-F503-4DC3-BB9E-6C3EF76A9105
| Snapshot Disk: disk3s1s1
| Snapshot Mount Point: /
| Snapshot Sealed: Yes
|
+-> Volume disk3s2 5C7FF5F7-C059-4568-879D-AEE09DB60CF7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s2 (Preboot)
| Name: Preboot (Case-insensitive)
| Mount Point: /System/Volumes/Preboot
| Capacity Consumed: 13066547200 B (13.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s3 8A6ADAED-7C32-4DFB-8731-005DA53BB3FF
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s3 (Recovery)
| Name: Recovery (Case-insensitive)
| Mount Point: /Volumes/Recovery
| Capacity Consumed: 2082414592 B (2.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s5 53270D80-303A-47F4-83DE-D2B9228E9FC7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s5 (Data)
| Name: Data (Case-insensitive)
| Mount Point: /System/Volumes/Data
| Capacity Consumed: 45915893760 B (45.9 GB)
| Sealed: No
| FileVault: Yes (Unlocked)
|
+-> Volume disk3s6 5B9AA026-E765-4922-BFEA-B48FD11A79C6
---------------------------------------------------
APFS Volume Disk (Role): disk3s6 (VM)
Name: VM (Case-insensitive)
Mount Point: /System/Volumes/VM
Capacity Consumed: 20480 B (20.5 KB)
Sealed: No
FileVault: No
</pre>

iostat esitab ainult füüsiliste seadmete kohta info, huvitaval kombel ka time machine lahendusele vastava seadme (disk4) oma

<pre>
imreoolberg@Imres-MacBook-Air ~ % iostat 5
disk0 disk4 cpu load average
KB/t tps MB/s KB/t tps MB/s us sy id 1m 5m 15m
17.03 37 0.61 52.37 0 0.00 3 1 96 1.12 1.52 1.63
6.17 7 0.04 0.00 0 0.00 2 1 97 1.11 1.51 1.63
4.00 2 0.01 0.00 0 0.00 1 1 98 1.11 1.51 1.63
...
</pre>

Automaatse monteerimise vältimine

<pre>
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored" | grep "Volume UUID"
Volume UUID: CB4A4A81-A9EE-471D-90CA-7A116C740AC6
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored - Data" | grep "Volume UUID"
Volume UUID: 6AB10166-A262-4E22-8FE6-0D5C97C731FB

Imres-MacBook-Air:~ root# vifs

Imres-MacBook-Air:~ root# cat /etc/fstab
#
# Warning - this file should only be modified with vifs(8)
#
# Failure to do so is unsupported and may be destructive.
#

UUID=6AB10166-A262-4E22-8FE6-0D5C97C731FB none apfs rw,noauto
UUID=CB4A4A81-A9EE-471D-90CA-7A116C740AC6 none apfs rw,noauto
</pre>

Vastasel korral süsteem otsib teiselt volume'ilt ka nt Applicationid üles

[[Fail:20250903-spotlight-01.png|600px]]

Kopeerimine failisüsteemis

<pre>
Imres-MacBook-Air:~ root# ditto /Applications/Yubico\ Authenticator.app/ /Users/imreoolberg/Documents/Yubico\ Authenticator.app/
</pre>

Finder GUI liidesega programm.

USB pulk abil apsf opereerimine, volume lisamine

<pre>
Imres-MacBook-Air:~ root# diskutil eraseDisk APFS "USBTEST" /dev/disk4

Imres-MacBook-Air:~ root# diskutil apfs unlockVolume /dev/disk5s4

Imres-MacBook-Air:~ root# diskutil apfs addVolume disk5 APFS volume-05
Will export new APFS Volume "volume-05" from APFS Container Reference disk5
Started APFS operation on disk5
Preparing to add APFS Volume to APFS Container disk5
Creating APFS Volume
Created new APFS Volume disk5s5
Mounting APFS Volume
Setting volume permissions
Disk from APFS operation: disk5s5
Finished APFS operation on disk5

Imres-MacBook-Air:~ root# diskutil unmount /dev/disk5s5
Volume volume-05 on disk5s5 unmounted
Imres-MacBook-Air:~ root# diskutil mount /dev/disk5s5
Volume volume-05 on /dev/disk5s5 mounted

Imres-MacBook-Air:~ root# diskutil apfs deleteVolume /dev/disk5s4
Started APFS operation
Deleting APFS Volume from its APFS Container
Unmounting disk5s4
Erasing any xART session referenced by 9AC9146E-455D-45BA-99EC-3FE32D2CE59B
Deleting Volume
Removing any Preboot and Recovery Directories
Finished APFS operation
</pre>

Konteinerid ja volume'id

<pre>
Imres-MacBook-Air:~ root# df -h | grep part- | sort
/dev/disk5s1 1.9Gi 1.0Mi 1.9Gi 1% 109 19M 0% /Volumes/part-01-volume-01
/dev/disk6s1 3.7Gi 1.0Mi 3.7Gi 1% 109 39M 0% /Volumes/part-02-volume-01
/dev/disk7s1 11Gi 1.0Mi 11Gi 1% 113 119M 0% /Volumes/part-03-volume-01
/dev/disk8s1 12Gi 992Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-01
/dev/disk8s2 12Gi 988Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-02
/dev/disk8s3 12Gi 1.0Mi 11Gi 1% 105 120M 0% /Volumes/part-04-volume-03
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# diskutil list disk4
/dev/disk4 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *30.8 GB disk4
1: EFI EFI 209.7 MB disk4s1
2: Apple_APFS Container disk5 2.0 GB disk4s2
3: Apple_APFS Container disk6 4.0 GB disk4s3
4: Apple_APFS Container disk7 12.2 GB disk4s4
5: Apple_APFS Container disk8 12.4 GB disk4s5
</pre>

kus

* füüsiline ketas on /dev/disk4
* füüsilise ketta partitsioonid on konteinerid /dev/disk5, /dev/disk6 jne
* konteinerite sees on volume'id, nt disk8 sees on kolm tükki, s1, s2 ja s3

ning

[[Fail:20250909-disk-utility-01.png|800px]]

kus

* TODO

Failide arhiveerime ja kopeerimine süsteemist välja

<pre>
imreoolberg@Imres-MacBook-Air ~ % ditto -ck --sequesterRsrc /Users/imreoolberg /Volumes/imre-data-01/users-imreoolberg.zip
</pre>

====TRIM====

<pre>
Imres-MacBook-Air:~ root# system_profiler SPNVMeDataType
NVMExpress:

Apple SSD Controller:

APPLE SSD AP0256Z:

Capacity: 251 GB (251,000,193,024 bytes)
TRIM Support: Yes
Model: APPLE SSD AP0256Z
Revision: 2,077.140
Serial Number: 0ba028eb8328ce39
Detachable Drive: No
BSD Name: disk0
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
iSCPreboot:
Capacity: 524.3 MB (524,288,000 bytes)
BSD Name: disk0s1
Content: Apple_APFS_ISC
Macintosh HD:
Capacity: 245.11 GB (245,107,195,904 bytes)
BSD Name: disk0s2
Content: Apple_APFS
Recovery:
Capacity: 5.37 GB (5,368,664,064 bytes)
BSD Name: disk0s3
Content: Apple_APFS_Recovery

Generic SSD Controller:

WD_BLACK SN850XE 4000GB:

Capacity: 4 TB (4,000,787,030,016 bytes)
TRIM Support: Yes
Model: WD_BLACK SN850XE 4000GB
Revision: 624131EX
Serial Number: 24525S801688
Link Width: x4
Link Speed: 8.0 GT/s
Detachable Drive: No
BSD Name: disk4
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
EFI:
Capacity: 209.7 MB (209,715,200 bytes)
File System: MS-DOS FAT32
BSD Name: disk4s1
Content: EFI
Volume UUID: 0E239BC6-F960-3107-89CF-1C97F78BB46B
PRO-G40:
Capacity: 4 TB (4,000,577,273,856 bytes)
BSD Name: disk4s2
Content: Apple_APFS
</pre>

kus

* TRIM Support: Yes - trim on nendel seadmetel asuvatel apfs failisüsteemidel võimalik ja kohal st sisselülitatud
* apfs trim on ext4 fstab 'discard' sarnane, mitte 'fstrim /' cron jobs abil ütlemise sarnane
* Model: APPLE SSD AP0256Z - '256' väljendab suurust 256 GB, nt teine mudel on AP1024Z ja väljendab suurust 1 TB

===Launchd kasutamine===

<pre>
Imres-MacBook-Air:/ root# cat /Library/LaunchDaemons/com.myname.addroute.plist
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key>
<string>com.myname.addroute</string>
<key>ProgramArguments</key>
<array>
<string>/sbin/route</string>
<string>-n</string>
<string>add</string>
<string>192.0.2.1/32</string>
<string>192.168.64.2</string>
</array>
<key>RunAtLoad</key>
<true/>
</dict>
</plist>
</pre>

käivitamiseks

<pre>
Imres-MacBook-Air:/ root# launchctl load /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

tulemusena

<pre>
Imres-MacBook-Air:/ root# netstat -nr | grep 192.0.
192.0.2.1/32 192.168.64.2 UGSc bridge100
</pre>

Ta on olemas globaalses launched listis

<pre>
Imres-MacBook-Air:/ root# launchctl list | grep myn
- 0 com.myname.addroute
</pre>

Põhimõtteliselt peaks töötama ka unload, aga antud juhul ei oma see toimet selle konkreetse nähtuse one-shot olemuse tõttu

<pre>
Imres-MacBook-Air:/ root# launchctl unload /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

====Cron====

TODO

<pre>
Imres-MacBook-Air:~ root# plutil -p /System/Library/LaunchDaemons/com.apple.tmp_cleaner.plist
{
"Label" => "com.apple.tmp_cleaner"
"LowPriorityIO" => 1
"Nice" => 1
"ProgramArguments" => [
0 => "/usr/libexec/tmp_cleaner"
]
"StartCalendarInterval" => {
"Hour" => 0
}
}
</pre>

===Virtualiseerimine - UTM===

Süsteemis kirjeldatud virtuaalsed arvutid

<pre>
Imres-MacBook-Air:/ root# /System/Volumes/Data/Applications/UTM.app/Contents/MacOS/utmctl list
UUID Status Name
DE2A3E49-B049-40F9-9D79-3C1448B446C9 started vm-deb13-01
</pre>

Virtuaalse arvuti virtuaalne plokkseade

<pre>
Imres-MacBook-Air:/ root# du -sh /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
5.9G /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
</pre>

Virtuaalsele arvutile vastav võrgundus

<pre>
Imres-MacBook-Air:/ root# ifconfig bridge100
bridge100: flags=8a63<UP,BROADCAST,SMART,RUNNING,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
options=3<RXCSUM,TXCSUM>
ether fa:73:df:a0:51:64
inet 192.168.64.1 netmask 0xffffff00 broadcast 192.168.64.255
inet6 fe80::f873:dfff:fea0:5164%bridge100 prefixlen 64 scopeid 0x19
inet6 fda5:2ff0:49ee:6d45:14d7:6e80:6b22:c592 prefixlen 64 autoconf secured
Configuration:
id 0:0:0:0:0:0 priority 0 hellotime 0 fwddelay 0
maxage 0 holdcnt 0 proto stp maxaddr 100 timeout 1200
root id 0:0:0:0:0:0 priority 0 ifcost 0 port 0
ipfilter disabled flags 0x0
member: vmenet0 flags=3<LEARNING,DISCOVER>
ifmaxaddr 0 port 24 priority 0 path cost 0
Address cache:
5e:7f:36:30:6b:51 Vlan1 vmenet0 1161 flags=0<>
nd6 options=201<PERFORMNUD,DAD>
media: autoselect
status: active

Imres-MacBook-Air:/ root# ifconfig vmenet0
vmenet0: flags=8963<UP,BROADCAST,SMART,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
ether b2:7a:48:40:de:47
media: autoselect
status: active
</pre>

===Virtualiseerimine - Virtualization.framework===

TODO

Väited

* Virtualization.framework kasutamine on võimalik UTM lahendusega
* Virtualization.framework'i kasutab Rancher Desktop lahendendus
* Virtualization.framework'i kasutab Claude Desktop lahendendus (Claude Cowork ja Claude Code puhul)

Virtuaalsetele arvutitele vastavad protsessid paistavad sellised

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep Virtuali
imreoolberg 9439 0.9 4.3 439637536 728784 ?? Ss 5:05PM 8:35.18 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
imreoolberg 2439 0.3 0.3 439691712 46720 ?? Ss 10:05AM 4:55.14 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 2439 -P -n | grep claudevm
com.apple 2439 imreoolberg txt REG 1,13 131072 124423025 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/efivars.fd
com.apple 2439 imreoolberg 6u REG 1,13 10737418240 124154442 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/rootfs.img
com.apple 2439 imreoolberg 11u REG 1,13 35880960 124155054 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/sessiondata.img
</pre>

Kasulikud lisamaterjalid

* https://developer.apple.com/documentation/virtualization?language=objc

===Võrk===

Vaikimisi on application firewall välja lülitatud

<pre>
Imres-MacBook-Air:~ root# /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is disabled. (State = 0)
</pre>

ning pfctl olukord

<pre>
Imres-MacBook-Air:~ root# pfctl -si
No ALTQ support in kernel
ALTQ related functions disabled
Status: Enabled for 0 days 00:05:41 Debug: Urgent

State Table Total Rate
current entries 113
searches 11661 34.2/s
inserts 370 1.1/s
removals 257 0.8/s
Counters
match 579 1.7/s
bad-offset 0 0.0/s

Imres-MacBook-Air:~ root# pfctl -ss
No ALTQ support in kernel
ALTQ related functions disabled
ALL tcp 192.168.134.76:57540 -> 192.168.10.77:8291 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61048 <- 104.18.39.21:443 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61225 -> 192.168.10.196:80 ESTABLISHED:ESTABLISHED
ALL udp 192.168.134.76:49898 -> 142.251.151.119:443 MULTIPLE:MULTIPLE
..
</pre>

Parasjagu avatud võrgusoketid

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4TCP -sTCP:LISTEN
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 8u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 12u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 36u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
launchd 1 root 38u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
ControlCe 632 imreoolberg 10u IPv4 0xde3561cefae81e29 0t0 TCP *:7000 (LISTEN)
ControlCe 632 imreoolberg 12u IPv4 0xbbbca5f5375388e5 0t0 TCP *:5000 (LISTEN)
rapportd 633 imreoolberg 10u IPv4 0x7505a25821d3a7df 0t0 TCP *:49152 (LISTEN)
zabbix_ag 6815 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
zabbix_ag 6816 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
...
</pre>

kus

* vaikimisi pfctl ei ole aktiivne, aga nt utm virtuaalse arvuti käivitamine aktiveerib (pfctl teeb utm arvutile src-nat teisendust
* pfctl laseb praktiliselt igasuguse liikluse läbi (nö tavaline brauser -> internet liiklus jms nö registreeritakse pfctl paketifiltriga, aga lubatakse läbi)
* 8021 on pfctl ftp-proxy mooduliga seotud
* 7000 ja 5000 pordid on seotud airdrop ja airport jms osakondadega (airport on vana aja nimetus everything-wifi kohta mac puhul)

Misc

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4UDP
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 7u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 8u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 39u IPv4 0x8d461240652f3ced 0t0 UDP *:138
launchd 1 root 40u IPv4 0xb4b96b1c5de038ec 0t0 UDP *:137
mDNSRespo 441 _mdnsresponder 6u IPv4 0x2d5727fb23b4e854 0t0 UDP *:5353
mDNSRespo 441 _mdnsresponder 14u IPv4 0x1ed59c3cb4235fee 0t0 UDP *:53
airportd 455 root 4u IPv4 0x6e0c4f2c444299c 0t0 UDP *:*
airportd 455 root 9u IPv6 0xea04c0f07ef2ac65 0t0 UDP *:*
airportd 455 root 11u IPv4 0xb4a853f1977e96bf 0t0 UDP *:*
airportd 455 root 12u IPv4 0x6e9d20d0d8a5c95f 0t0 UDP *:*
...
</pre>

====Riistvara====

Võrguliidese MTU muutmiseks

<pre>
imreoolberg@Imres-MacBook-Air ~ % networksetup -listallnetworkservices
An asterisk (*) denotes that a network service is disabled.
USB 10/100/1000 LAN
USB 10/100/1G/2.5G LAN
USB 10/100/1G/2.5G LAN 2
Thunderbolt Bridge
Wi-Fi

imreoolberg@Imres-MacBook-Air ~ % networksetup -getMTU Wi-Fi
Active MTU: 1500 (Current Setting: 1500)

# networksetup -setMTU Wi-Fi 1400
</pre>

====Ruuting====

ipv4 ruutingutabeli esitamine

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet
Routing tables

Internet:
Destination Gateway Flags Netif Expire
default 192.168.134.77 UGScg en0
127 127.0.0.1 UCS lo0
127.0.0.1 127.0.0.1 UH lo0
169.254 link#12 UCS en0 !
192.168.134 link#12 UCS en0 !
192.168.134.2/32 link#12 UCS en0 !
192.168.134.77/32 link#12 UCS en0 !
192.168.134.77 64:d1:54:a7:cc:99 UHLWIir en0 1199
192.168.134.255 ff:ff:ff:ff:ff:ff UHLWbI en0 !
224.0.0/4 link#12 UmCS en0 !
224.0.0.251 1:0:5e:0:0:fb UHmLWI en0
255.255.255.255/32 link#12 UCS en0 !
</pre>

====Võrk - bluetooth====

Kuigi 2025 aastal müüdavate Apple Magic Keyboard puhul paljuski väljendatakse, et nad on kasutatavad wireless režiimis ja jääb mulje, et ainult nii, siis osutub, et tegelikult neil on toiteks mõeldud usb kaabel usb siiski ka andmevahetuseks võimaline. non-radio kasutamiseks

* system setting - bluetooth osakonnas lülitada välja bluetooth terviklikult, näiteks
* klaviatuur jätkab töötamist

====Võrk - wireless====

<pre>
Imres-MacBook-Air:~ root# wdutil info | head -n 44
————————————————————————————————————————————————————————————————————
NETWORK
————————————————————————————————————————————————————————————————————
Primary IPv4 : en0 (Wi-Fi / 9B1345E5-7303-47E8-9C98-5C1D150E7921)
: 192.168.134.74
Primary IPv6 : None
DNS Addresses : 1.1.1.1
Apple : Reachable
————————————————————————————————————————————————————————————————————
WIFI
————————————————————————————————————————————————————————————————————
MAC Address : <redacted> (hw=<redacted>)
Interface Name : en0
Power : On [On]
Op Mode : STA
SSID : <redacted>
BSSID : <redacted>
RSSI : -83 dBm
CCA : 2 %
Noise : -94 dBm
Tx Rate : 65.0 Mbps
Security : WPA2 Personal
PHY Mode : 11ac
MCS Index : 1
Guard Interval : 400
NSS : 1
Channel : 5g36/80
Country Code : EE
Scan Cache Count : 3
NetworkServiceID : 9B1345E5-7303-47E8-9C98-5C1D150E7921
IPv4 Config Method : DHCP
IPv4 Address : 192.168.134.74
IPv4 Router : 192.168.134.77
IPv6 Config Method : Automatic
IPv6 Address : fe80::ccb:dc0f:9b07:4271
IPv6 Router : None
DNS : 1.1.1.1
BTC Mode : Off
Desense :
Chain Ack : []
BTC Profile 2.4GHz : Disabled
BTC Profile 5GHz : Disabled
Sniffer Supported : YES
Supports 6e : Yes
</pre>

kus

* alumiselt pildilt tunneb ära sama info, nt channel 5g36/80
* 11ac tähistab protokolli 802.11ac

Visuaalne kujutis samas olukorras

[[Fail:20260718-macos-wifi-01.png|1000px]]

kus

* TODO

====SSH kaugligipääs====

Eemalt ligipääsu võimaldamiseks, ei pruugi olla hea mõte

[[Fail:20260706-macos-ssh-remote-access-01.png|600px]]

kus

* Remote Login

===Tarkvara haldus===

====Mõisted====

* DMG - disk image

====Sissejuhatus====

Üldiselt tekib tarkvara macos süsteemi kolmest allikast

* süsteemne tarkvara - nö süsteemi enda paigaldamise tagajärel, nt Safari brauser
* App Store - apple.com standardne viis tarkvara levitada, nt Yubico Authenticator
* tootja levitab - igasugused huvilised, ausama ja vähem ausamad levitavad .dmg formaadis tõmmist oma veebikohas/repos/jms - nt BetterTouchTool

Tarkvara paigaldamisel võiks eelistada App Store lahendust võimalusel

* tarkvara on läbinud teatud turvalisuse jms kaanonitega seotud protseduurid
* paigaldamise järgne uuendamine toimub automaatselt, sarnaselt põhisüsteemi tarkvaraga

Rakenduste jaoks on üldiselt kolm asukohta failisüsteemis

* /System/Applications - read only
* /Applications - read write
* ~/Applications ehk nt /Users/imreoolberg/Applications - read write

~/Applications kataloogi on realistlik paigaldada nö lihtsat tarkvara, nt mis ei sisalda kernel extensioneid vms (nt OpenVPN ei saa, aga XCA saab). Paigaldamine toimub Finder gui liideses .dmg sees oleva .app kataloogi vedamise teel ~/Applications kataloogi või käsureal nt

$ ditto /Volumes/XCA/xca.app ~/Applications

====Tarkvara allikad====

TODO

Mitte-ametlikud registrid

* https://www.macupdate.com/
* https://www.apponic.com/mac/

====Tööpõhimõte - drag-and-drop install====

Tundub, et lihtsamal juhul tarkvara paigaldamine seisneb lihtsalt failide kopeerimises .dmg failist arvuti kataloogi /Applications. .dmg faili moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil create -ov -fs "APFS" -size 200m -volname "SimpleCalc" MyDisk.dmg
</pre>

monteerimine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil attach MyDisk.dmg
</pre>

Sisu moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % date > /Volumes/SimpleCalc/testfile.txt
</pre>

lahti ühendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil detach /Volumes/SimpleCalc
</pre>

teisendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil convert MyDisk.dmg -format UDZO -o SimpleCalc-1.0.dmg
</pre>

Kui on soov läbi proovida nö omatehtud .dmg ja elamus, siis sobib

* mingi olemasolev lihtne .app põhine rakendus võtta aluseks - nt xca rakendus
* tema sisu kopeerida omatehtud .dmg sisse
* lõpuks selle abil tarkvara paigaldada

Osutub, et kui Finderis öelda Open siis monteeritaks .dmg nagu virtuaalne failipõhine plokkseade, mille juurkataloogi sisuks on peamiselt kaks sissekannet

* link /Applications kataloogile
* xca.app kataloog rakendusega

Ja Open avab ka nö erilises vaates Finderi, kus on näha nö traditsiooniline hiirega drag-and-drop install vaade, tehniliselt toimub tavaline kataloog-kopeeritakse-kataloogi muudatus.

MacOS sellist drag viisil tehtud tarkvara paigalduse ei registreeri kuskil keskses tarkvara-registris vms. Selline tarkvara paigaldamine on tehniliselt kataloogi kopeerimine, millega kaasneb signatuuri kontroll jms administratiivne element.

====Tööpõhimõte - installer packages====

<pre>
$ pkgutil --packages
$ pkgutil --files paketinimi
</pre>

====Paigaldatud tarkvara nimekirja esitamine====

GUI

<pre>
System Settings -> General -> System report -> Software -> Applications -> not obtained-from Apple
</pre>

käsurealt

<pre>
imreoolberg@Imres-MacBook-Air ~ % system_profiler SPApplicationsDataType | grep -B 3 -A 5 "Identified De" | head -n 20
Google Chrome:

Version: 140.0.7339.81
Obtained from: Identified Developer
Last Modified: 30.08.2025, 01:47
Kind: Universal
Signed by: Developer ID Application: Google LLC (EQHXZ8M8AV), Developer ID Certification Authority, Apple Root CA
Location: /Applications/Google Chrome.app
Get Info String: Google Chrome 140.0.7339.81, Copyright 2025 Google LLC. All rights reserved.
--
iTerm:

Version: 3.5.14
Obtained from: Identified Developer
Last Modified: 16.05.2025, 02:59
Kind: Universal
Signed by: Developer ID Application: GEORGE NACHMAN (H7V7XYVQ7D), Developer ID Certification Authority, Apple Root CA
Location: /Applications/iTerm.app
Get Info String: 3.5.14
--
</pre>

Üks viis on küsida failisüsteemis

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep imreoo
drwxr-xr-x@ 3 imreoolberg staff 96 Sep 3 11:10 /Applications/BetterTouchTool.app
drwxrwxr-x@ 3 imreoolberg admin 96 Aug 30 01:47 /Applications/Google Chrome.app
drwxr-xr-x@ 3 imreoolberg staff 96 May 16 02:59 /Applications/iTerm.app
drwxr-xr-x@ 3 imreoolberg admin 96 Apr 8 08:11 /Applications/UTM.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 25 15:41 /Applications/Visual Studio Code.app

imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep qdigi
drwxr-xr-x@ 3 root wheel 96 Sep 8 16:56 /Applications/qdigidoc4.app
</pre>

kus

* sõltuvalt paigaldusviisist on faili omanik erinev
* põhimõtteliselt tekib sellisest lähenemisest probleeme, nt mis siis kui süsteemil on mitu kasutajat, installinud kasutaja eemaldatakse jne - üks viis on kasutada süsteemis ühte non-personal administraator kasutajat kes tegeleb tarkvara paigaldamisega jms, ja ülejäänud kasutavad tarkvara
* @ tähistab asjaolu, et failiga on seotud apfs failisüsteemi extended attributs omadused, nt registreeritakse sedasi autor

<pre>
imreoolberg@Imres-MacBook-Air ~ % xattr -p com.apple.appstore.vendor_name "/Applications/Yubico Authenticator.app"
Yubico
</pre>

====Paigaldamine - App Store====

TODO

[[Fail:20250908-app-store-yubico-authenticator-01.png|900px]]

kus

* pressida Get -> Install -> Open
* tarkvara 'Obtained from' väärtuseks on 'App store'
* online otsing - https://www.apple.com/us/search/yubico?src=globalnav

====Paigaldamine - tootja juurest kopeerides====

TODO

====Tarkvara uuendamine====

Väited

* tarkvara uuendusi ei väljastata kindlaksmääratud aegadel (nt nagu Ubuntu või OpenBSD puhul)
* tarkvara uuendusi väljastatakse mitmel korral aastas ja vastavalt vajadusele
* tarkvara uuendused jaotuvad: 1. turva-uuendused, 2. vigade parandused, 3. funktsionaalsed muudatused
* tarkvara uuendusi koheldatakse terviklikult, st ei ole eraldi nt süsteemi osas ja rakendustarkvara, või pakettide nimekiri, millest saab teha käesoleva uuenduse korra jaoks valiku

Nt 2025 aastal on olnud selline uuenduste ajalugu

* January 27: macOS Sequoia 15.3, macOS Sonoma 14.7.3, and macOS Ventura 13.7.3 were released with security patches.
* February 10: An urgent security update, macOS Sequoia 15.3.1, was released.
* March 11: macOS Sequoia 15.3.2 was released, addressing security vulnerabilities in WebKit.
* March 31: macOS Sequoia 15.4, macOS Sonoma 14.7.5, and macOS Ventura 13.7.5 were released.
* April 16: macOS Sequoia 15.4.1 was released, providing security patches.
* May 12: macOS Sequoia 15.5, macOS Sonoma 14.7.6, and macOS Ventura 13.7.6 were released.
* July 29: macOS Sequoia 15.6, macOS Sonoma 14.7.7, and macOS Ventura 13.7.7 were released.
* August 20: macOS Sequoia 15.6.1 was released with security updates.

Käsundamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % sw_vers
ProductName: macOS
ProductVersion: 15.3
BuildVersion: 24D2059

imreoolberg@Imres-MacBook-Air ~ % softwareupdate -l
Software Update Tool

Finding available software
Software Update found the following new or updated software:
* Label: macOS Sequoia 15.6.1-24G90
Title: macOS Sequoia 15.6.1, Version: 15.6.1, Size: 6160384KiB, Recommended: YES, Action: restart,
</pre>

====Tarkvara uuendamine - App Store====

App Store rakendus vasakus paneelis on kõige all valik

Updates

[[Fail:20251203-macos-app-store-updates-01.png|800px]]

===Logi===

TODO

Kui klaviatuuri ja hiire kasutamine olid ebastabiilsed, siis soovitas gemini.google midagi sellist küsida, ei tea mis siit järeldada

<pre>
imreoolberg@Imres-MacBook-Air ~ % log show --predicate 'process == "WindowServer"' --style syslog --last 40m| grep -i skyl | tail -n 10
2026-07-06 00:49:00.495406+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:00.600614+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.751674+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.767823+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.824865+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] pid 771 failed to act on a ping it dequeued before timing out.
2026-07-06 00:49:00.847454+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.083920+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.175320+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.498496+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:01.498503+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
</pre>

===Misc===

====Screen Lock====

Tundub, et caffeinate on hästi efektiivne

$ caffeinate -di

====Watchdog====

Väited

* hardware watchdog on paratamatult sisse lülitatud
* software watchdog on seaditatav, vaikimisi on sisse lülitatud

<pre>
TODO
</pre>

====Programm====

Käivitamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % open -a BetterTouchTool
imreoolberg@Imres-MacBook-Air ~ %

imreoolberg@Imres-MacBook-Air ~ % "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
13:09:53.164 [desktop.init] INFO: Logging initialized, outputting to stderr
13:09:53.173 [desktop.init] INFO: Window hidden on startup: false
13:09:53.174 [desktop.init] INFO: Starting Helper subprocess: /Applications/Yubico Authenticator.app/Contents/Resources/helper/authenticator-helper
13:09:53.175 [desktop.init] INFO: Helper process started
13:09:53.176 [main] INFO: Running Yubico Authenticator...
{app_version: 7.2.3, dart: 3.8.1 (stable) (Wed May 28 00:47:25 2025 -0700) on "macos_arm64", os: macos, os_version: Version 15.6.1 (Build 24G90)}
13:09:53.302 [helper.ykman.logging] INFO: Logging at level: INFO
13:09:53.302 [helper.helper.device] INFO: Log level set to: INFO
13:09:53.302 [desktop.init] INFO: Helper log level set
13:09:53.327 [desktop.devices] INFO: USB state change
{"data":{"state":5740354900026072187,"pids":{}},"actions":["get","scan"],"children":{}}
13:09:53.327 [desktop.devices] INFO: USB state updated, unaccounted for: {}
..
</pre>

edasi

<pre>
Imres-MacBook-Air:/ root# file "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator: Mach-O universal binary with 2 architectures: [x86_64:Mach-O 64-bit executable x86_64] [arm64:Mach-O 64-bit executable arm64]
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture x86_64): Mach-O 64-bit executable x86_64
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture arm64): Mach-O 64-bit executable arm64
Imres-MacBook-Air:/ root#
</pre>

<pre>
imreoolberg@Imres-MacBook-Air Documents % cat hello.c
#include <stdio.h>

int main() {
printf("Hello, World!\n");
return 0;
}
</pre>

kompileerimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % clang hello.c -o hello
</pre>

käivitamine

<pre>
imreoolberg@Imres-MacBook-Air Documents % ./hello
Hello, World!
</pre>

otool abil binary uurimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % otool -L hello
hello:
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1351.0.0)
</pre>

yubico authenticator binary uurimine

<pre>
Imres-MacBook-Air:/ root# otool -L "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture x86_64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture arm64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
</pre>

kus

* @rpath viitab rakenduse kapsli sisestele ressurssidele

====dtruss====

<pre>
Imres-MacBook-Air:/ root# dtruss -p 65630 2>&1 | tail -n 1

: probe description syscall:::entry does not match any probes. System Integrity Protection is on

imreoolberg@Imres-MacBook-Air Documents % dtruss ./hello
dtrace: system integrity protection is on, some features will not be available
dtrace: failed to initialize dtrace: DTrace requires additional privileges
</pre>

====Screenshot====

Tähistatud ala

<pre>
Command + Shift + 4
</pre>

Kogu ekraan

<pre>
Command + Shift + 3
</pre>

Screen cast

<pre>
Command + Shift + 5
</pre>

Vaikimisi asub pildistus iseloomuliku nimega failis desktopil.

===Süsteemi taastamine===

====Recovery meedia ettevalmistamine====

<pre>
Imres-MacBook-Air:/ root# diskutil eraseDisk JHFS+ "MyVolume" /dev/disk4
Started erase on disk4
Unmounting disk
Creating the partition map
Waiting for partitions to activate
Formatting disk4s2 as Mac OS Extended (Journaled) with name MyVolume
Initialized /dev/rdisk4s2 as a 28 GB case-insensitive HFS Plus volume with a 8192k journal
Mounting disk
Finished erase on disk4

Imres-MacBook-Air:/ root# /Applications/Install\ macOS\ Sequoia.app/Contents/Resources/createinstallmedia --volume /Volumes/MyVolume
Ready to start.
To continue we need to erase the volume at /Volumes/MyVolume.
If you wish to continue type (Y) then press return: y
Erasing disk: 0%... 10%... 20%... 30%... 100%
Copying essential files...
Copying the macOS RecoveryOS...
Making disk bootable...
Copying to disk: 0%... 10%... 20%... 30%... 40%... 50%... 60%... 70%... 80%... 90%... 100%
Install media now available at "/Volumes/Install macOS Sequoia"
Imres-MacBook-Air:/ root# echo $?
0

# diskutil unmount /Volumes/Install\ macOS\ Sequoia
</pre>

Protseduur

1. Create a New APFS Volume
The first step is to create a new, separate volume on your internal drive where you will restore the backup.

Boot from your USB installer by holding the Option key on startup.

In the macOS Utilities window, select Disk Utility and click Continue.

In Disk Utility, go to the menu bar and select View > Show All Devices.

In the sidebar, select the APFS container (the device, not the volume) that holds your current macOS installation.

Click the + button in the toolbar to add a new APFS volume.

Give the new volume a name (e.g., "macOS Restored") and click Add. This process is very fast as APFS volumes share the same free space.

Once the new volume appears in the sidebar, close Disk Utility.

2. Restore the Backup to the New Volume
Now that the new volume is ready, you can restore your Time Machine backup to it.

From the macOS Utilities window, select Restore From Time Machine Backup and click Continue.

Follow the on-screen instructions, selecting your Time Machine backup drive when prompted.

When the installer asks you to choose a destination disk, you will see your original macOS volume and the new "macOS Restored" volume you just created.

Select the new "macOS Restored" volume as the destination for the restoration. The installer will then proceed to restore the system to that specific volume only.

After the restoration is complete, you can restart your Mac and, by holding down the Option key, you will be able to choose between your original macOS system and the restored system on the second volume.

===homebrew===

<pre>
imre@imre-mac ~ % /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
==> Checking for `sudo` access (which may request your password)...
Password:
==> This script will install:
/opt/homebrew/bin/brew
/opt/homebrew/share/doc/homebrew
/opt/homebrew/share/man/man1/brew.1
/opt/homebrew/share/zsh/site-functions/_brew
/opt/homebrew/etc/bash_completion.d/brew
/opt/homebrew
/etc/paths.d/homebrew
==> The following new directories will be created:
/opt/homebrew/bin
/opt/homebrew/etc
/opt/homebrew/include
/opt/homebrew/lib
/opt/homebrew/sbin
/opt/homebrew/share
/opt/homebrew/var
/opt/homebrew/opt
/opt/homebrew/share/zsh
/opt/homebrew/share/zsh/site-functions
/opt/homebrew/var/homebrew
/opt/homebrew/var/homebrew/linked
/opt/homebrew/Cellar
/opt/homebrew/Caskroom
/opt/homebrew/Frameworks
==> The Xcode Command Line Tools will be installed.

Press RETURN/ENTER to continue or any other key to abort:
==> /usr/bin/sudo /usr/bin/install -d -o root -g wheel -m 0755 /opt/homebrew
==> /usr/bin/sudo /bin/mkdir -p /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod ug=rwx /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod go-w /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions
==> /usr/bin/sudo /usr/sbin/chown imre /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/bin/chgrp admin /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/sbin/chown -R imre:admin /opt/homebrew
==> Searching online for the Command Line Tools
==> /usr/bin/sudo /usr/bin/touch /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Installing Command Line Tools for Xcode-16.4
==> /usr/bin/sudo /usr/sbin/softwareupdate -i Command\ Line\ Tools\ for\ Xcode-16.4
Software Update Tool

Finding available software

Downloading Command Line Tools for Xcode

Downloaded Command Line Tools for Xcode
Installing Command Line Tools for Xcode
Done with Command Line Tools for Xcode
Done.
==> /usr/bin/sudo /usr/bin/xcode-select --switch /Library/Developer/CommandLineTools
Password:
Sorry, try again.
Password:
==> /usr/bin/sudo /bin/rm -f /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Downloading and installing Homebrew...
remote: Enumerating objects: 310493, done.
remote: Counting objects: 100% (16399/16399), done.
remote: Compressing objects: 100% (608/608), done.
remote: Total 310493 (delta 15991), reused 15838 (delta 15791), pack-reused 294094 (from 3)
remote: Enumerating objects: 55, done.
remote: Counting objects: 100% (34/34), done.
remote: Total 55 (delta 33), reused 33 (delta 33), pack-reused 21 (from 1)
==> /usr/bin/sudo /bin/mkdir -p /etc/paths.d
==> /usr/bin/sudo tee /etc/paths.d/homebrew
/opt/homebrew/bin
==> /usr/bin/sudo /usr/sbin/chown root:wheel /etc/paths.d/homebrew
==> /usr/bin/sudo /bin/chmod a+r /etc/paths.d/homebrew
==> Updating Homebrew...
==> Downloading https://ghcr.io/v2/homebrew/portable-ruby/portable-ruby/blobs/sha256:20fa657858e44a4b39171d6e4111f8a9716eb62a78ebbd1491d94f90bb7b830a
################################################################################################################################################################ 100.0%
==> Pouring portable-ruby-3.4.5.arm64_big_sur.bottle.tar.gz
==> Installation successful!

==> Homebrew has enabled anonymous aggregate formulae and cask analytics.
Read the analytics documentation (and how to opt-out) here:
https://docs.brew.sh/Analytics
No analytics data has been sent yet (nor will any be during this install run).

==> Homebrew is run entirely by unpaid volunteers. Please consider donating:
https://github.com/Homebrew/brew#donations

==> Next steps:
- Run these commands in your terminal to add Homebrew to your PATH:
echo >> /Users/imre/.zprofile
echo 'eval "$(/opt/homebrew/bin/brew shellenv)"' >> /Users/imre/.zprofile
eval "$(/opt/homebrew/bin/brew shellenv)"
- Run brew help to get started
- Further documentation:
https://docs.brew.sh

imre@imre-mac ~ %
</pre>

pyhton 3.13

<pre>
imre@imre-mac ti % brew install python@3.13
==> Fetching downloads for: python@3.13
==> Downloading https://ghcr.io/v2/homebrew/core/python/3.13/manifests/3.13.7
#################################################################################################################### 100.0%
==> Fetching dependencies for python@3.13: mpdecimal, ca-certificates, openssl@3, readline, sqlite and xz
==> Downloading https://ghcr.io/v2/homebrew/core/mpdecimal/manifests/4.0.1
#################################################################################################################### 100.0%
==> Fetching mpdecimal
...

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
==> Summary
🍺 /opt/homebrew/Cellar/python@3.13/3.13.7: 3,620 files, 66.6MB
==> Running `brew cleanup python@3.13`...
Disable this behaviour by setting `HOMEBREW_NO_INSTALL_CLEANUP=1`.
Hide these hints with `HOMEBREW_NO_ENV_HINTS=1` (see `man brew`).
==> No outdated dependents to upgrade!
==> Caveats
==> python@3.13
Python is installed as
/opt/homebrew/bin/python3

Unversioned symlinks `python`, `python-config`, `pip` etc. pointing to
`python3`, `python3-config`, `pip3` etc., respectively, are installed into
/opt/homebrew/opt/python@3.13/libexec/bin

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
imre@imre-mac ti %

(py_venv) imre@imre-mac ti % brew tap hashicorp/tap
==> Tapping hashicorp/tap
Cloning into '/opt/homebrew/Library/Taps/hashicorp/homebrew-tap'...
remote: Enumerating objects: 5818, done.
remote: Counting objects: 100% (1132/1132), done.
remote: Compressing objects: 100% (221/221), done.
remote: Total 5818 (delta 1015), reused 913 (delta 911), pack-reused 4686 (from 3)
Receiving objects: 100% (5818/5818), 1.01 MiB | 1.18 MiB/s, done.
Resolving deltas: 100% (4104/4104), done.
Tapped 2 casks and 32 formulae (93 files, 1.3MB).
(py_venv) imre@imre-mac ti % brew install hashicorp/tap/vault
</pre>

===Xcode Command Line Tools===

Xcide CLI koosseisu kuuluvad muu hulgas

* git
* clang
* gcc

Paigaldamiseks sobib öelda

<pre>
# xcode-select --install
</pre>

to check

<pre>
imreoolberg@Imres-MacBook-Air ~ % xcode-select -p
/Library/Developer/CommandLineTools
</pre>

===Spaces===

Väited

* Spaces võimaldab tegeleda macos peal virtuaalsete desktop'idega
* käitumist kontrollib üldiselt 'System Settings -> Desktop & Dock -> Displays have separate Spaces' väärtus (vaikimisi 'On')
* F3 klahv abil saab Spaces riba kuvada monitoride üleosas
* Space'i saab liigutada monitoride vahel hiirega tirides, v.a. aktiivset space'i
* Space'ide vahel saab liikuda Control + left/righ arrow key abil
* Rakendust saab liigutada space'ide vahel minnes nn Mission Control vaatesse ja siis hiirega rakenduse akent lohistades
* Space sulgemisel paigutatakse vastavad aknad eelmisele space'ile

===Kellaaeg===

Süsteemi aeg

<pre>
Imres-MacBook-Air:~ root# date
Sat Sep 13 23:36:17 EEST 2025
</pre>

NTP serverilt kellaaja küsimine

<pre>
Imres-MacBook-Air:~ root# sntp time.apple.com
+0.049514 +/- 0.014280 time.apple.com 17.253.38.35
</pre>

Väärtuse küsimine

<pre>
Imres-MacBook-Air:~ root# systemsetup -getnetworktimeserver
Network Time Server: time.euro.apple.com
</pre>

Väärtuse muutmine

<pre>
Imres-MacBook-Air:~ root# systemsetup -setnetworktimeserver time.euro.apple.com
</pre>

Logist kellaajaga seotud sündmuste kohta küsimine

<pre>
Imres-MacBook-Air:~ root# log stream --predicate 'subsystem == "com.apple.timed"
</pre>

Kas kellaaeg automaatne hoidmine on kasutuses

<pre>
Imres-MacBook-Air:~ root# systemsetup -getusingnetworktime
Network Time: On
</pre>

===BSD pärand===

<pre>
imreoolberg@Imres-MacBook-Air ~ % which openssl
/usr/bin/openssl
imreoolberg@Imres-MacBook-Air ~ % openssl version
LibreSSL 3.3.6

Imres-MacBook-Air:~ root# ssh -V
OpenSSH_9.9p2, LibreSSL 3.3.6

Imres-MacBook-Air:~ root# pfctl -v
No ALTQ support in kernel
ALTQ related functions disabled

Imres-MacBook-Air:~ root# netstat -nr -f inet
</pre>

Süsteemsete kasutajate nimed algavad alakriipsuga (nt sarnaselt toimib OpenBSD), nt timed (ntp local protsess) töötab kasutajana _timed

<pre>
Imres-MacBook-Air:~ root# ps aux | grep timed
_timed 373 0.0 0.0 426967056 4576 ?? Ss Tue02PM 0:03.41 /usr/libexec/timed
</pre>

/etc/passwd failis on palju nö legacy kasutajad mille nimi viitab nö klassikalisele lahendusele

<pre>
Imres-MacBook-Air:~ root# egrep "_postgres|_dovenull|_postfix|_avamis|_clamav|_cyrus|_mailman|_cvs|_mysql|_jabber|_ftp" /etc/passwd
_postfix:*:27:27:Postfix Mail Server:/var/spool/postfix:/usr/bin/false
_cvs:*:72:72:CVS Server:/var/empty:/usr/bin/false
_mysql:*:74:74:MySQL Server:/var/empty:/usr/bin/false
_cyrus:*:77:6:Cyrus Administrator:/var/imap:/usr/bin/false
_mailman:*:78:78:Mailman List Server:/var/empty:/usr/bin/false
_clamav:*:82:82:ClamAV Daemon:/var/virusmails:/usr/bin/false
_jabber:*:84:84:Jabber XMPP Server:/var/empty:/usr/bin/false
_ftp:*:98:-2:FTP Daemon:/var/empty:/usr/bin/false
_postgres:*:216:216:PostgreSQL Server:/var/empty:/usr/bin/false
_dovenull:*:227:227:Dovecot Authentication:/var/empty:/usr/bin/false
</pre>

===Süsteemi paigaldamine===

Eesmärk

* paigaldada töötav töökoha keskkond
* valmituda juhtumiks kui kasutaja parool kaob ja on vaja seda taastada (teha reset)

TODO

===Google Chrome brauser===

TODO

Google Chrome brauseril on lubatud kuvada ssh privaatset võtit, nt

file:///Users/imreoolberg/.ssh/id_ed25519

Analoogliselt on see lubatud Ubuntu 24.04 platvormil, aga nt OpenBSD puhul mitte (tänu unveil tehnoloogiale).

===GateKeeper===

Kui kopeerida internetist tarkvara nt .dmg kujul ja paigaldada, siis esimesel käivitamisel küsib süsteem, et kas ikka käivitada see internetist kopeeritud programm, küsimus ja vastusega tegelemine on seotud xattr parameetriga com.apple.quarantine

<pre>
Imres-MacBook-Air:~ root# xattr -p com.apple.quarantine /Applications/KeePassXC.app
0181;68c6f083;Chrome;AF698614-F806-4A2B-B66C-4B09CB133779
</pre>
ja
<pre>
# spctl
</pre>

ja

<pre>
Imres-MacBook-Air:~ root# sqlite3 /Users/imreoolberg/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2
SQLite version 3.43.2 2023-10-10 13:08:14
Enter ".help" for usage hints.

sqlite> .schema
CREATE TABLE LSQuarantineEvent ( LSQuarantineEventIdentifier TEXT PRIMARY KEY NOT NULL, LSQuarantineTimeStamp REAL, LSQuarantineAgentBundleIdentifier TEXT, LSQuarantineAgentName TEXT, LSQuarantineDataURLString TEXT, LSQuarantineSenderName TEXT, LSQuarantineSenderAddress TEXT, LSQuarantineTypeNumber INTEGER, LSQuarantineOriginTitle TEXT, LSQuarantineOriginURLString TEXT, LSQuarantineOriginAlias BLOB );
CREATE INDEX LSQuarantineEventIndex ON LSQuarantineEvent ( LSQuarantineEventIdentifier );
CREATE INDEX LSQuarantineTimeStampIndex ON LSQuarantineEvent ( LSQuarantineTimeStamp );

sqlite> select * from LSQuarantineEvent;
9446C9BF-45BE-49C7-8EBE-2F15796AC8C8|778543831.0|com.google.Chrome|Chrome||||0|||
BDC2404B-51CD-4561-B50B-97C0C4272BF4|778543831.0|com.google.Chrome|Chrome||||0|||
295142B0-B654-4691-9F45-774441058E9A|778543831.0|com.google.Chrome|Chrome||||0|||
E806F7A8-856B-4A57-ADD6-0FFC2CAEECCB|778543833.0|com.google.Chrome|Chrome||||0|||
</pre>

===Transparency, Consent, and Control (TCC)===

Esmakordsel käivitamisel küsitakse vahel kataloogide ja failide avamise õiguse kohta, sellega tegeleb TCC. Tulemus on paista nt

System Settings -> Privacy & Security -> KeePassXC -> xxx

<pre>
Imres-MacBook-Air:~ root# mdls -name kMDItemCFBundleIdentifier /Applications/KeePassXC.app
kMDItemCFBundleIdentifier = "org.keepassxc.keepassxc"
</pre>

ning eemaldamiseks

<pre>
Imres-MacBook-Air:~ root# tccutil reset All org.keepassxc.keepassxc
Successfully reset All approval status for org.keepassxc.keepassxc
</pre>

===Kasutajate haldamine===

Kasutaja tekitamiseks sobib

System Settings -> Users & Groups -> Add User -> ...

Teise kasutajana lisaks sisse logimiseks sobib kasutada

System Settings -> Control Center -> Fast User Switching -> ...

===Eesti id kaart===

TODO

Peale paigaldamist on

System Settings -> ID-updater

===Finder===

Finder programm on sarnane nö vana-aja Windows Explorer programmile või XFCE4 prorammile Thunar.

Vasaku sidebar ehk paneeli sisu muutmiseks sobib kasutada Finder -> Settings ja nt muuta nähtavaks kasutaja kodukataloog.

===XQuartz===

Väited

* X11 põhiste rakenduste töötamiseks vajalik tarkvara (nö linux traditsiooni juhtumiks)
* X2go töötamise eelduseks

===Locale===

MacOS on väga utf-8 keskne süsteem, graafiliste rakenduste ja käsurea osakonnas

<pre>
imreoolberg@Imres-MacBook-Air ~ % env | grep LANG
LANG=en_US.UTF-8

imreoolberg@Imres-MacBook-Air ~ % locale
LANG="en_US.UTF-8"
LC_COLLATE="en_US.UTF-8"
LC_CTYPE="en_US.UTF-8"
LC_MESSAGES="en_US.UTF-8"
LC_MONETARY="en_US.UTF-8"
LC_NUMERIC="en_US.UTF-8"
LC_TIME="en_US.UTF-8"
LC_ALL=
</pre>

Juhtimiseks sobib kasutada faili ~/.zshrc

===Mälu haldus===

Käesolevat mälukasutust saab jälgida Activity Monitor utiliidi abil

[[Fail:20250918-macos-memory-01.png|900px]]

kus

* physical memory - arvuti riistvaralise mälu hulk
* memory used - mälu hulk mida operatsioonisüteem moel või teisel aktiivsemalt/vähem-aktiivsemalt/jne kasutab
* swap used - plokkseadmele/failisüsteemi salvestatud/puhverdatud mälu sisu

Memory Used koosneb neljast osast

* app memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis on välja swapitav, kokku pakitav jms paindlik
* wired memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis ei ole välja swapitav, kokku pakitav jms paindlik
* cached files - apfs jt failisüsteemide cache, st mällu puhverdatud sisu (tõenäoliselt teeb lugemise oluliselt kiiremaks)
* kokku pakitud mälule vastav maht mis kulub pakitud sisu hoidmiseks (mis on pakitud kujul)

'Compressed' väärtus väljendab, milline kokkupakkimata maht õnnestus kokku pakkida.

Väited

* arvutis on 'available memory' maht 16.00 - 12.84 = 3.16 G mälu - st see on ressurss, mida saab süsteem kohe kasutada täiendavate vajaduste jaoks
* kokku pakitud kujul olevate andmete maht on 12.84 - 5.90 - 2.17 - 3.30 = 1.47
* kokku pakkkimise efektiivsus on 3.96/1.47 = 2.69 st peaaegu 3x
* kuigi süsteemis on vaba mälu, siis on süsteem otsustanud siiski 175.6 MB välja swappida, ju ta teab mis teeb, ja nii on olnud otstarbekas
* cached files maht on selline ressurss, mille saab süsteem kiiresti võtta uude kasutusse, st nt rakenduse koodi jaoks

Swap asub failisüsteemis kataloogis /private/var/vm.

===Yubico Authenticator===

====Tööpõhimõte====

Yubico tootja krüptoseadmed on hästi populaarsed ja korralikud, Eestis on ka nende kasutamine päris levinud

[[Fail:20260718-macos-yubico-01.png|700px]]

Füüsilise seadme haldamiseks on kasutada tarkvara 'Yubico Authenticator'

[[Fail:20260718-macos-yubico-02.png|600px]]

kus

* nime 'Authenticator' viitab justkui TOTP tüüpi rakendusele, tegelikult on see palju funktsionaalsem (FIDO2 saladuste haldamine, PIV saladuste haldamine jne)

====Paigaldamine====

Yubico Authenticator paigaldamine toimub nö tavalisel viisil Apple App Store abil, samuti edasine tarkvara uuendamine.

====Kasulikud lisamaterjalid====

* https://www.auul.pri.ee/wiki/Yubikey

===Yubikey===

TODO

Kui ssh kliendi kasutamisel tekib olukord

<pre>
... sign_and_send_pubkey: signing failed for ECDSA .. from agent: agent refused operation
</pre>

võib abistada

<pre>
% ssh-add -e /usr/local/lib/libykcs11.dylib
Card removed: /usr/local/lib/libykcs11.dylib

% ssh-add -s /usr/local/lib/libykcs11.dylib
Enter passphrase for PKCS#11:
Card added: /usr/local/lib/libykcs11.dylib

%
</pre>

===Apple riistvara-tarkvara ajalugu===

Küsimus chatgpt'le

'what operating system apple computers have used, please give timeline of cpu and operating system with mentioning whether is was single or two-mode privilege separation solution'

Vastus chatgpt'lt - eristatakse 6 ajastut

The Early Days (1976-1984)

* Computer: Apple I, Apple II series.
* CPU: MOS Technology 6502.
* Operating System: Apple DOS, ProDOS.
* Privilege Mode: Single-mode. The CPU and OS lacked a concept of privilege separation. All software, including the operating system, ran with full, unrestricted access to the hardware.

The Early Macintosh (1984-1987)

* Computer: Macintosh 128K, Macintosh Plus, Mac SE.
* CPU: Motorola 68000.
* Operating System: System Software (System 1.0 - 4.0).
* Privilege Mode: The CPU had a two-mode (Supervisor/User) architecture. However, the early Mac OS did not fully use it for memory protection. The OS was based on a cooperative multitasking model, and a buggy program could still crash the entire system.

The 32-bit Transition (1987-1994)

* Computer: Macintosh II series.
* CPU: Motorola 68020, 68030, 68040.
* Operating System: Mac OS (System 5.0 - 7.5).
* Privilege Mode: The CPUs were fully capable of two-mode operation. The OS began to use some of these features, but it was still not a truly protected-mode, preemptive multitasking system.

The PowerPC Era (1994-2006)

* Computer: Power Macintosh series.
* CPU: PowerPC 601, 603, G3, G4.
* Operating System: Mac OS 7.5 - Mac OS 9.
* Privilege Mode: The PowerPC was a modern two-mode RISC architecture with a robust privilege model. Despite the powerful hardware, the underlying Mac OS remained non-preemptive and lacked true memory protection between applications. This was a key reason why Apple chose to adopt a BSD-based foundation for its next-generation OS.

The Intel Era (2006-2020)

* Computer: MacBook, MacBook Pro, iMac, Mac Mini, Mac Pro (Intel models).
* CPU: Intel Core 2 Duo, Core i3/i5/i7/i9, Xeon (x86 architecture).
* Operating System: Mac OS X (versions 10.4 to 10.15), later renamed macOS (from 10.12 onward).
* Privilege Mode: Two-mode (Ring 0 for the kernel, Ring 3 for applications). This was a pivotal time for Apple, as their BSD-based Mac OS X was finally running on a CPU architecture with a robust, industry-standard privilege model. The operating system could now fully leverage preemptive multitasking and true memory protection, making the Mac far more stable and secure than in the previous eras.

The ARM Era (2020-Present)

* Computer: MacBook Air, MacBook Pro, iMac, Mac Mini (Apple Silicon models).
* CPU: Apple Silicon (M1, M2, M3, and so on), which are custom ARM-based processors.
* Operating System: macOS (starting with macOS 11 Big Sur).
* Privilege Mode: The ARM architecture uses a sophisticated multi-level privilege model. The OS runs in EL1 (Kernel Mode), while user applications run in EL0 (User Mode). The system also utilizes EL2 (Hypervisor Mode) for virtualization and security features. The transition to ARM allowed Apple to fully integrate hardware and software, creating a highly efficient platform where the CPU, GPU, and memory are on a single chip. The macOS operating system is built specifically to take advantage of this architecture and its robust privilege model.

===Apple Continuity===

Apple Continuity initsiatiiv võimaldab ühe appleid konto külge kinnitatud seadmete vahel teha koostööd, nt selliste seadmete ja tegevuste osas

* veebikaamera
* Universal Control - clipboard st kopi-paste üle seadmete (Synergy/Barrier/jms sarnane)
* rakenduste kasutamise jätkamine - nt brauser
* Contacts

Kasulikud lisamaterjalid

* https://www.apple.com/macos/continuity/

===Ansible===

export OBJC_DISABLE_INITIALIZE_FORK_SAFETY=YES

===vnc klient===

vnc kliendi kasutamise eelduseks on kuskil võrgus töötav ja ligipääsetav vnc server. MacOS operatsioonisüsteemiga tuleb kaasa vnc klient, kasutamiseks sobib käivitada programm Finder

Finder -> Go -> Go to server

ning sisestada lahtrisse nt

vnc://192.168.10.187:5901

===Mail - IMAP ja SMTP klient===

TODO

===DFU - Device Firmware Update===

====Mõisted====

* Revive - tegevuse tulemusena asendatakse arvuti tava-firmware ja restore partitsioon - macos operatsioonisüsteem ja kasutaja andmed säilivad
* Restore - tegevuse tulemusena asendatakse arvuti tava-firmware, restore partition jne sh macos operatsioonisüsteem - st kõik
* IPSW - iphone software - praktiliselt kõik moodsad seadmed, nt https://ipsw.me/

====Tööpõhimõte====

Väited

* DFU puudutab 'macos all oleva tava-firmware all olevat eri-firmware kihti
* erinevalt nö x86 riistvara lahendustest saab mac riistvara puhul kasutada kahte seadet komplektis - seadmed ühendatakse tavalise thunderbolt vms kaabliga ning seejärel üks seade võimaldab teist ravida kasutades Apple Configurator tarkvara
* Apple Configurator ei võimalda tegeleda selle sama arvuti riistvaraga millel ta töötab, ta võimaldab tegeleda selle arvuti riistvaraga, mis on ühendatud thunderbolt kaabliga

====Apple Configurator tarkvara kasutamine====

* Apple Configurator paigaldatakse tavalisel viisil AppStore platvormi abil

====Kasulikud lisamaterjalid====

* youtube kanal lapfix sisaldab saateid - https://www.youtube.com/@lapfix

===Windows remote desktop klient===

AppStore abil on kasutada tasuta tarkvara 'Windows App'.

[[Fail:20251119-macos-windows-app-01.jpg|700px]]

===WireGuard===

WireGuard vpn klienti saab paigaldada tavalisel viisil App Store keskkonna abil. Peale paigaldamist ja esmast käivitamist valides spotlight otsingus wireguard, tuleks ilmselt kirjaldada vpn ühendus wireguard nö serveriga ning pressides + nuppu

[[Fail:20251215-macos-wireguard-04.png|700px]]

ning

[[Fail:20251215-macos-wireguard-01.png|700px]]

Käivitatud st aktiivse vpn tunneli olek paistab selline

[[Fail:20251215-macos-wireguard-02.png|700px]]

ning üldises vpn ühenduste nimekirjas

[[Fail:20251215-macos-wireguard-03.png|700px]]

<pre>
Imres-MacBook-Air:~ root# ifconfig utun6
utun6: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1420
options=6460<TSO4,TSO6,CHANNEL_IO,PARTIAL_CSUM,ZEROINVERT_CSUM>
inet 10.168.112.68 --> 10.168.112.68 netmask 0xffffff00
</pre>

ning ruuting

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet | grep utun6
default link#22 UCSIg utun6
10.168.10.177/32 link#22 UCS utun6
10.168.112/24 10.168.112.68 UGSc utun6
10.168.112.68 10.168.112.68 UH utun6
192.168.112 link#22 UCS utun6
224.0.0/4 link#22 UmCSI utun6
255.255.255.255/32 link#22 UCSI utun6
</pre>

Tundub, et mingitel hetkedel wireguard klient nö ei allu eriti, siis võib olla abiks protsessi lõpetamine teminali aknas ning käivitamine 'open -a ..' abil

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i wireg
imreoolberg 757 0.0 0.4 435612624 63120 ?? S Wed12PM 0:01.19 /Applications/WireGuard.app/Contents/MacOS/WireGuard
imreoolberg 30026 0.0 0.0 435300208 1344 s014 S+ 5:10AM 0:00.01 grep -i wireg

imreoolberg@Imres-MacBook-Air ~ % killall WireGuard

imreoolberg@Imres-MacBook-Air ~ % open -a WireGuard
</pre>

vpn kasutamisel tuleb arvestada, et kui MacOS tulemüür ei ole sisselülitatud ja ei takista, siis saab vpn serveri poolelt pöörduda ka macos arvuti poole.

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_OpenBSD_kasutamine#Wireguard
* https://www.auul.pri.ee/wiki/MikroTik_RouterOS#WireGuard

===Eesti ID kaardi kasutamine===

Eesti ID kaardi tarkvara paistab esindatud nn System Settings vasakus paneelis

[[Fail:20251216-macos-software-01.png|700px]]

Ning App Store peal

[[Fail:20251203-macos-app-store-updates-02.png|700px]]

ning

System Report -> Software -> Applications

juures

[[Fail:20251216-macos-software-02.png|700px]]

Lisaks Eesti ID kaardi tarkvara paistab nö .pkg osakonnas esindatud

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -v ^com.apple
..
eu.web-eid.web-eid-chrome
ee.ria.open-eid
ee.ria.qdigidoc4
eu.web-eid.web-eid
eu.web-eid.web-eid-safari
ee.ria.ID-updater
...
</pre>

kusjuures konkreetsed versioonid on sellest pkgutil vaatest

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.5.0.1954
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.15.0
volume: /
location: /
install-time: 1757342106
</pre>

Kusjuures siit paistab vastuolu: pkgutil eistab nt paketi ee.ria.qdigidoc4 versiooniks 4.8.2 kuid muud 4.9.1. Kui küsida käsurealt teisiti versiooni

<pre>
Imres-MacBook-Air:~ root# defaults read /Applications/qdigidoc4.app/Contents/Info.plist CFBundleShortVersionString
4.9.1
</pre>

Ning programmi enda gui liides ütleb samuti versiooniks 4.9.1, lisaks tundub, et tegu on siiski sama tarkvara eksemplariga

<pre>
Imres-MacBook-Air:~ root# ps aux | grep qdigidoc4 | grep -v grep
imreoolberg 38841 0.0 0.4 436001936 63600 ?? S 4:19AM 0:01.45 /Applications/qdigidoc4.app/Contents/MacOS/qdigidoc4
</pre>

ning

[[Fail:20251216-macos-software-03.png|700px]]

====System Settings vasaku paneeli ID-updater kasutamine====

Peale System Settings vasaku paneeli ID-update kasutamist ja jaatavat vastamist vaikimisi valikutega

[[Fail:20251216-macos-eid-updater-01.png|700px]]

tessa

[[Fail:20251216-macos-eid-updater-02.png|700px]]

kossa

[[Fail:20251216-macos-eid-updater-03.png|700px]]

nessa

[[Fail:20251216-macos-eid-updater-04.png|700px]]

on tulemuseks

[[Fail:20251216-macos-eid-updater-05.png|700px]]

ning käsurealt küsides, st mõne komponendi versioon uuenes

* eu.web-eid.web-eid-chrome
* ee.ria.open-eid
* eu.web-eid.web-eid
* ee.ria.ID-updater

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.10.0.235
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.18.0
volume: /
location: /
install-time: 1765858910
</pre>

20260630 kogemus

[[Fail:20260630-macos-eid-updater-01.png|900px]]

kus

* tundub, et macos lähenemisele natuke iseloomulikult erinevad kohad kirjutavad versiooni uuenduse kohta erinevat infot

===Mikrotik Winbox===

Paistab, et alates winbox v. 4 on toetatud MacOS

[[Fail:20260330-macos-mikrotik-install-01.png|800px]]

kus

* .dmg on Finder peal 'Open with' -> 'Diskmounter' abil avatud (monteeritud)
* paigaldamiseks tuleb nihutada .dmg sees paistev nö ressurss Applications alla kõrvale avatud Finder programmis (tavaliselt on .dmg avatud image nö ristkülikus kaks ikooni, rakendus ja Application ja tuleb nihutada selle akna sees
* Finder vasakus paneelis on Windbox disk image lahti monteeritud

kasutamine paistab välja nii

[[Fail:20260311-mikrotik-winbox-4-01.png|800px]]

Andmefailid asuvad

<pre>
imreoolberg@Imres-MacBook-Air ~ % find ~/Library/Application\ Support/MikroTik/WinBox -type f -ls
105559824 8 -rw-r--r-- 1 imreoolberg staff 1998 Jun 3 23:34 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.78.cfg.viw2
119606360 16 -rw-r--r-- 1 imreoolberg staff 5126 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.77.cfg.viw2
..

105555588 8 -rw-r--r-- 1 imreoolberg staff 502 Jun 3 23:29 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/Addresses.cdb
119606359 8 -rw-r--r-- 1 imreoolberg staff 383 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/settings.cfg.viw2
</pre>

====WindBox 4.1 -> 4.2 uuendamine====

Winbox uuendamine toimub üsna manuaalselt

[[Fail:20260709-mikrotik-01.png|900px]]

kus

* tootja jagab .dmg faili
* see fail tuleb eraldi liigutusena kopeerida tootja veebikohast
* avanenud värvilise pildi aknas ei ole teist ristkülikut nimega Application, tuleb lohistada Finderisse
* antud juhtum on hea näide kuidas MacOS Application kataloogi alamkataloogis asendab vana versiooni uuega

Kusjuures paigaldamise ajal midagi ei küsitud st privileegide saamiseks, tundub, et põhjusel kuna kataloog oli juba olemas ja kuulus kasutajale

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/*
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 29 2025 /Applications/balenaEtcher.app
drwxr-xr-x@ 3 imreoolberg staff 96 Jul 3 07:43 /Applications/BetterTouchTool.app
drwxr-xr-x 13 root staff 416 Jul 5 16:07 /Applications/DDPM
..
drwxr-xr-x@ 3 root wheel 96 Dec 3 2025 /Applications/web-eid-safari.app
drwxr-xr-x@ 3 root wheel 96 Jun 30 19:52 /Applications/WhatsApp.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 8 10:25 /Applications/WinBox.app
drwxr-xr-x@ 3 root wheel 96 Jul 4 19:44 /Applications/Windows App.app
drwxr-xr-x@ 3 root wheel 96 Dec 9 2025 /Applications/WireGuard.app
...
</pre>

kus

* sõltuvalt paigalduse viisist on kataloogil omanikuks kasutaja või root
* nt tundub, et app store ja pkgutil puhul on omanikuks root
* niisama kasutajana nö visuaalselt liigutades rakenduse Applications osakonda esmakordsel paigaldusel küsitakse täiendavalt privileegide kohta, ja seejärel enam mitte (st uuendamisel)

===MacOS virtualiseerimine===

TODO

===QR Journal===

TODO

===etcher===

TODO

===Rosetta paigaldamine===

<pre>
$ softwareupdate --install-rosetta
</pre>

===Dell U2725QE monitor===

Kuigi kõik niisamagi töötab, monitori tootja veebikohas on üsna huvitavat tarkvara

[[Fail:20260705-dell-macos-01.png|900px]]

kus

* DDPM - Dell Display and Peripherial Manager
* Monitor Firmware Update Utility

====DDPM====

Mõisted

* DDPM - Dell Display and Peripherial Manager

Peale allkopeerimist paistab .pkg pakenduses tarkvara

[[Fail:20260705-dell-macos-02.png|1100px]]

kus

* TODO

Paigaldamine paistab

[[Fail:20260705-dell-macos-03.png|500px]]

ja kasutamine

[[Fail:20260705-dell-macos-04.png|700px]]

* paistab midagi sellist nagu monitori enda peal füüsiliselt

====Dell U2725QE Monitor Firmware Update Utility====

Väited

* monitori firmware uuendmaine toimub üle arvuti ja monitori vahelise thunderbolt kaabli

Paigaldamine paistab selline .pkg pakett

[[Fail:20260705-dell-macos-05.png|600px]]

Firmware uuendamine toimub üle thunderbolt kaabli

[[Fail:20260705-dell-macos-06.png|700px]]

kus

* oluline mitte lasta monitori screen saverisse, power save'i jms - nt 'caffeinate -di' abil
* firmware versioon muutab M2T101 -> M2T102

====Kahe monitori kasutamine====

Osutub võimalikuks ühe MacBook Air arvutiga ühendada kaks Dell monitori nö tunderbolt mõttes järjestikuliselt

[[Fail:20260718-macos-dell-01.png|800px]]

ning

[[Fail:20260718-macos-dell-02.png|800px]]

kus

* TODO

Tegu ei ole Dell monitor daisy-chain tehnoloogiaga, sest daisy-chain töötab display protocol kihis, antud juhul toimub kontakt thunderbolt kihis.

===character terminal seadme kasutamine===

character teminal seadme kasutamine paistab nii, väga analoogne ubuntu ja debian operatsioonisüsteemiga

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i iterm2
imreoolberg 1112 11.2 1.8 436586496 306448 ?? S 6:11PM 3:08.34 /Applications/iTerm.app/Contents/MacOS/iTerm2
</pre>

ning iterm protsessis on pseudo-terminal master multiplexer seadmed

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1112 -P -n | grep ptmx
iTerm2 1112 imreoolberg 5u CHR 15,0 0t23863949 609 /dev/ptmx
iTerm2 1112 imreoolberg 44u CHR 15,1 0t1199 609 /dev/ptmx
iTerm2 1112 imreoolberg 45u CHR 15,2 0t204098 609 /dev/ptmx
</pre>

zsh shelli avatud terminaliga seotud

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep zsh
imreoolberg 1398 0.0 0.0 435312416 2784 s003 S 6:17PM 0:00.01 -zsh
imreoolberg 1380 0.0 0.0 435313360 3472 s002 S 6:17PM 0:00.11 -zsh
imreoolberg 1376 0.0 0.0 435308624 2672 s001 S 6:17PM 0:00.01 -zsh
imreoolberg 1115 0.0 0.0 435313184 2896 s000 S+ 6:11PM 0:00.06 -zsh
imreoolberg 2434 0.0 0.0 435299552 1392 s002 S+ 7:16PM 0:00.00 grep zsh

imreoolberg@Imres-MacBook-Air ~ % lsof -p 1376 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
zsh 1376 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
zsh 1376 imreoolberg txt REG 1,15 1361216 1152921500312571448 /bin/zsh
zsh 1376 imreoolberg txt REG 1,15 81288 1152921500312585080 /usr/share/locale/en_US.UTF-8/LC_COLLATE
zsh 1376 imreoolberg txt REG 1,15 118896 1152921500312574306 /usr/lib/zsh/5.9/zsh/terminfo.so
zsh 1376 imreoolberg txt REG 1,15 593088 1152921500312574312 /usr/lib/zsh/5.9/zsh/zle.so
zsh 1376 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
zsh 1376 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 1u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 10u CHR 16,1 0t683 733 /dev/ttys001
</pre>

ssh kliendis on

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1437 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
ssh 1437 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
ssh 1437 imreoolberg txt REG 1,15 1555472 1152921500312572845 /usr/bin/ssh
ssh 1437 imreoolberg txt REG 1,15 72984 121429580 /Library/Preferences/Logging/.plist-cache.a1S8PMuK
ssh 1437 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
ssh 1437 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 1u CHR 3,2 0t0 340 /dev/null
ssh 1437 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 3u IPv4 0x79fda12a4e8825b1 0t0 TCP 192.168.134.76:49197->192.168.10.166:22 (ESTABLISHED)
ssh 1437 imreoolberg 4u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 5u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 6u CHR 16,1 0t513 733 /dev/ttys001
</pre>

kus

* ilusti on paista järgnevus iterm2 -> zsh -> ssh

Selline pilt võiks

[[Fail:20260706-macos-char-01.png|800px]]

kus

* ptmx - pseudo-terminal master multiplexer
* ttys - teletypewriter slave
* console - füüsiline laptop graafilisse osakonda sisselogimise kohalolek
* Sun18 - kuna klassikaliselt on see tulp olnud max pikkusega 6 sümbolit, sellest selline notatsioon - kell 18, pühapäev

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_Debian_GNU/Linux_kasutamine#Seadmed_2

===Zabbix agent===

<pre>
imreoolberg@Imres-MacBook-Air ~ % sudo -i
Password:
Imres-MacBook-Air:~ root# file /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg: xar archive compressed TOC: 5108, SHA-1 checksum
</pre>

Misc

<pre>
imreoolberg@Imres-MacBook-Air ~ % installer -volinfo -pkg Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Volumes/PRO-G40
/Volumes/volume-tm-backup-01
/
</pre>

Paigaldamine

<pre>
Imres-MacBook-Air:~ root# installer -pkg /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg -target /
installer: Package name is Zabbix Agent
installer: Installing at base path /
installer: The install was successful.
</pre>

Tulemusena tekib süsteemi

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -i zabbix
com.zabbix.pkg.ZabbixAgent

Imres-MacBook-Air:~ root# pkgutil --files com.zabbix.pkg.ZabbixAgent
Library
Library/LaunchDaemons
Library/LaunchDaemons/com.zabbix.zabbix_agentd.plist
usr
usr/local
usr/local/bin
usr/local/bin/zabbix_get
usr/local/bin/zabbix_sender
usr/local/etc
usr/local/etc/zabbix
usr/local/etc/zabbix/zabbix_agentd
usr/local/etc/zabbix/zabbix_agentd/userparameter_examples.conf.NEW
usr/local/etc/zabbix/zabbix_agentd/userparameter_mysql.conf.NEW
usr/local/etc/zabbix/zabbix_agentd.conf.NEW
usr/local/sbin
usr/local/sbin/zabbix_agentd
</pre>

Seadistused

<pre>
Imres-MacBook-Air:~ root# egrep -v "^$|^#" /usr/local/etc/zabbix/zabbix_agentd.conf
LogFile=/var/log/zabbix/zabbix_agentd.log
Server=192.168.10.196
Hostname=macos-air.auul.pri.ee
</pre>

Tulemusena paistab vaikimisi Zabbix kaasa tuleva template abil selline pilt

[[Fail:20260706-macos-zabbix-01.png|1100px]]

kus

* võrreldes nt vaikimisi top utiliidi väljundiga, mis esitab muu hulgas andmeid cpu interruptide kohta, on zabbix esitus üsna tagasihoidlik

[[Fail:20260706-macos-zabbix-02.png|1400px]]

===scutil===

Osutub, et arvuti dhcp serveriga kohtumisele omandab lisaks ip aadressile jms võrguseadistusele ka uue hostname'i väärtuse, st mida vastab 'hostname' käsk kui kinnitatud uus dünaamiline ip address omab revers teisendust nimesüsteemis

<pre>
imreoolberg@orcl2-vip ~ % scutil --get LocalHostName
Imres-MacBook-Air
imreoolberg@orcl2-vip ~ % scutil --get ComputerName
Imre’s MacBook Air
imreoolberg@orcl2-vip ~ % scutil --get HostName
HostName: not set
</pre>

pinnimiseks sobib öelda

<pre>
orcl2-vip:~ root# scutil --set HostName "Imres-MacBook-Air"
</pre>

===Trash===

<pre>
imreoolberg@Imres-MacBook-Air ~ % du -sh .Trash
18G .Trash
</pre>

graafiliselt

[[Fail:20260729-macos-trash-01.png|600px]]

kus

* TODO

===Kasulikud lisamaterjalid===

* [[:Claude Desktop - MacOS]]
* [[:Rancher Desktop - MacOS]]
* [[:Podman Desktop - MacOS]]
* https://github.com/luchina-gabriel/OSX-PROXMOX
* https://www.apple.com/mac/compare/

Fail:20260709-mikrotik-01.png

2026-08-05T17:36:01Z

Imre: Imre laadis üles uue versiooni failist Fail:20260709-mikrotik-01.png

OpenSSH kasutamine

2026-08-05T17:13:15Z

Imre: /* 2026 suve märkused */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

====2026 suve märkused====

Kui mingil põhjusel, nt kasutatakse yubikey või ldap kasutajate keskhaldust, kust tuleb ssh pub võti vms

<pre>
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.01s system 40% cpu 10.025 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 31% cpu 12.028 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.01s system 42% cpu 9.027 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 26% cpu 8.022 total
</pre>

kus

* iga järjestikune pöördumine on ka halb

siis võib aidata järgmine seadistus sellisele tulemusele

<pre>
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 46% cpu 10.019 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 33% cpu 0.021 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 33% cpu 0.021 total
</pre>

kus

* esimene pöördumine on viivitusega
* edasised pöördumised toimuvad väledamalt

Ja seadistus ssh kliendi poolel kasutaja jaoks

<pre>
imre@imre-mac ~ % cat .ssh/config
Host *
TCPKeepAlive yes
ServerAliveInterval 60
User imre
ControlMaster auto
ControlPath /tmp/ssh-ctrl-%h-%p-%r
ControlPersist 3600
</pre>

kontrolliks

<pre>
imreoolberg@Imres-MacBook-Air ~ % ssh -O check root@192.168.10.166
Master running (pid=19802)
</pre>

kusjuures taustal töötavad sellised protsessid

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep "\[mux\]" | grep -v grep | grep -v rancher-desktop
imreoolberg 19923 0.0 0.0 435300976 2640 ?? Ss 8:08PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.210-22-root [mux]
imreoolberg 19823 0.0 0.0 435300976 992 ?? Ss 8:07PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.167-22-root [mux]
imreoolberg 19802 0.0 0.0 435300976 1040 ?? Ss 8:07PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.166-22-root [mux]
</pre>

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* host key algorithm (HostKeyAlgorithms) - ecdsa-sha2-nistp256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

* digital signature scheme

<pre>
$ ssh -Q key
ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521
ssh-rsa-cert-v01@openssh.com
ssh-dss-cert-v01@openssh.com
ecdsa-sha2-nistp256-cert-v01@openssh.com
ecdsa-sha2-nistp384-cert-v01@openssh.com
ecdsa-sha2-nistp521-cert-v01@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

OpenSSH kasutamine

2026-08-05T17:13:01Z

Imre: /* 2026 suve märkused */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

====2026 suve märkused====

Kui mingil põhjusel, nt kasutatakse yubikey või ldap kasutajate keskhaldust kust tuleb ssh pub võti vms

<pre>
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.01s system 40% cpu 10.025 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 31% cpu 12.028 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.01s system 42% cpu 9.027 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 26% cpu 8.022 total
</pre>

kus

* iga järjestikune pöördumine on ka halb

siis võib aidata järgmine seadistus sellisele tulemusele

<pre>
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 46% cpu 10.019 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 33% cpu 0.021 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 33% cpu 0.021 total
</pre>

kus

* esimene pöördumine on viivitusega
* edasised pöördumised toimuvad väledamalt

Ja seadistus ssh kliendi poolel kasutaja jaoks

<pre>
imre@imre-mac ~ % cat .ssh/config
Host *
TCPKeepAlive yes
ServerAliveInterval 60
User imre
ControlMaster auto
ControlPath /tmp/ssh-ctrl-%h-%p-%r
ControlPersist 3600
</pre>

kontrolliks

<pre>
imreoolberg@Imres-MacBook-Air ~ % ssh -O check root@192.168.10.166
Master running (pid=19802)
</pre>

kusjuures taustal töötavad sellised protsessid

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep "\[mux\]" | grep -v grep | grep -v rancher-desktop
imreoolberg 19923 0.0 0.0 435300976 2640 ?? Ss 8:08PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.210-22-root [mux]
imreoolberg 19823 0.0 0.0 435300976 992 ?? Ss 8:07PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.167-22-root [mux]
imreoolberg 19802 0.0 0.0 435300976 1040 ?? Ss 8:07PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.166-22-root [mux]
</pre>

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* host key algorithm (HostKeyAlgorithms) - ecdsa-sha2-nistp256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

* digital signature scheme

<pre>
$ ssh -Q key
ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521
ssh-rsa-cert-v01@openssh.com
ssh-dss-cert-v01@openssh.com
ecdsa-sha2-nistp256-cert-v01@openssh.com
ecdsa-sha2-nistp384-cert-v01@openssh.com
ecdsa-sha2-nistp521-cert-v01@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

OpenSSH kasutamine

2026-08-05T17:12:10Z

Imre: /* 2026 suve märkused */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

====2026 suve märkused====

Kui mingil põhjusel, nt kasutatakse yubikey või ldap kasutajate keskhaldust kust tuleb ssh pub võti vms

<pre>
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.01s system 40% cpu 10.025 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 31% cpu 12.028 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.01s system 42% cpu 9.027 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 26% cpu 8.022 total
</pre>

siis võib aidata järgmine seadistus sellisele tulemusele

<pre>
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 46% cpu 10.019 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 33% cpu 0.021 total
imreoolberg@Imres-MacBook-Air ~ % time ssh -A root@192.168.10.210 exit
ssh -A root@192.168.10.210 exit 0.00s user 0.00s system 33% cpu 0.021 total
</pre>

Ja seadistus ssh kliendi poolel kasutaja jaoks

<pre>
imre@imre-mac ~ % cat .ssh/config
Host *
TCPKeepAlive yes
ServerAliveInterval 60
User imre
ControlMaster auto
ControlPath /tmp/ssh-ctrl-%h-%p-%r
ControlPersist 3600
</pre>

kontrolliks

<pre>
imreoolberg@Imres-MacBook-Air ~ % ssh -O check root@192.168.10.166
Master running (pid=19802)
</pre>

kusjuures taustal töötavad sellised protsessid

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep "\[mux\]" | grep -v grep | grep -v rancher-desktop
imreoolberg 19923 0.0 0.0 435300976 2640 ?? Ss 8:08PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.210-22-root [mux]
imreoolberg 19823 0.0 0.0 435300976 992 ?? Ss 8:07PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.167-22-root [mux]
imreoolberg 19802 0.0 0.0 435300976 1040 ?? Ss 8:07PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.166-22-root [mux]
</pre>

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* host key algorithm (HostKeyAlgorithms) - ecdsa-sha2-nistp256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

* digital signature scheme

<pre>
$ ssh -Q key
ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521
ssh-rsa-cert-v01@openssh.com
ssh-dss-cert-v01@openssh.com
ecdsa-sha2-nistp256-cert-v01@openssh.com
ecdsa-sha2-nistp384-cert-v01@openssh.com
ecdsa-sha2-nistp521-cert-v01@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

OpenSSH kasutamine

2026-08-05T17:09:58Z

Imre: /* 2026 suve märkused */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

====2026 suve märkused====

<pre>
imre@imre-mac ~ % cat .ssh/config
Host *
TCPKeepAlive yes
ServerAliveInterval 60
User imre
ControlMaster auto
ControlPath /tmp/ssh-ctrl-%h-%p-%r
ControlPersist 3600
</pre>

kontrolliks

<pre>
imreoolberg@Imres-MacBook-Air ~ % ssh -O check root@192.168.10.166
Master running (pid=19802)
</pre>

kusjuures taustal töötavad sellised protsessid

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep "\[mux\]" | grep -v grep | grep -v rancher-desktop
imreoolberg 19923 0.0 0.0 435300976 2640 ?? Ss 8:08PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.210-22-root [mux]
imreoolberg 19823 0.0 0.0 435300976 992 ?? Ss 8:07PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.167-22-root [mux]
imreoolberg 19802 0.0 0.0 435300976 1040 ?? Ss 8:07PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.166-22-root [mux]
</pre>

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* host key algorithm (HostKeyAlgorithms) - ecdsa-sha2-nistp256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

* digital signature scheme

<pre>
$ ssh -Q key
ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521
ssh-rsa-cert-v01@openssh.com
ssh-dss-cert-v01@openssh.com
ecdsa-sha2-nistp256-cert-v01@openssh.com
ecdsa-sha2-nistp384-cert-v01@openssh.com
ecdsa-sha2-nistp521-cert-v01@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

OpenSSH kasutamine

2026-08-05T17:08:37Z

Imre: /* 2026 suve märkused */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

====2026 suve märkused====

<pre>
imre@imre-mac ~ % cat .ssh/config
Host *
TCPKeepAlive yes
ServerAliveInterval 60
User imre
ControlMaster auto
ControlPath /tmp/ssh-ctrl-%h-%p-%r
ControlPersist 3600
</pre>

kontrolliks

<pre>
imre@imre-mac ~ % ssh -O check imre@192.168.240.202
Master running (pid=9642)
</pre>

kusjuures taustal töötavad sellised protsessid

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep "\[mux\]" | grep -v grep | grep -v rancher-desktop
imreoolberg 19923 0.0 0.0 435300976 2640 ?? Ss 8:08PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.210-22-root [mux]
imreoolberg 19823 0.0 0.0 435300976 992 ?? Ss 8:07PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.167-22-root [mux]
imreoolberg 19802 0.0 0.0 435300976 1040 ?? Ss 8:07PM 0:00.00 ssh: /tmp/ssh-ctrl-192.168.10.166-22-root [mux]
</pre>

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* host key algorithm (HostKeyAlgorithms) - ecdsa-sha2-nistp256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

* digital signature scheme

<pre>
$ ssh -Q key
ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521
ssh-rsa-cert-v01@openssh.com
ssh-dss-cert-v01@openssh.com
ecdsa-sha2-nistp256-cert-v01@openssh.com
ecdsa-sha2-nistp384-cert-v01@openssh.com
ecdsa-sha2-nistp521-cert-v01@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

PowerDNS webfrontend - Poweradmin

2026-08-05T05:57:28Z

Imre:

===Sissejuhatus===

TODO

Osutub, et 2026 aasta kevadel on tekkinud Poweradmin lahendusele PowerDNS api kasutamise tugi. St enam ei ole tingimata vaja kasutada sama PowerDNS andmebaasi, https://github.com/poweradmin/poweradmin/releases/tag/v4.3.0

'v4.3.0 is the biggest release in the 4.x line so far. Native API-only deployments, a domainmetadata editor, log filtering and exports, hardened auth, and plenty more - see the full changelog for the complete list.'

===Tööpõhimõte===

TODO

===Paigaldamine===

TODO

===Kasulikud lisamaterjalid===

* TODO

PowerDNS webfrontend - Poweradmin

2026-08-05T05:54:57Z

Imre: Uus lehekülg: '===Sissejuhatus=== TODO ===Kasulikud lisamaterjalid=== * TODO'

===Sissejuhatus===

TODO

===Kasulikud lisamaterjalid===

* TODO

PowerDNS webfrontend - PowerDNS-Admin

2026-08-05T05:53:49Z

Imre: /* pdns podman lahendus */

===Sissejuhatus===

Eesmärk

* ühe operatsioonisüteemi peal kompaktselt lahenduse pidamine - Debian v. 12
* dns server - PowerDNS
* webgui haldusliides - PowerDNS-Admin (PDA)
* dnssec võimekus
* docker abil kasutatakse konteinerit (PDA)
* andmeid hoitakse PostgreSQL andmebaasis

===Tööpõhimõte===

Väited

* dnssec kasutab algoritmi nr 13
* NSEC3 kasutab '1 0 0 -' seadistust
* sekundaarsete nimeserveritega suhtlemine toimub catalog-zones abil
* kasutatakse KSK/ZSK ja CSK lähenemist võtmete pidamisel

Protseduuride võimekus

* NSEC, NSEC3 ja NSEC3 param väärtuste muutmine
* võtme vahetus
* krüptimise algoritmi vahetus

===Platvormi ettevalmistamine===

Platvorm koosneb

* Debian v. 12 operatsioonisüsteem
* Docker Community Edition
* PostgreSQL v. 12
* NginX

PostgreSQL

<pre>
root@pdns:/tmp# apt-get install postgresql-common
root@pdns:/tmp# mkdir /etc/postgresql-common/createcluster.d
root@pdns:/tmp# echo "initdb_options = '--data-checksums'" > /etc/postgresql-common/createcluster.d/moraal.conf
root@pdns:/tmp# echo "create_main_cluster = false" >> /etc/postgresql-common/createcluster.d/moraal.conf
root@pdns:/tmp# apt-get install postgresql-16
root@pdns:/tmp# pg_createcluster --locale en_US.UTF-8 16 pgcluster_pdns_prod

postgres=# \x
Expanded display is on.
postgres=# \l postgres
List of databases
-[ RECORD 1 ]-----+------------
Name | postgres
Owner | postgres
Encoding | UTF8
Locale Provider | libc
Collate | en_US.UTF-8
Ctype | en_US.UTF-8
ICU Locale |
ICU Rules |
Access privileges |
</pre>

PowerDNS kasutaja ja create database baasi tekitamiseks sobib öelda

<pre>
# su - postgres
$ psql
sql> create role pdns login;
sql> \password pdns
sql> create database db_pdns owner = pdns;
</pre>

PowerDNS-Admin kasutaja ja create database baasi tekitamiseks sobib öelda

<pre>
# su - postgres
$ psql
sql> create role pda login;
sql> \password pda
sql> create database db_pda owner = pda;
</pre>

===PowerDNS paigaldamine===

PowerDNS ise ja tema tööks otseselt vajalikud komponendid (nt PostgreSQL andmebaas) töötavad nö tavalisel viisil operatsioonisüsteemi protsesside-teenustena st mitte-konteineritena.

<pre>
# apt-get install pdns-server pdns-backend-pgsql pdns-tools
</pre>

Tulemusena käivitatakse pdns server ja tema bind backend.

TODO

PostgreSQL backend kasutamine

<pre>
# psql -h 127.0.0.1 -U pdns pdns < /usr/share/doc/pdns-backend-pgsql/schema.pgsql.sql
Password for user pdns:
CREATE TABLE
CREATE INDEX
CREATE INDEX
CREATE TABLE
CREATE INDEX
...
</pre>

Baasi ligipääs jms kirjeldatakse failis, https://doc.powerdns.com/authoritative/backends/generic-postgresql.html#

<pre>
root@pdns:~# egrep -v "^#|^$" /etc/powerdns/pdns.d/gpgsql.conf
launch+=gpgsql
gpgsql-dbname=db_pdns
gpgsql-dnssec=yes
gpgsql-host=127.0.0.1
gpgsql-password=parool
gpgsql-port=5432
gpgsql-user=pdns
</pre>

bind eemaldamiseks sobib kustutada fail

# rm /etc/powerdns/pdns.d/bind.conf

Tulemusena töötab pdns server, gpgsql backendiga

<pre>
2024-06-16T16:44:00.877817+03:00 pdns systemd[1]: Starting pdns.service - PowerDNS Authoritative Server...
2024-06-16T16:44:00.906026+03:00 pdns pdns_server[3916]: Loading '/usr/lib/x86_64-linux-gnu/pdns/libgpgsqlbackend.so'
2024-06-16T16:44:00.906356+03:00 pdns pdns_server[3916]: This is a standalone pdns
2024-06-16T16:44:00.906408+03:00 pdns pdns_server[3916]: Listening on controlsocket in '/run/pdns/pdns.controlsocket'
2024-06-16T16:44:00.906668+03:00 pdns pdns_server[3916]: UDP server bound to 0.0.0.0:53
2024-06-16T16:44:00.906684+03:00 pdns pdns_server[3916]: UDP server bound to [::]:53
2024-06-16T16:44:00.906735+03:00 pdns pdns_server[3916]: TCP server bound to 0.0.0.0:53
2024-06-16T16:44:00.906750+03:00 pdns pdns_server[3916]: TCP server bound to [::]:53
2024-06-16T16:44:00.906866+03:00 pdns pdns_server[3916]: PowerDNS Authoritative Server 4.9.1 (C) PowerDNS.COM BV
2024-06-16T16:44:00.906881+03:00 pdns pdns_server[3916]: Using 64-bits mode. Built using gcc 12.2.0 on May 28 2024 07:46:05 by root@localhost.
2024-06-16T16:44:00.906891+03:00 pdns pdns_server[3916]: PowerDNS comes with ABSOLUTELY NO WARRANTY. This is free software, and you are welcome to redistribute it according to the terms of the GPL version 2.
2024-06-16T16:44:00.915255+03:00 pdns pdns_server[3916]: Polled security status of version 4.9.1 at startup, no known issues reported: OK
2024-06-16T16:44:00.926644+03:00 pdns pdns_server[3916]: Creating backend connection for TCP
2024-06-16T16:44:00.935773+03:00 pdns pdns_server[3916]: About to create 3 backend threads for UDP
2024-06-16T16:44:00.935850+03:00 pdns systemd[1]: Started pdns.service - PowerDNS Authoritative Server.
2024-06-16T16:44:01.086206+03:00 pdns pdns_server[3916]: Done launching threads, ready to distribute questions
</pre>

ühtegi tsooni ei ole kirjeldatud

<pre>
root@pdns:/tmp# pdnsutil list-all-zones
root@pdns:/tmp#
</pre>

===PowerDNS seadistamine===

Seadistamisel tegeldakse

* api sisselülitamine (PDA jaoks)
* SOA kirje vaikeväärtused
* DNSSEC vaike krüpto

===PowerDNS-Admin paigaldamine - PDA - docker===

PowerDNS-Admin tarvkara töötab docker konteinerina, aga kasutab host arvutist postgresql andmebaasi. Platvorm ettevalmistamine punktis on vajalik kasutaja ja create database tekitatud. PDA kasutamine eeldab, et PDNS juures on sisse lülitatud api liides (vaikimisi http liiklus üle port 8081).

Docker compose fail

<pre>
root@pdns:~# cat docker-compose-pda.yml
services:
svc_pda:
image: powerdnsadmin/pda-legacy:v0.4.2

container_name: cn_pda
restart: always
logging:
driver: json-file
options:
max-size: 50m
ports:
- "9191:80"
environment:
- SECRET_KEY='saladus'
- SQLALCHEMY_DATABASE_URI=postgresql://pda:pdaparool@192.168.10.53/pda
- GUNICORN_TIMEOUT=60
- GUNICORN_WORKERS=2
- GUNICORN_LOGLEVEL=DEBUG
- OFFLINE_MODE=False
- CSRF_COOKIE_SECURE=False

networks:
- nw_pda

networks:
nw_pda:
name: nw_pda
driver: bridge
</pre>

Käivitamiseks

# docker compose -f docker-compose-pda.yml up -d

Tulemusena on aadressil http://192.168.10.53:9191/ PDA webgui sisselogimise ekraan. Pressida Create Account ja esimesena tekitatud kasutaja on admin privileegidega.

TODO

===PowerDNS-Admin paigaldamine - NginX operatsioonisüsteem===

NginX https:// frontend kasutamiseks sobib kasutada sellist seadistust

<pre>
root@pdns:/etc/nginx/sites-enabled# cat /etc/nginx/sites-enabled/pdns
server {
listen 80;
server_name pdns.moraal.ee;
root /var/www/html;

if ($request_uri !~ /.well-known) {
return 301 https://pdns.moraal.ee/;
}
}

server {
listen 443 ssl http2;
server_name pdns.moraal.ee;
ssl_certificate /etc/ssl/localcerts/pdns.moraal.ee.pem;
ssl_certificate_key /etc/ssl/localcerts/pdns.moraal.ee.key;
ssl_session_timeout 1d;
ssl_session_cache shared:MozSSL:10m;
ssl_session_tickets off;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305;

client_max_body_size 25m;

ssl_stapling off;
add_header Strict-Transport-Security "max-age=63072000" always;

access_log /var/log/nginx/access-pdns.moraal.ee-443.log;
root /var/www/html;

location / {
proxy_set_header Host $http_host;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Forwarded-Proto https;
proxy_pass http://192.168.10.53:9191;
}
}
</pre>

===PowerDNS-Admin paigaldamine - NginX docker===

<pre>
# cat /srv/pdns/volume/nginx/etc/nginx/nginx.conf
# nginx.conf

user nginx;
worker_processes auto;
error_log /dev/stderr;
pid /var/run/nginx.pid;

events {
worker_connections 1024;
}

http {
include mime.types;
default_type application/octet-stream;

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log /dev/stdout main;

sendfile on;
keepalive_timeout 65;

# Redirect HTTP to HTTPS
server {
listen 80;
server_name _;
return 301 https://$host$request_uri;
}

# HTTPS Configuration
server {
listen 443 ssl;
server_name _;
http2 on;
ssl_protocols TLSv1.3;
ssl_prefer_server_ciphers on;

ssl_certificate /etc/ssl/localcerts/ns-pdns-01.auul.pri.ee.crt;
ssl_certificate_key /etc/ssl/localcerts/ns-pdns-01.auul.pri.ee.key;

# Recommended security settings
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305;

# Logging
access_log /dev/stdout;
error_log /dev/stdout;

# Reverse proxy to the destination
location / {
proxy_pass http://svc_pdns:8081;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
}
</pre>

===Misc===

Tulemusena saab pda webgui poole pöörduda aadressiga https://pdns.moraal.ee/.

PDA kasutaja parooli muutmine postgresql baasis, nb rakendus kasutab tabeli nimena 'user', see on postgresql nö built-in objekt ja name clash ületamiseks tuleb pöörduda rakendusega seotud ressursi poole "user" abil, eriti koos skeemi prefiksiga

<pre>
# su - postgres
$ psql db_pda
pda=# select * from public."user";
-[ RECORD 1 ]------------------------------------------------------------
id | 1
username | admin
password | $2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FF
firstname | Imre
lastname | Oolberg
email | imre.oolberg@auul.pri.ee
otp_secret |
role_id | 1
confirmed | f
..

db_pda=# update public."user" set password='$2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FC' where username='admin';
UPDATE 1
</pre>

kusjuures password väärtus tekitatakse nt

<pre>
$ htpasswd -bnBC 15 "" pdaparool | tr -d ':\n'
$2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FC
</pre>

Kasutaja lisamine

<pre>
db_pda=# insert into "user" (username, password, firstname, lastname, email, role_id, confirmed) values ('admin', '$2b$12$4M9qXQaWn95GTregvSO2v.I/1QQT0/Ayqt3jZsMp06FIa5dMme6Gu', 'Administrator', 'Administrator', 'priit@moraal.ee', 1, 'f');
</pre>

pdns api kontakti lisamine

<pre>
db_pda=# insert into setting (name, value) values ('pdns_api_url', 'http://192.168.10.80:8081');
INSERT 0 1
db_pda=# insert into setting (name, value) values ('pdns_api_key', 'apiparool');
INSERT 0 1
db_pda=# insert into setting (name, value) values ('pdns_version', '4.9.11');
INSERT 0 1
db_pda=# select * from setting;
id | name | value
----+--------------+------------------------
7 | pdns_api_url | http://192.168.10.80:8081
8 | pdns_api_key | apiparool
9 | pdns_version | 4.9.11
(3 rows)
</pre>

===PDA kasutamise privileegid===

Väited

* Account - grupi taoline moodustis, praktiliselt võiks vastata domeeni omanik asutusele
* User - kasutaja taoline moodustis, vastab inimesele kes süsteemi kasutab
* User ja Account vaheliste seoste abil saab anda hulgale kasutajatele õiguse tegeleda hulga domeenidega

<pre>
root@rv-xxx-01:/opt/pda/dc# docker exec -ti e8 sh
/app $ ps aux
PID USER TIME COMMAND
1 pda 0:00 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG
7 pda 0:02 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG
8 pda 0:01 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG

[2025-10-31 13:06:25,927] [record.py:61] ERROR - Cannot fetch zone's record data from remote powerdns api. DETAIL: HTTPSConnectionPool(host='rvxxx-01.test.moraal.ee', port=443): Max retries exceeded with url: /api/v1/servers/localhost/zones/imretest-03.ee (Caused by SSLError(SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self-signed certificate in certificate chain (_ssl.c:1007)')))

volumes:
# - /opt/pda/volume/pda/etc/ssl/certs/ca-certificates.crt:/usr/lib/python3.10/site-packages/certifi/cacert.pem
</pre>

===PDA API liidese kasutamine===

Tsooni tekitamine

<pre>
$ curl -s -L -H 'Content-Type: application/json' -H 'Authorization: Basic xxx' -X POST https://pda.moraal.ee/api/v1/pdnsadmin/zones \
--data '{"name": "zone-moraal-imre-test-01.ee.", "kind": "MASTER", "nameservers": ["ans1.moraal.ee.", "ans2.moraal.ee."]}' | jq .
{
"account": "",
"api_rectify": false,
"catalog": "",
"dnssec": false,
"edited_serial": 2026010802,
"id": "zone-moraal-imre-test-01.ee.",
"kind": "Master",
"last_check": 0,
"master_tsig_key_ids": [],
"masters": [],
"name": "zone-moraal-imre-test-01.ee.",
"notified_serial": 0,
"nsec3narrow": false,
"nsec3param": "",
"rrsets": [
{
"comments": [],
"name": "zone-moraal-imre-test-01.ee.",
"records": [
{
"content": "ans1.moraal.ee. hostmaster.moraal.ee. 2026010801 86400 7200 2419200 10800",
"disabled": false
}
],
"ttl": 3600,
"type": "SOA"
},
{
"comments": [],
"name": "zone-moraal-imre-test-01.ee.",
"records": [
{
"content": "ans1.moraal.ee.",
"disabled": false
},
{
"content": "ans2.moraal.ee.",
"disabled": false
}
],
"ttl": 3600,
"type": "NS"
}
],
"serial": 2026010801,
"slave_tsig_key_ids": [],
"soa_edit": "",
"soa_edit_api": "DEFAULT",
"url": "/api/v1/servers/localhost/zones/zone-moraal-imre-test-01.ee."
}
</pre>

Kui pole ligipääsu saab sellise vastuse

<pre>
% curl -s -L -H 'Content-Type: application/json' -H 'X-API-KEY: xxx' -X GET "https://pda.moraal.ee/api/v1/servers/localhost/zones/zone-moraal-imre-test-01.ee" | jq .
{
"msg": "Zone access not allowed"
}
</pre>

===pdns docker lahendus===

<pre>
# egrep -v "^$|^#" /etc/powerdns/pdns.conf
allow-axfr-ips=127.0.0.1,192.168.10.0/24
allow-notify-from=
allow-unsigned-notify=yes
also-notify=
api=yes
api-key=saladus
default-api-rectify=yes
default-ksk-algorithm=ecdsa256
default-soa-content=ans1.auu.pri.ee hostmaster.auul.pri.ee 0 86400 7200 2419200 10800
default-soa-edit=INCEPTION-INCREMENT
default-soa-edit-signed=INCEPTION-INCREMENT
default-ttl=3600
disable-syslog=no
forward-notify=
include-dir=/etc/powerdns/pdns.d
launch=
local-address=172.30.0.15, 10.30.0.15
local-port=53
log-dns-details=yes
log-dns-queries=yes
log-timestamp=yes
loglevel=4
only-notify=
primary=yes
secondary=yes
webserver=yes
webserver-address=10.30.0.15
webserver-allow-from=0.0.0.0/0
webserver-loglevel=detailed
webserver-password=saladus
webserver-port=8081
</pre>

===pdns podman lahendus===

PDNS Quadlet Service kirjeldus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/pdns-01.container
[Unit]
Description=My PDNS Quadlet Service
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/powerdns/pdns-auth-49:latest
PublishPort=1053:8053/tcp
PublishPort=1053:8053/udp
ContainerName=pdns-01
Volume=%h/volume/pdns/etc/powerdns/pdns.conf:/etc/powerdns/pdns.conf:ro
Environment=PDNS_local_port=8053

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target
</pre>

ning pdns.conf seadistusfail

<pre>
# cat /opt/pdns/volume/pdns/etc/powerdns/pdns.conf
local-address=0.0.0.0
launch=
# include-dir=/etc/powerdns/pdns.d
api=yes
api-key=parool
webserver=yes
webserver-address=0.0.0.0
webserver-allow-from=0.0.0.0/0

#master=yes

primary=yes
secondary=yes
allow-axfr-ips= 100.20.21.0/24,127.0.0.1/32,172.17.0.0/16
also-notify=192.168.1.150
only-notify=
forward-notify=
default-soa-content=ans1.auul.pri.ee hostmaster.auul.pri.ee 0 86400 7200 2419200 10800
default-soa-edit=INCEPTION-INCREMENT
default-soa-edit-signed=INCEPTION-INCREMENT
default-ttl=3600

default-ksk-algorithm=ecdsa256
default-api-rectify=yes
# default-nsec3-param=1 0 0 -

launch+=gpgsql
gpgsql-dnssec=yes
gpgsql-extra-connection-parameters=password=parool dbname=db_pdns port=5432 user=pdns host=192.168.1.147
</pre>

===Kasulikud lisamaterjalid===

* [[:PowerDNS Authoritative Server nimeserveri kasutamine]]

PowerDNS webfrontend - PowerDNS-Admin

2026-08-05T05:52:44Z

Imre: /* PDA API liidese kasutamine */

PowerDNS webfrontend - PowerDNS-Admin

2026-08-05T05:52:38Z

Imre: /* PDA kasutamise privileegid */

===Sissejuhatus===

Eesmärk

* ühe operatsioonisüteemi peal kompaktselt lahenduse pidamine - Debian v. 12
* dns server - PowerDNS
* webgui haldusliides - PowerDNS-Admin (PDA)
* dnssec võimekus
* docker abil kasutatakse konteinerit (PDA)
* andmeid hoitakse PostgreSQL andmebaasis

===Tööpõhimõte===

Väited

* dnssec kasutab algoritmi nr 13
* NSEC3 kasutab '1 0 0 -' seadistust
* sekundaarsete nimeserveritega suhtlemine toimub catalog-zones abil
* kasutatakse KSK/ZSK ja CSK lähenemist võtmete pidamisel

Protseduuride võimekus

* NSEC, NSEC3 ja NSEC3 param väärtuste muutmine
* võtme vahetus
* krüptimise algoritmi vahetus

===Platvormi ettevalmistamine===

Platvorm koosneb

* Debian v. 12 operatsioonisüsteem
* Docker Community Edition
* PostgreSQL v. 12
* NginX

PostgreSQL

<pre>
root@pdns:/tmp# apt-get install postgresql-common
root@pdns:/tmp# mkdir /etc/postgresql-common/createcluster.d
root@pdns:/tmp# echo "initdb_options = '--data-checksums'" > /etc/postgresql-common/createcluster.d/moraal.conf
root@pdns:/tmp# echo "create_main_cluster = false" >> /etc/postgresql-common/createcluster.d/moraal.conf
root@pdns:/tmp# apt-get install postgresql-16
root@pdns:/tmp# pg_createcluster --locale en_US.UTF-8 16 pgcluster_pdns_prod

postgres=# \x
Expanded display is on.
postgres=# \l postgres
List of databases
-[ RECORD 1 ]-----+------------
Name | postgres
Owner | postgres
Encoding | UTF8
Locale Provider | libc
Collate | en_US.UTF-8
Ctype | en_US.UTF-8
ICU Locale |
ICU Rules |
Access privileges |
</pre>

PowerDNS kasutaja ja create database baasi tekitamiseks sobib öelda

<pre>
# su - postgres
$ psql
sql> create role pdns login;
sql> \password pdns
sql> create database db_pdns owner = pdns;
</pre>

PowerDNS-Admin kasutaja ja create database baasi tekitamiseks sobib öelda

<pre>
# su - postgres
$ psql
sql> create role pda login;
sql> \password pda
sql> create database db_pda owner = pda;
</pre>

===PowerDNS paigaldamine===

PowerDNS ise ja tema tööks otseselt vajalikud komponendid (nt PostgreSQL andmebaas) töötavad nö tavalisel viisil operatsioonisüsteemi protsesside-teenustena st mitte-konteineritena.

<pre>
# apt-get install pdns-server pdns-backend-pgsql pdns-tools
</pre>

Tulemusena käivitatakse pdns server ja tema bind backend.

TODO

PostgreSQL backend kasutamine

<pre>
# psql -h 127.0.0.1 -U pdns pdns < /usr/share/doc/pdns-backend-pgsql/schema.pgsql.sql
Password for user pdns:
CREATE TABLE
CREATE INDEX
CREATE INDEX
CREATE TABLE
CREATE INDEX
...
</pre>

Baasi ligipääs jms kirjeldatakse failis, https://doc.powerdns.com/authoritative/backends/generic-postgresql.html#

<pre>
root@pdns:~# egrep -v "^#|^$" /etc/powerdns/pdns.d/gpgsql.conf
launch+=gpgsql
gpgsql-dbname=db_pdns
gpgsql-dnssec=yes
gpgsql-host=127.0.0.1
gpgsql-password=parool
gpgsql-port=5432
gpgsql-user=pdns
</pre>

bind eemaldamiseks sobib kustutada fail

# rm /etc/powerdns/pdns.d/bind.conf

Tulemusena töötab pdns server, gpgsql backendiga

<pre>
2024-06-16T16:44:00.877817+03:00 pdns systemd[1]: Starting pdns.service - PowerDNS Authoritative Server...
2024-06-16T16:44:00.906026+03:00 pdns pdns_server[3916]: Loading '/usr/lib/x86_64-linux-gnu/pdns/libgpgsqlbackend.so'
2024-06-16T16:44:00.906356+03:00 pdns pdns_server[3916]: This is a standalone pdns
2024-06-16T16:44:00.906408+03:00 pdns pdns_server[3916]: Listening on controlsocket in '/run/pdns/pdns.controlsocket'
2024-06-16T16:44:00.906668+03:00 pdns pdns_server[3916]: UDP server bound to 0.0.0.0:53
2024-06-16T16:44:00.906684+03:00 pdns pdns_server[3916]: UDP server bound to [::]:53
2024-06-16T16:44:00.906735+03:00 pdns pdns_server[3916]: TCP server bound to 0.0.0.0:53
2024-06-16T16:44:00.906750+03:00 pdns pdns_server[3916]: TCP server bound to [::]:53
2024-06-16T16:44:00.906866+03:00 pdns pdns_server[3916]: PowerDNS Authoritative Server 4.9.1 (C) PowerDNS.COM BV
2024-06-16T16:44:00.906881+03:00 pdns pdns_server[3916]: Using 64-bits mode. Built using gcc 12.2.0 on May 28 2024 07:46:05 by root@localhost.
2024-06-16T16:44:00.906891+03:00 pdns pdns_server[3916]: PowerDNS comes with ABSOLUTELY NO WARRANTY. This is free software, and you are welcome to redistribute it according to the terms of the GPL version 2.
2024-06-16T16:44:00.915255+03:00 pdns pdns_server[3916]: Polled security status of version 4.9.1 at startup, no known issues reported: OK
2024-06-16T16:44:00.926644+03:00 pdns pdns_server[3916]: Creating backend connection for TCP
2024-06-16T16:44:00.935773+03:00 pdns pdns_server[3916]: About to create 3 backend threads for UDP
2024-06-16T16:44:00.935850+03:00 pdns systemd[1]: Started pdns.service - PowerDNS Authoritative Server.
2024-06-16T16:44:01.086206+03:00 pdns pdns_server[3916]: Done launching threads, ready to distribute questions
</pre>

ühtegi tsooni ei ole kirjeldatud

<pre>
root@pdns:/tmp# pdnsutil list-all-zones
root@pdns:/tmp#
</pre>

===PowerDNS seadistamine===

Seadistamisel tegeldakse

* api sisselülitamine (PDA jaoks)
* SOA kirje vaikeväärtused
* DNSSEC vaike krüpto

===PowerDNS-Admin paigaldamine - PDA - docker===

PowerDNS-Admin tarvkara töötab docker konteinerina, aga kasutab host arvutist postgresql andmebaasi. Platvorm ettevalmistamine punktis on vajalik kasutaja ja create database tekitatud. PDA kasutamine eeldab, et PDNS juures on sisse lülitatud api liides (vaikimisi http liiklus üle port 8081).

Docker compose fail

<pre>
root@pdns:~# cat docker-compose-pda.yml
services:
svc_pda:
image: powerdnsadmin/pda-legacy:v0.4.2

container_name: cn_pda
restart: always
logging:
driver: json-file
options:
max-size: 50m
ports:
- "9191:80"
environment:
- SECRET_KEY='saladus'
- SQLALCHEMY_DATABASE_URI=postgresql://pda:pdaparool@192.168.10.53/pda
- GUNICORN_TIMEOUT=60
- GUNICORN_WORKERS=2
- GUNICORN_LOGLEVEL=DEBUG
- OFFLINE_MODE=False
- CSRF_COOKIE_SECURE=False

networks:
- nw_pda

networks:
nw_pda:
name: nw_pda
driver: bridge
</pre>

Käivitamiseks

# docker compose -f docker-compose-pda.yml up -d

Tulemusena on aadressil http://192.168.10.53:9191/ PDA webgui sisselogimise ekraan. Pressida Create Account ja esimesena tekitatud kasutaja on admin privileegidega.

TODO

===PowerDNS-Admin paigaldamine - NginX operatsioonisüsteem===

NginX https:// frontend kasutamiseks sobib kasutada sellist seadistust

<pre>
root@pdns:/etc/nginx/sites-enabled# cat /etc/nginx/sites-enabled/pdns
server {
listen 80;
server_name pdns.moraal.ee;
root /var/www/html;

if ($request_uri !~ /.well-known) {
return 301 https://pdns.moraal.ee/;
}
}

server {
listen 443 ssl http2;
server_name pdns.moraal.ee;
ssl_certificate /etc/ssl/localcerts/pdns.moraal.ee.pem;
ssl_certificate_key /etc/ssl/localcerts/pdns.moraal.ee.key;
ssl_session_timeout 1d;
ssl_session_cache shared:MozSSL:10m;
ssl_session_tickets off;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305;

client_max_body_size 25m;

ssl_stapling off;
add_header Strict-Transport-Security "max-age=63072000" always;

access_log /var/log/nginx/access-pdns.moraal.ee-443.log;
root /var/www/html;

location / {
proxy_set_header Host $http_host;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Forwarded-Proto https;
proxy_pass http://192.168.10.53:9191;
}
}
</pre>

===PowerDNS-Admin paigaldamine - NginX docker===

<pre>
# cat /srv/pdns/volume/nginx/etc/nginx/nginx.conf
# nginx.conf

user nginx;
worker_processes auto;
error_log /dev/stderr;
pid /var/run/nginx.pid;

events {
worker_connections 1024;
}

http {
include mime.types;
default_type application/octet-stream;

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log /dev/stdout main;

sendfile on;
keepalive_timeout 65;

# Redirect HTTP to HTTPS
server {
listen 80;
server_name _;
return 301 https://$host$request_uri;
}

# HTTPS Configuration
server {
listen 443 ssl;
server_name _;
http2 on;
ssl_protocols TLSv1.3;
ssl_prefer_server_ciphers on;

ssl_certificate /etc/ssl/localcerts/ns-pdns-01.auul.pri.ee.crt;
ssl_certificate_key /etc/ssl/localcerts/ns-pdns-01.auul.pri.ee.key;

# Recommended security settings
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305;

# Logging
access_log /dev/stdout;
error_log /dev/stdout;

# Reverse proxy to the destination
location / {
proxy_pass http://svc_pdns:8081;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
}
</pre>

===Misc===

Tulemusena saab pda webgui poole pöörduda aadressiga https://pdns.moraal.ee/.

PDA kasutaja parooli muutmine postgresql baasis, nb rakendus kasutab tabeli nimena 'user', see on postgresql nö built-in objekt ja name clash ületamiseks tuleb pöörduda rakendusega seotud ressursi poole "user" abil, eriti koos skeemi prefiksiga

<pre>
# su - postgres
$ psql db_pda
pda=# select * from public."user";
-[ RECORD 1 ]------------------------------------------------------------
id | 1
username | admin
password | $2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FF
firstname | Imre
lastname | Oolberg
email | imre.oolberg@auul.pri.ee
otp_secret |
role_id | 1
confirmed | f
..

db_pda=# update public."user" set password='$2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FC' where username='admin';
UPDATE 1
</pre>

kusjuures password väärtus tekitatakse nt

<pre>
$ htpasswd -bnBC 15 "" pdaparool | tr -d ':\n'
$2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FC
</pre>

Kasutaja lisamine

<pre>
db_pda=# insert into "user" (username, password, firstname, lastname, email, role_id, confirmed) values ('admin', '$2b$12$4M9qXQaWn95GTregvSO2v.I/1QQT0/Ayqt3jZsMp06FIa5dMme6Gu', 'Administrator', 'Administrator', 'priit@moraal.ee', 1, 'f');
</pre>

pdns api kontakti lisamine

<pre>
db_pda=# insert into setting (name, value) values ('pdns_api_url', 'http://192.168.10.80:8081');
INSERT 0 1
db_pda=# insert into setting (name, value) values ('pdns_api_key', 'apiparool');
INSERT 0 1
db_pda=# insert into setting (name, value) values ('pdns_version', '4.9.11');
INSERT 0 1
db_pda=# select * from setting;
id | name | value
----+--------------+------------------------
7 | pdns_api_url | http://192.168.10.80:8081
8 | pdns_api_key | apiparool
9 | pdns_version | 4.9.11
(3 rows)
</pre>

===PDA kasutamise privileegid===

Väited

* Account - grupi taoline moodustis, praktiliselt võiks vastata domeeni omanik asutusele
* User - kasutaja taoline moodustis, vastab inimesele kes süsteemi kasutab
* User ja Account vaheliste seoste abil saab anda hulgale kasutajatele õiguse tegeleda hulga domeenidega

<pre>
root@rv-xxx-01:/opt/pda/dc# docker exec -ti e8 sh
/app $ ps aux
PID USER TIME COMMAND
1 pda 0:00 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG
7 pda 0:02 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG
8 pda 0:01 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG

[2025-10-31 13:06:25,927] [record.py:61] ERROR - Cannot fetch zone's record data from remote powerdns api. DETAIL: HTTPSConnectionPool(host='rvxxx-01.test.moraal.ee', port=443): Max retries exceeded with url: /api/v1/servers/localhost/zones/imretest-03.ee (Caused by SSLError(SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self-signed certificate in certificate chain (_ssl.c:1007)')))

volumes:
# - /opt/pda/volume/pda/etc/ssl/certs/ca-certificates.crt:/usr/lib/python3.10/site-packages/certifi/cacert.pem
</pre>

====PDA API liidese kasutamine====

Tsooni tekitamine

<pre>
$ curl -s -L -H 'Content-Type: application/json' -H 'Authorization: Basic xxx' -X POST https://pda.moraal.ee/api/v1/pdnsadmin/zones \
--data '{"name": "zone-moraal-imre-test-01.ee.", "kind": "MASTER", "nameservers": ["ans1.moraal.ee.", "ans2.moraal.ee."]}' | jq .
{
"account": "",
"api_rectify": false,
"catalog": "",
"dnssec": false,
"edited_serial": 2026010802,
"id": "zone-moraal-imre-test-01.ee.",
"kind": "Master",
"last_check": 0,
"master_tsig_key_ids": [],
"masters": [],
"name": "zone-moraal-imre-test-01.ee.",
"notified_serial": 0,
"nsec3narrow": false,
"nsec3param": "",
"rrsets": [
{
"comments": [],
"name": "zone-moraal-imre-test-01.ee.",
"records": [
{
"content": "ans1.moraal.ee. hostmaster.moraal.ee. 2026010801 86400 7200 2419200 10800",
"disabled": false
}
],
"ttl": 3600,
"type": "SOA"
},
{
"comments": [],
"name": "zone-moraal-imre-test-01.ee.",
"records": [
{
"content": "ans1.moraal.ee.",
"disabled": false
},
{
"content": "ans2.moraal.ee.",
"disabled": false
}
],
"ttl": 3600,
"type": "NS"
}
],
"serial": 2026010801,
"slave_tsig_key_ids": [],
"soa_edit": "",
"soa_edit_api": "DEFAULT",
"url": "/api/v1/servers/localhost/zones/zone-moraal-imre-test-01.ee."
}
</pre>

Kui pole ligipääsu saab sellise vastuse

<pre>
% curl -s -L -H 'Content-Type: application/json' -H 'X-API-KEY: xxx' -X GET "https://pda.moraal.ee/api/v1/servers/localhost/zones/zone-moraal-imre-test-01.ee" | jq .
{
"msg": "Zone access not allowed"
}
</pre>

===pdns docker lahendus===

<pre>
# egrep -v "^$|^#" /etc/powerdns/pdns.conf
allow-axfr-ips=127.0.0.1,192.168.10.0/24
allow-notify-from=
allow-unsigned-notify=yes
also-notify=
api=yes
api-key=saladus
default-api-rectify=yes
default-ksk-algorithm=ecdsa256
default-soa-content=ans1.auu.pri.ee hostmaster.auul.pri.ee 0 86400 7200 2419200 10800
default-soa-edit=INCEPTION-INCREMENT
default-soa-edit-signed=INCEPTION-INCREMENT
default-ttl=3600
disable-syslog=no
forward-notify=
include-dir=/etc/powerdns/pdns.d
launch=
local-address=172.30.0.15, 10.30.0.15
local-port=53
log-dns-details=yes
log-dns-queries=yes
log-timestamp=yes
loglevel=4
only-notify=
primary=yes
secondary=yes
webserver=yes
webserver-address=10.30.0.15
webserver-allow-from=0.0.0.0/0
webserver-loglevel=detailed
webserver-password=saladus
webserver-port=8081
</pre>

===pdns podman lahendus===

PDNS Quadlet Service kirjeldus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/pdns-01.container
[Unit]
Description=My PDNS Quadlet Service
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/powerdns/pdns-auth-49:latest
PublishPort=1053:8053/tcp
PublishPort=1053:8053/udp
ContainerName=pdns-01
Volume=%h/volume/pdns/etc/powerdns/pdns.conf:/etc/powerdns/pdns.conf:ro
Environment=PDNS_local_port=8053

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target
</pre>

ning pdns.conf seadistusfail

<pre>
# cat /opt/pdns/volume/pdns/etc/powerdns/pdns.conf
local-address=0.0.0.0
launch=
# include-dir=/etc/powerdns/pdns.d
api=yes
api-key=parool
webserver=yes
webserver-address=0.0.0.0
webserver-allow-from=0.0.0.0/0

#master=yes

primary=yes
secondary=yes
allow-axfr-ips= 100.20.21.0/24,127.0.0.1/32,172.17.0.0/16
also-notify=192.168.1.150
only-notify=
forward-notify=
default-soa-content=ans1.auul.pri.ee hostmaster.auul.pri.ee 0 86400 7200 2419200 10800
default-soa-edit=INCEPTION-INCREMENT
default-soa-edit-signed=INCEPTION-INCREMENT
default-ttl=3600

default-ksk-algorithm=ecdsa256
default-api-rectify=yes
# default-nsec3-param=1 0 0 -

launch+=gpgsql
gpgsql-dnssec=yes
gpgsql-extra-connection-parameters=password=parool dbname=db_pdns port=5432 user=pdns host=192.168.1.147
</pre>

PowerDNS webfrontend - PowerDNS-Admin

2026-08-05T05:52:08Z

Imre:

===Sissejuhatus===

Eesmärk

* ühe operatsioonisüteemi peal kompaktselt lahenduse pidamine - Debian v. 12
* dns server - PowerDNS
* webgui haldusliides - PowerDNS-Admin (PDA)
* dnssec võimekus
* docker abil kasutatakse konteinerit (PDA)
* andmeid hoitakse PostgreSQL andmebaasis

===Tööpõhimõte===

Väited

* dnssec kasutab algoritmi nr 13
* NSEC3 kasutab '1 0 0 -' seadistust
* sekundaarsete nimeserveritega suhtlemine toimub catalog-zones abil
* kasutatakse KSK/ZSK ja CSK lähenemist võtmete pidamisel

Protseduuride võimekus

* NSEC, NSEC3 ja NSEC3 param väärtuste muutmine
* võtme vahetus
* krüptimise algoritmi vahetus

===Platvormi ettevalmistamine===

Platvorm koosneb

* Debian v. 12 operatsioonisüsteem
* Docker Community Edition
* PostgreSQL v. 12
* NginX

PostgreSQL

<pre>
root@pdns:/tmp# apt-get install postgresql-common
root@pdns:/tmp# mkdir /etc/postgresql-common/createcluster.d
root@pdns:/tmp# echo "initdb_options = '--data-checksums'" > /etc/postgresql-common/createcluster.d/moraal.conf
root@pdns:/tmp# echo "create_main_cluster = false" >> /etc/postgresql-common/createcluster.d/moraal.conf
root@pdns:/tmp# apt-get install postgresql-16
root@pdns:/tmp# pg_createcluster --locale en_US.UTF-8 16 pgcluster_pdns_prod

postgres=# \x
Expanded display is on.
postgres=# \l postgres
List of databases
-[ RECORD 1 ]-----+------------
Name | postgres
Owner | postgres
Encoding | UTF8
Locale Provider | libc
Collate | en_US.UTF-8
Ctype | en_US.UTF-8
ICU Locale |
ICU Rules |
Access privileges |
</pre>

PowerDNS kasutaja ja create database baasi tekitamiseks sobib öelda

<pre>
# su - postgres
$ psql
sql> create role pdns login;
sql> \password pdns
sql> create database db_pdns owner = pdns;
</pre>

PowerDNS-Admin kasutaja ja create database baasi tekitamiseks sobib öelda

<pre>
# su - postgres
$ psql
sql> create role pda login;
sql> \password pda
sql> create database db_pda owner = pda;
</pre>

===PowerDNS paigaldamine===

PowerDNS ise ja tema tööks otseselt vajalikud komponendid (nt PostgreSQL andmebaas) töötavad nö tavalisel viisil operatsioonisüsteemi protsesside-teenustena st mitte-konteineritena.

<pre>
# apt-get install pdns-server pdns-backend-pgsql pdns-tools
</pre>

Tulemusena käivitatakse pdns server ja tema bind backend.

TODO

PostgreSQL backend kasutamine

<pre>
# psql -h 127.0.0.1 -U pdns pdns < /usr/share/doc/pdns-backend-pgsql/schema.pgsql.sql
Password for user pdns:
CREATE TABLE
CREATE INDEX
CREATE INDEX
CREATE TABLE
CREATE INDEX
...
</pre>

Baasi ligipääs jms kirjeldatakse failis, https://doc.powerdns.com/authoritative/backends/generic-postgresql.html#

<pre>
root@pdns:~# egrep -v "^#|^$" /etc/powerdns/pdns.d/gpgsql.conf
launch+=gpgsql
gpgsql-dbname=db_pdns
gpgsql-dnssec=yes
gpgsql-host=127.0.0.1
gpgsql-password=parool
gpgsql-port=5432
gpgsql-user=pdns
</pre>

bind eemaldamiseks sobib kustutada fail

# rm /etc/powerdns/pdns.d/bind.conf

Tulemusena töötab pdns server, gpgsql backendiga

<pre>
2024-06-16T16:44:00.877817+03:00 pdns systemd[1]: Starting pdns.service - PowerDNS Authoritative Server...
2024-06-16T16:44:00.906026+03:00 pdns pdns_server[3916]: Loading '/usr/lib/x86_64-linux-gnu/pdns/libgpgsqlbackend.so'
2024-06-16T16:44:00.906356+03:00 pdns pdns_server[3916]: This is a standalone pdns
2024-06-16T16:44:00.906408+03:00 pdns pdns_server[3916]: Listening on controlsocket in '/run/pdns/pdns.controlsocket'
2024-06-16T16:44:00.906668+03:00 pdns pdns_server[3916]: UDP server bound to 0.0.0.0:53
2024-06-16T16:44:00.906684+03:00 pdns pdns_server[3916]: UDP server bound to [::]:53
2024-06-16T16:44:00.906735+03:00 pdns pdns_server[3916]: TCP server bound to 0.0.0.0:53
2024-06-16T16:44:00.906750+03:00 pdns pdns_server[3916]: TCP server bound to [::]:53
2024-06-16T16:44:00.906866+03:00 pdns pdns_server[3916]: PowerDNS Authoritative Server 4.9.1 (C) PowerDNS.COM BV
2024-06-16T16:44:00.906881+03:00 pdns pdns_server[3916]: Using 64-bits mode. Built using gcc 12.2.0 on May 28 2024 07:46:05 by root@localhost.
2024-06-16T16:44:00.906891+03:00 pdns pdns_server[3916]: PowerDNS comes with ABSOLUTELY NO WARRANTY. This is free software, and you are welcome to redistribute it according to the terms of the GPL version 2.
2024-06-16T16:44:00.915255+03:00 pdns pdns_server[3916]: Polled security status of version 4.9.1 at startup, no known issues reported: OK
2024-06-16T16:44:00.926644+03:00 pdns pdns_server[3916]: Creating backend connection for TCP
2024-06-16T16:44:00.935773+03:00 pdns pdns_server[3916]: About to create 3 backend threads for UDP
2024-06-16T16:44:00.935850+03:00 pdns systemd[1]: Started pdns.service - PowerDNS Authoritative Server.
2024-06-16T16:44:01.086206+03:00 pdns pdns_server[3916]: Done launching threads, ready to distribute questions
</pre>

ühtegi tsooni ei ole kirjeldatud

<pre>
root@pdns:/tmp# pdnsutil list-all-zones
root@pdns:/tmp#
</pre>

===PowerDNS seadistamine===

Seadistamisel tegeldakse

* api sisselülitamine (PDA jaoks)
* SOA kirje vaikeväärtused
* DNSSEC vaike krüpto

===PowerDNS-Admin paigaldamine - PDA - docker===

PowerDNS-Admin tarvkara töötab docker konteinerina, aga kasutab host arvutist postgresql andmebaasi. Platvorm ettevalmistamine punktis on vajalik kasutaja ja create database tekitatud. PDA kasutamine eeldab, et PDNS juures on sisse lülitatud api liides (vaikimisi http liiklus üle port 8081).

Docker compose fail

<pre>
root@pdns:~# cat docker-compose-pda.yml
services:
svc_pda:
image: powerdnsadmin/pda-legacy:v0.4.2

container_name: cn_pda
restart: always
logging:
driver: json-file
options:
max-size: 50m
ports:
- "9191:80"
environment:
- SECRET_KEY='saladus'
- SQLALCHEMY_DATABASE_URI=postgresql://pda:pdaparool@192.168.10.53/pda
- GUNICORN_TIMEOUT=60
- GUNICORN_WORKERS=2
- GUNICORN_LOGLEVEL=DEBUG
- OFFLINE_MODE=False
- CSRF_COOKIE_SECURE=False

networks:
- nw_pda

networks:
nw_pda:
name: nw_pda
driver: bridge
</pre>

Käivitamiseks

# docker compose -f docker-compose-pda.yml up -d

Tulemusena on aadressil http://192.168.10.53:9191/ PDA webgui sisselogimise ekraan. Pressida Create Account ja esimesena tekitatud kasutaja on admin privileegidega.

TODO

===PowerDNS-Admin paigaldamine - NginX operatsioonisüsteem===

NginX https:// frontend kasutamiseks sobib kasutada sellist seadistust

<pre>
root@pdns:/etc/nginx/sites-enabled# cat /etc/nginx/sites-enabled/pdns
server {
listen 80;
server_name pdns.moraal.ee;
root /var/www/html;

if ($request_uri !~ /.well-known) {
return 301 https://pdns.moraal.ee/;
}
}

server {
listen 443 ssl http2;
server_name pdns.moraal.ee;
ssl_certificate /etc/ssl/localcerts/pdns.moraal.ee.pem;
ssl_certificate_key /etc/ssl/localcerts/pdns.moraal.ee.key;
ssl_session_timeout 1d;
ssl_session_cache shared:MozSSL:10m;
ssl_session_tickets off;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305;

client_max_body_size 25m;

ssl_stapling off;
add_header Strict-Transport-Security "max-age=63072000" always;

access_log /var/log/nginx/access-pdns.moraal.ee-443.log;
root /var/www/html;

location / {
proxy_set_header Host $http_host;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Forwarded-Proto https;
proxy_pass http://192.168.10.53:9191;
}
}
</pre>

===PowerDNS-Admin paigaldamine - NginX docker===

<pre>
# cat /srv/pdns/volume/nginx/etc/nginx/nginx.conf
# nginx.conf

user nginx;
worker_processes auto;
error_log /dev/stderr;
pid /var/run/nginx.pid;

events {
worker_connections 1024;
}

http {
include mime.types;
default_type application/octet-stream;

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log /dev/stdout main;

sendfile on;
keepalive_timeout 65;

# Redirect HTTP to HTTPS
server {
listen 80;
server_name _;
return 301 https://$host$request_uri;
}

# HTTPS Configuration
server {
listen 443 ssl;
server_name _;
http2 on;
ssl_protocols TLSv1.3;
ssl_prefer_server_ciphers on;

ssl_certificate /etc/ssl/localcerts/ns-pdns-01.auul.pri.ee.crt;
ssl_certificate_key /etc/ssl/localcerts/ns-pdns-01.auul.pri.ee.key;

# Recommended security settings
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305;

# Logging
access_log /dev/stdout;
error_log /dev/stdout;

# Reverse proxy to the destination
location / {
proxy_pass http://svc_pdns:8081;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
}
</pre>

===Misc===

Tulemusena saab pda webgui poole pöörduda aadressiga https://pdns.moraal.ee/.

PDA kasutaja parooli muutmine postgresql baasis, nb rakendus kasutab tabeli nimena 'user', see on postgresql nö built-in objekt ja name clash ületamiseks tuleb pöörduda rakendusega seotud ressursi poole "user" abil, eriti koos skeemi prefiksiga

<pre>
# su - postgres
$ psql db_pda
pda=# select * from public."user";
-[ RECORD 1 ]------------------------------------------------------------
id | 1
username | admin
password | $2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FF
firstname | Imre
lastname | Oolberg
email | imre.oolberg@auul.pri.ee
otp_secret |
role_id | 1
confirmed | f
..

db_pda=# update public."user" set password='$2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FC' where username='admin';
UPDATE 1
</pre>

kusjuures password väärtus tekitatakse nt

<pre>
$ htpasswd -bnBC 15 "" pdaparool | tr -d ':\n'
$2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FC
</pre>

Kasutaja lisamine

<pre>
db_pda=# insert into "user" (username, password, firstname, lastname, email, role_id, confirmed) values ('admin', '$2b$12$4M9qXQaWn95GTregvSO2v.I/1QQT0/Ayqt3jZsMp06FIa5dMme6Gu', 'Administrator', 'Administrator', 'priit@moraal.ee', 1, 'f');
</pre>

pdns api kontakti lisamine

<pre>
db_pda=# insert into setting (name, value) values ('pdns_api_url', 'http://192.168.10.80:8081');
INSERT 0 1
db_pda=# insert into setting (name, value) values ('pdns_api_key', 'apiparool');
INSERT 0 1
db_pda=# insert into setting (name, value) values ('pdns_version', '4.9.11');
INSERT 0 1
db_pda=# select * from setting;
id | name | value
----+--------------+------------------------
7 | pdns_api_url | http://192.168.10.80:8081
8 | pdns_api_key | apiparool
9 | pdns_version | 4.9.11
(3 rows)
</pre>

====PDA kasutamise privileegid====

Väited

* Account - grupi taoline moodustis, praktiliselt võiks vastata domeeni omanik asutusele
* User - kasutaja taoline moodustis, vastab inimesele kes süsteemi kasutab
* User ja Account vaheliste seoste abil saab anda hulgale kasutajatele õiguse tegeleda hulga domeenidega

<pre>
root@rv-xxx-01:/opt/pda/dc# docker exec -ti e8 sh
/app $ ps aux
PID USER TIME COMMAND
1 pda 0:00 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG
7 pda 0:02 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG
8 pda 0:01 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG

[2025-10-31 13:06:25,927] [record.py:61] ERROR - Cannot fetch zone's record data from remote powerdns api. DETAIL: HTTPSConnectionPool(host='rvxxx-01.test.moraal.ee', port=443): Max retries exceeded with url: /api/v1/servers/localhost/zones/imretest-03.ee (Caused by SSLError(SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self-signed certificate in certificate chain (_ssl.c:1007)')))

volumes:
# - /opt/pda/volume/pda/etc/ssl/certs/ca-certificates.crt:/usr/lib/python3.10/site-packages/certifi/cacert.pem
</pre>

====PDA API liidese kasutamine====

Tsooni tekitamine

<pre>
$ curl -s -L -H 'Content-Type: application/json' -H 'Authorization: Basic xxx' -X POST https://pda.moraal.ee/api/v1/pdnsadmin/zones \
--data '{"name": "zone-moraal-imre-test-01.ee.", "kind": "MASTER", "nameservers": ["ans1.moraal.ee.", "ans2.moraal.ee."]}' | jq .
{
"account": "",
"api_rectify": false,
"catalog": "",
"dnssec": false,
"edited_serial": 2026010802,
"id": "zone-moraal-imre-test-01.ee.",
"kind": "Master",
"last_check": 0,
"master_tsig_key_ids": [],
"masters": [],
"name": "zone-moraal-imre-test-01.ee.",
"notified_serial": 0,
"nsec3narrow": false,
"nsec3param": "",
"rrsets": [
{
"comments": [],
"name": "zone-moraal-imre-test-01.ee.",
"records": [
{
"content": "ans1.moraal.ee. hostmaster.moraal.ee. 2026010801 86400 7200 2419200 10800",
"disabled": false
}
],
"ttl": 3600,
"type": "SOA"
},
{
"comments": [],
"name": "zone-moraal-imre-test-01.ee.",
"records": [
{
"content": "ans1.moraal.ee.",
"disabled": false
},
{
"content": "ans2.moraal.ee.",
"disabled": false
}
],
"ttl": 3600,
"type": "NS"
}
],
"serial": 2026010801,
"slave_tsig_key_ids": [],
"soa_edit": "",
"soa_edit_api": "DEFAULT",
"url": "/api/v1/servers/localhost/zones/zone-moraal-imre-test-01.ee."
}
</pre>

Kui pole ligipääsu saab sellise vastuse

<pre>
% curl -s -L -H 'Content-Type: application/json' -H 'X-API-KEY: xxx' -X GET "https://pda.moraal.ee/api/v1/servers/localhost/zones/zone-moraal-imre-test-01.ee" | jq .
{
"msg": "Zone access not allowed"
}
</pre>

===pdns docker lahendus===

<pre>
# egrep -v "^$|^#" /etc/powerdns/pdns.conf
allow-axfr-ips=127.0.0.1,192.168.10.0/24
allow-notify-from=
allow-unsigned-notify=yes
also-notify=
api=yes
api-key=saladus
default-api-rectify=yes
default-ksk-algorithm=ecdsa256
default-soa-content=ans1.auu.pri.ee hostmaster.auul.pri.ee 0 86400 7200 2419200 10800
default-soa-edit=INCEPTION-INCREMENT
default-soa-edit-signed=INCEPTION-INCREMENT
default-ttl=3600
disable-syslog=no
forward-notify=
include-dir=/etc/powerdns/pdns.d
launch=
local-address=172.30.0.15, 10.30.0.15
local-port=53
log-dns-details=yes
log-dns-queries=yes
log-timestamp=yes
loglevel=4
only-notify=
primary=yes
secondary=yes
webserver=yes
webserver-address=10.30.0.15
webserver-allow-from=0.0.0.0/0
webserver-loglevel=detailed
webserver-password=saladus
webserver-port=8081
</pre>

===pdns podman lahendus===

PDNS Quadlet Service kirjeldus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/pdns-01.container
[Unit]
Description=My PDNS Quadlet Service
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/powerdns/pdns-auth-49:latest
PublishPort=1053:8053/tcp
PublishPort=1053:8053/udp
ContainerName=pdns-01
Volume=%h/volume/pdns/etc/powerdns/pdns.conf:/etc/powerdns/pdns.conf:ro
Environment=PDNS_local_port=8053

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target
</pre>

ning pdns.conf seadistusfail

<pre>
# cat /opt/pdns/volume/pdns/etc/powerdns/pdns.conf
local-address=0.0.0.0
launch=
# include-dir=/etc/powerdns/pdns.d
api=yes
api-key=parool
webserver=yes
webserver-address=0.0.0.0
webserver-allow-from=0.0.0.0/0

#master=yes

primary=yes
secondary=yes
allow-axfr-ips= 100.20.21.0/24,127.0.0.1/32,172.17.0.0/16
also-notify=192.168.1.150
only-notify=
forward-notify=
default-soa-content=ans1.auul.pri.ee hostmaster.auul.pri.ee 0 86400 7200 2419200 10800
default-soa-edit=INCEPTION-INCREMENT
default-soa-edit-signed=INCEPTION-INCREMENT
default-ttl=3600

default-ksk-algorithm=ecdsa256
default-api-rectify=yes
# default-nsec3-param=1 0 0 -

launch+=gpgsql
gpgsql-dnssec=yes
gpgsql-extra-connection-parameters=password=parool dbname=db_pdns port=5432 user=pdns host=192.168.1.147
</pre>

PowerDNS Authoritative Server nimeserveri kasutamine

2026-08-05T05:50:55Z

Imre: /* Kasulikud lisamaterjalid */

===Sissejuhatus===

PowerDNS https://www.powerdns.com/ on üks populaarsetest vaba tarkvaralistest nn alternatiivsetest DNS serveritest, kuigi 'alternatiivse' kohta väidetavalt teda kasutatakse väga massiliselt DNSSEC jaoks. PowerDNS tarkvara võimaldab pidada täielist DNS infrastruktuuri, sh slave ja master pädevate nimeserverite erinevad konfiguratsioonid. PowerDNS tarkvara komplekti kuuluvad

* PowerDNS Authoritative Server - pädev nimeserver
* PowerDNS Recursor - rekursiivne nimeserver
* dnsdist - koormusjaotur

PowerDNS Authoritative Server tarkvaral on sellised tunnused

* võimalus kasutada andmete salvestamiseks erinevaid nn backend'isid (nn plain text, sql andmebaas, ldap kataloog jne)
* väga mugavalt korraldada DNSSEC tsooni pidamist
* DNSSEC puhul on PowerDNS tarkvarale iseloomulik, et kõik DNSSEC moodustatakse käigult, st midagi ei ole salvestatud (well, midagi puhverdatakse, aga rrsig moodi kirjeid jms ei hoita nö tsoonifaili kujul)
* tsoonide käsitlemine (tekitamine, sisu muutmine, eemaldamine) on võimalik üle nn API
* eksisteerivad mitmesugused veebipõhised tsoonide haldusliidesed (otse baasi ja üle API)
* ebamugav on kontrollida, kust tsooni kopeeritakse, kuhu notify saadetakse ja kust lubatakse tsooni kopeerida

Haldusliidesed jagunevad kaheks

* kirjutavad otse samasse sql baasi, mida kasutab PowerDNS ja tegelikult töötavadki ainult SQL backendide puhul - nt Poweradmin, http://www.poweradmin.org/
* suhtlevad PowerDNS'iga üle API, töötavad kõigi backendide puhul - nt nsedit, https://github.com/tuxis-ie/nsedit

Järgnevas tekstis öeldakse lühiduse mõttes PowerDNS ja mõeldakse PowerDNS Authoritative Server ehk pädevat komponenti.

===Tööpõhimõte===

PowerDNS tarkvara saab kasutada erinevates konfiguratsioonides

* nö suure pildi mõttes, nt PowerDNS on varjatud master ja avalikus võrgus teenindavad NSD nimeserverid (alternatiiv oleks pidada PowerDNS nimeserverit otse avalikus võrgus)
* PowerDNS enda komponentidest on välja valitud mingi komplekt, nt baas osa ja PostgreSQL backend (alternatiiv oleks BIND formaadis tekstifailid failisüsteemis)
* tsooniandmete haldamiseks kasutatakse käsurea utiliiti pdnsutil ja nsedit php rakendust

Käesolevas tekstis keskendutakse just mainitud konfiguratsioonile. Kui PowerDNS kasutab SQL backendi, siis avaliku pädeva DNS teenuse pakkumise juures tekitab see vähemalt esmapilgul kahtlusi. Võib olla on hea mõte tekitada varjatud masteriga lahendus

ans1 (NSD) ans2 (NSD)
_____ _____
| | | |
| | | |
|_____| port 8952 |_____| port 8952
| |
| |
----|---------------------|----------------------|----
|
__|__
| | nimetaja (PowerDNS)
| |
|_____|

kus

* ans1, ans2 - avalikud pädevad nimeserverid, tehniliselt slave'id
* nimetaja - varjatud pädev nimeserver, tehniliselt master
* üle port 8952 saab nsd protsessi eemalt juhtida (alternatiiv on juhtida nö tavalisel viisil, lokaalselt)

Käesolevas tekstis pööratakse NSD tarkvara kasutamisele tähelepanu minimaalselt. NSD tekst asub aadressil [[:Pädeva nimeserveri NSD v. 4 kasutamine operatsioonisüsteemiga Debian]].

===Tarkvara paigaldamine ja seadistamine===

Tarkvara paigaldamiseks on üldiselt kaks võimalust

* operatsioonisüsteemi paketihaldus
* PowerDNS repositoorium - https://repo.powerdns.com/

PowerDNS tarkvara on jaotatud komponentideks

* üldosa
* tsoonidega seotud andmete salvesamiseks erinevad backendid (failisüsteem, SQL andembaas jne)

Kui asutakse kasutama SQL backendi, siis võib olla otstarbekas enne PowerDNS vastava backendi paigaldamist baas ise paigaldada ja käivitada; nt nt see baas ei pruugi olla tingimata samas arvutis. Teisipidi, mugavam on samas arvutis, kuna sel juhul baasi saab lähtestada dbconfig süsteemi abil; lisaks, kui kasutatakse DNSSEC'i, siis arvestada, et krüptomaterjal asub baasis. Käesolevas tekstis paigaldatakse tarkvara PowerDNS repositooriumist kuna seal on alati kõige värskem.

====PostgreSQL andmebaasi ettevalmistamine====

PowerDNS tarkvara ei ole PostgreSQL andmebaasi versiooni suhtes nõudlik, tõenäoliselt sobib igasugune v. 9.x ja nt en_US.UTF-8 kodeering

# apt-get install postgresql

====Paigaldamine PowerDNS repositooriumist====

PowerDNS repositoorium asub aadressil https://repo.powerdns.com/ ja kasutamine (Debian v. 9 Stretch juhtumil)

# cat /etc/apt/sources.list.d/pdns.list
deb http://repo.powerdns.com/debian stretch-auth-master main

ning öelda

# curl https://repo.powerdns.com/CBC8B383-pub.asc | sudo apt-key add -
# apt-get update

Tarkvara paigaldamiseks öelda (paistab, et bind backend paigaldatakse lisaks paratamatult)

# apt-get install pdns-server pdns-backend-pgsql

seejuures on valik paigaldada baas db-config süsteemi abil ja see validagi. Tulemusena tekitatakse baasi baasi kasutaja, create database, initsiliseeritakse baasi sisu ning kirjeldatakse PowerDNS backend seadistus

# cat /etc/powerdns/pdns.d/pdns.local.gpgsql.conf
# PostgreSQL Configuration
#
# Launch gpgsql backend
launch+=gpgsql

# gpgsql parameters
gpgsql-host=127.0.0.1
gpgsql-port=
gpgsql-dbname=pdns
gpgsql-user=pdns
gpgsql-password=pdnsparool
gpgsql-dnssec=yes

Vaikimisi käivitatakse PowerDNS protsessid ning natuke saab asuda süsteemi kasutama

# pdns_control list-zones
All zonecount:0

Järgmisena tuleb PowerDNS server seadistada.

====Käsitsi baasi lähtestamine====

Kui db-config süsteemi mitte kasutada, sobib tekitada kasutaja ja create database andmebaas käsitsi

# su - postgres
$ psql
..
postgres=# create role pdns login password 'pdnsparool' NOSUPERUSER INHERIT NOCREATEDB NOCREATEROLE;
postgres=# create database pdns owner = pdns;

ning seejärel laadida baasi sisu, õieti struktuur

# psql -h 127.0.0.1 -U pdns pdns < /usr/share/doc/pdns-backend-pgsql/schema.pgsql.sql

Lisaks peab olema seadistusfail /etc/powerdns/pdns.d/pdns.local.gpgsql.conf sobiva sisuga, vt. eelmist punkti.

===Tarkvara seadistamine===

Üldosa sobiks kokkuvõttes seadistada nt nii

# egrep -v "^$|^#" /etc/powerdns/pdns.conf
allow-axfr-ips=127.0.0.0/8,::1,192.168.1.210
also-notify=192.168.1.210
api=yes
api-key=midagisalajast123
default-soa-mail=hostmaster.moraal.ee.
default-soa-name=ans1.moraal.ee.
include-dir=/etc/powerdns/pdns.d
launch=
master=yes
only-notify=192.168.1.210
security-poll-suffix=
setgid=pdns
setuid=pdns
slave=yes
soa-expire-default=3600000
soa-minimum-ttl=3600
soa-refresh-default=86400
soa-retry-default=7200
webserver=yes
webserver-address=192.168.1.248
webserver-allow-from=0.0.0.0/0,::/0,192.168.10.0/24

kus

* allow-axfr-ips - millistelt ip aadressidelt on lubatud axfr
* also-notify - millistele ip aadressidel töötavatele nimeserveritele saata notify
* api* - api kasutamine (vajalik veebipõhise haldusliidese nsedit jaoks)
* default-soa-* - uue tsooni sisu moodustamisel kasutatavad vaikeväärtused
* only-notify - notify saadetakse ainult näidatud ip aadressidele (mitte tsoonifailides siselduvatele NS serveritele)
* soa-* uue tsooni sisu moodustamisel kasutatavad vaikeväärtused
* webserver* - powerdns sisemise veebiserveri ip aadress jms (saab uurida protsesside statistikat)

Muudatuste kehtestamiseks lõpetada ja käivitada pdns protsessid

# systemctl stop pdns
# systemctl start pdns

===Tsooni sisu haldamine käsurealt===

Tsooni sisu haldamine käsurealt toimub utiliidi pdnsutil abil. Uue tühja tsooni tekitamine (sisaldab SOA kirjet), seejärel tuleb vähemalt NS kirje tekitada (nb! nii tekib Native tüüpi tsoon)

# pdnsutil create-zone moraal.ee

Tulemuse küsimine

# pdnsutil show-zone moraal.ee

Tsooni Native -> Master teisendus

# pdnsutil set-kind moraal.ee master

Tsooni sisu esitamiseks

# pdnsutil list-zone moraal.ee

Sisu muutmiseks, sh muuta käsitsi SOA serial

# pdnsutil edit-zone moraal.ee

utiliidiga seriali suurendamiseks

# pdnsutil increase-serial moraal.ee

Tulemuse küsimine

# dig @127.0.0.1 moraal.ee axfr

Notify käsitsi välja saatmiseks

# pdns_control notify moraal.ee
Added to queue

Kirje lisamine (lisaks tuleb increase serial öelda)

# pdnsutil add-record moraal.ee imre5 A 300 "127.0.0.5"
Feb 21 10:20:54 [bindbackend] Done parsing domains, 0 rejected, 0 new, 0 removed
New rrset:
imre5.moraal.ee. IN A 300 127.0.0.5

===Veebipõhine haldusliides nsedit===

Veebipõhiste haldusliideste abil saab

* tekitada ja kustutada tsoone, muuta tsoonide sisu
* loodetavasti haldusliidese abil jäävad tegemata mingid süntaksivead, mida on kerge teha nn BIND-ühilduvat tsoonifaili tavalise tekstieditoriga otse muutes
* tsooni sisu halduse saab usaldada mitte-vi/joe/nano ekspertiisiga inimesele

Paistab, et veebipõhiseid haldusliideseid on omajagu, https://github.com/PowerDNS/pdns/wiki/WebFrontends. nsedit on PHP rakendus. Märkused

* Tsoonis tehtud muudatustega kaasneb automaatselt SOA seriali suurenemine
* Veebiliideses tehtud muudatused ei kajastu alati sama veebiliideses koheselt (nt SOA seriali muutumine, välja ja sisselogimise järel on näha)
* nsedit esitab muudatuste logi
* toimib ipv6 jaoks
* nn õäöü tähti sisaldavaid nimesid sisestada otseselt ei saa
* rakenduse võib paigaldada http:// peale ja seejärel muuta veebiserveri seadistusi ning kasutada edasi https:// abil
* nsedit ei pea asuma samas arvutis PowerDNS serveriga, suhtlemine toimub üle võrgu ja kasutades API liidest

====Ettevalmistused====

nsedit kasutamise eelduseks on selline tarkvara

# apt-get install apache2 php git php-sqlite3 php-curl

====Paigaldamine ja seadistamine====

Kopeerida tarkvara, tundub, et 2017 aasta alguses on praktiline võtta git repo viimane ots

# cd /var/www/html
# git clone https://github.com/tuxis-ie/nsedit.git

Tekitada php skriptide jaoks kasutaja:grupp

# groupadd nsedit
# useradd -g nsedit -m -d /opt/nsedit -s /bin/false nsedit

Avades brauseris http://pdns.moraal.ee/nsedit küsitakse parooli, vaikimisi sobib admin ja admin mille järel

* kontrollitakse vajalike teekide olemasolu
* moodustatakse sqlite3 andmebaas

# sqlite3 /var/www/html/etc/pdns.users.sqlite3
..
sqlite> .tables
logs users zones

nsedit seadistatakse failis /var/www/html/nsedit/includes/config.inc.php

# cp includes/config.inc.php-dist includes/config.inc.php

* ühendust powerdns serveriga üle api juhib sektsioon

# cat /var/www/html/nsedit/includes/config.inc.php | grep '^$api'
$apipass = 'apiparool'; # The PowerDNS API-key
$apiip = '10.0.9.18'; # The IP of the PowerDNS API
$apiport = '8081'; # The port of the PowerDNS API
$apiproto = 'http'; # http | https
$apisslverify = FALSE; # Verify SSL Certificate if using https for apiproto

* vaikeväärtuste kasutamiset haldusliideses kontrollib

$defaults['soa_edit'] = 'INCEPTION-INCREMENT';
$defaults['soa_edit_api'] = 'INCEPTION-INCREMENT';
$defaults['defaulttype'] = 'Master'; # Choose between 'Native' or 'Master'
$defaults['ns'][0] = 'ns1.moraal.ee.'; # The value of the first NS-record
$defaults['ns'][1] = 'ns2.moraal.ee.'; # The value of the second NS-record
$defaults['ttl'] = 3600; # Default TTL for records
$defaults['disabled'] = false; # Default disabled state

Kasutajaliides paistab välja selline

[[Pilt:Pdns-1.gif]]

kus

* TODO

Kui rakendus töötab, muuta rakenduse failide omanik:grupp ära

# chown -R nsedit:nsedit /var/www/html/nsedit

====Kasutamine====

* Kasutajate lisamine, valida (ning märkida linnuke admin user jaoks), tulemusena on nsedit logid paremad

Users -> Add new user

* Uue tsooni lisamine, valida

Zones -> Add new zone

ning sisestada Domain lahtrisse domeeninimi, lõpetades punktiga, nt

test-1.ee.

Kõik muud valikud jätta vaikimisi

Account - admin
Type - master
Template - None

Kuna pdns serveri seadistusfailisis on näidatus SOA kirje väärtused ja nsedit seadisusfailis on kirjeldatud nimeserverid, siis tekib vaikimisi kastutatav tulemus.

* Uue tsooni lisamine kirjeldades korraga palju kirjeid (nt tsooni ületoomisel eelmise dns teenusepakkuja juurest)

Zones -> Import a new zone

seejuures

avanenud dialoogi pasteda tsoonifaili sisu
eemaldada SOA kirje
asendada NS kirjetesse õiged väärtused
kõik nimed (kirje kõige vasem positsioon) peavad olema pikad ja lõppema punktiga
eemaldada linnuke 'Overwrite Nameservers' juurest

* Mitme elemendilise väärtuse puhul tuleb see nii sisestada, nt MX kirje puhul

10 mx.moraal.ee.

* Eeldusel, et on olemas Content tulbas kasutatav A kirje ip aadressile vastav in-addr.arpa tsoon, saab nsedit abil tekitada automaatselt PTR kirje.

====Kasulikud lisamaterjalid====

* https://github.com/tuxis-ie/nsedit

===DNSSEC tsooni esmane juurutamine===

Tundub, et uuemal ajal saab DNSSEC juures kasatada CSK (Combined Signing Key) võtit ja seda kasutab PowerDNS vaikimisi, kuid samas CSK võtmeid registripidajad eriti ei toeta. Ja PowerDNS toetab ka nö klassikalist KSK+ZSK komplekti kasutamist.

====KSK ja ZSK võtmete kasutamine====

Võtmete tsooniga seostamiseks sobib öelda

# pdnsutil add-zone-key moraal.ee ksk 2048 active rsasha256
# pdnsutil add-zone-key moraal.ee zsk 1024 active rsasha256
# pdnsutil set-nsec3 moraal.ee '1 0 5 0...f'
# pdnsutil set-meta moraal.ee SOA-EDIT-API INCEPTION-INCREMENT
# pdnsutil set-meta moraal.ee SOA-EDIT INCEPTION-INCREMENT
# pdnsutil increase-serial moraal.ee
# pdnsutil rectify-zone moraal.ee
# pdnsutil show-zone moraal.ee

mis

* tekitab võtmed
* kui set-meta kogemata vääratab, nt lisati SOA-EDIT-SOA, siis saab meta data eemaldada, st näitamata väärtust

# pdnsutil set-meta moraal.ee SOA-EDIT-SOA

* võtab kasutusele nsec3 hash'ide arvutamiseks vajaliku materjali (0-f on 16-elemendiline juhuslik hex järgnevus, mis saadake nt nii

$ head -c 512 /dev/urandom | sha1sum | cut -b 1-16
7bc59a6dd87fa477

ja ideaalis võiks seda regulaarselt muuta), nt

$ dig +short moraal.ee nsec3param
1 0 5 E7544BB6070C3E0F

(kus 1 - sha1, 0 - opt-out, 5 - iterations, E7544BB6070C3E0F - salt)

* INCEPTION-INCREMENT rida seadistab selliselt, et kui automaaselt tsooni andmed resigneeritakse, siis suurendatakse ka seriali (muidu ei toimu notify ja andmed ei jõua avalikesse pädevatesse nimeserveritesse)
* rectify tuleb põhimõtteliselt öelda peale iga tsooni muudatust, et olla täiesti kindel tsooni toimimises; kui PowerDNS kasutatakse avalike nimeserverite varjatud masterina, pole see probleem

ning tsooni andmed paistavad

# pdnsutil show-zone moraal.ee
Nov 06 23:49:44 [bindbackend] Done parsing domains, 0 rejected, 0 new, 0 removed
This is a Master zone
Last SOA serial number we notified: 2016103003 == 2016103003 (serial in the database)
Metadata items:
SOA-EDIT INCEPTION-INCREMENT
SOA-EDIT-API INCEPTION-INCREMENT
Zone has NSEC3 semantics, configuration: 1 0 1 ab
keys:
ID = 11 (ZSK), flags = 256, tag = 26589, algo = 8, bits = 1024 Active ( RSASHA256 )
ID = 10 (KSK), flags = 257, tag = 53461, algo = 8, bits = 2048 Active ( RSASHA256 )
KSK DNSKEY = moraal.ee. IN DNSKEY 257 3 8 AwEAAcn... TQcnQstT+tU= ; ( RSASHA256 )
DS = moraal.ee. IN DS 53461 8 1 6c123b39076072da... c66f62b1e3c388b86b7f ; ( SHA1 digest )
DS = moraal.ee. IN DS 53461 8 2 b85dee98efa6e3bb... 57ce193f728f6b2b1d0dd262 ; ( SHA256 digest )
DS = moraal.ee. IN DS 53461 8 3 1359b0b2b97e60b2... 844b207e84bf5c109eb2e151 ; ( GOST R 34.11-94 digest )
DS = moraal.ee. IN DS 53461 8 4 6d735926cd5cf68b... 9ca2af1f72b3b8f67900bb32a94c ; ( SHA-384 digest )

kus

* kaks võtit, ID väärtustega 10 ja 11

Seejärel tuleb registripidajale öelda DS väärtus.

Tulemuse saab kontrollida nt aadressil http://dnsviz.net/d/moraal.ee/dnssec/.

DNSSEC eemaldamiseks tuleb

* esmalt eemaldada registripidaja juurest DS kirje (reeglina see õnnestub, aga nt 2017 aasta kevadel .org domeenide puhul on tulemuseks dnssec viga, tavaline servfail)
* tsoonis dnssec väljalülitamiseks sobib öelda

# pdnsutil disable-dnssec moraal.ee

====Tulemuse kontrollimine====

Kui kõik juba töötab (ja on vist on vajalik, et kasutada on mõni dnssec-võimeline rekursiivne nimeserver), saab tulemust kontrollida nt nii

$ ldns-rrsig moraal.ee a
moraal.ee RRSIG(a): Thu Oct 27 00:00:00 2016 - Thu Nov 17 00:00:00 2016

====Märkused====

* DNSSEC RRSIG signatuure arvutatakse iga 2 nädala tagant üle selleks, et piirata replay attack võimalusi. Põhimõtteliselt saab pahalane päringule vastuseks saata mõne varasemalt võrgus olnud vastuse (st RRSet + RRSIG komplekti) eeldusel, et ta kontrollib kasutaja võrguliiklust. Tänu RRSIG piiratud kehtivusajale (nt 2 nädalat) saab ta seda teha mitte vanemate kui 2 nädalat andmetega, lisaks ta on piiratud saatma mitte suvalisi vastuseid, vaid viimase kahe nädala jooksul kasutuses olnud vastuseid.

====Kasulikud lisamaterjalid====

* https://blog.powerdns.com/2016/02/02/powerdns-authoritative-the-new-old-way-to-manage-domains/

====CSK võtme kasutamine====

Märkus 2016 lõpus: tundub, et see CSK on mingi tulevikutehnoloogia.

Olemasoleva tsooni jaoks DNSSEC sisselülitamiseks sobib öelda

# pdnsutil secure-zone moraal.ee
# pdnsutil set-nsec3 moraal.ee '1 0 1 ab'
# pdnsutil rectify-zone moraal.ee
# pdnsutil set-meta moraal.ee SOA-EDIT-API INCEPTION-INCREMENT
# pdnsutil increase-serial moraal.ee
# pdnsutil show-zone moraal.ee

Seejärel tuleb registripidajale öelda DS väärtus.

Tulemuse saab kontrollida nt aadressil http://dnsviz.net/d/moraal.ee/dnssec/.

DNSSEC eemaldamiseks tuleb

* esmalt eemaldada registripidaja juurest DS kirje
* tsoonis dnssec väljalülitamiseks sobib öelda

# pdnsutil disable-dnssec moraal.ee

Misc

* tagasi nsec peale viimiseks

# pdnsutil unset-nsec3 moraal.ee

===DNSSEC tsooni seostamine DS sissekande abil ülevalpool oleva tsooniga===

DNSSEC tsooni seostamiseks ülevalpool oleva tsooniga on vaja teada selliseid andmeid

* võtme silt
* võtme tüüp
* algoritm
* avalik võti (või DS mis on avaliku võtme räsi vms)

Need kõik on avalik info ja kättesaadavad domeeni pädevast nimeserverist, aga PowerDNS haldusutiliidiga saab selle küsida otsekoheselt

# pdnsutil show-zone moraal.ee

Ühesõnaga, kui ise kasutatakse PowerDNS'i või partner saadab need andmed, siis allpool toodud dig käsuga tegelemist pole tarvis läbi teha. Tulemust sobib kontrollida nt aadressil http://dnsviz.net/.

====zone.ee keskkonnas - .ee tsoonis====

Logida sisse oma kasutajaga ja valida vasakult paneelist 'Teenuste ülevaade', kõnelaluse tsooni juures pressida rohelist + märki DNSSEC tulbas. Avanenud uuel eraanil vajutada üleval sinist nuppu Aktiveeri (muutub roheliseks), vajutada võtmete nimekirjas + märki ja täita lahtrid

[[Pilt:Pdns-3.gif]]

kus

* võtme silt - (antud juhul 53461), selle saab teada päringu väjundist

$ dig @ns.auul.pri.ee moraal.ee dnskey rrsig | grep DNSKEY
moraal.ee. 10800 IN RRSIG DNSKEY 8 2 10800 20161208000000 20161117000000 53461 moraal.ee. rVy+HAzSKkTRv6...

* võtme tüüp - KSK
* algoritm - 8 (RSA-SHA256)
* avalik võti, selle saab teada päringu väljundist, alates Aw kuni tU= (võib sisaldada tühikuid nagu päringu vastuses on)

$ dig @ns.auul.pri.ee moraal.ee dnskey | grep 257
moraal.ee. 3600 IN DNSKEY 257 3 8 AwEAAcnmmnnOlkRfK9NDYEI6F ... SD6 TQcnQstT+tU=

Vajutada all nuppu Kinnita, muudatus kehtestub peaaegu koheselt (ehk minutite jooksul), aga kasutajaliideses öeldakse

DNSSEC kaitse domeenil MORAAL.EE
Hetkestaatus: DNSSEC on aktiveerimata
Eesootavad muutused: DNSSEC aktiveeritakse

Teha brauseris refresh ja peab olema domeenide nimekirjas DNSSEC tulbas + asemel kilbi kujutis. Edasi läheb nn 15 minutit kuni muudatus zone.ee juurest eestiinternet.ee juurde jõuab ning kehtestub ee. tld (top level domain) nimeserverites. Kontrolliks maksab küsida tld nimeserverilt ds kirjet

$ dig +short @ns.tld.ee moraal.ee ds
30607 8 2 EAC8A17DD2128573F08EE76C18B4AB01734467CD4A376768F5358B0C A2B9463F

====zone.ee keskkonnas - .org tsoonis====

[[Pilt:Pdns-6.gif]]

====GoDaddy keskkonnas====

TODO

===DNSSEC võtmete asendamine===

====ZSK====

====KSK====

KSK moodi võtme lisamiseks sobib öelda, selliselt võib tsooniga siduda ka enam kui kaks võtit

# pdnsutil add-zone-key moraal.ee ksk 2048 active rsasha256

Tsooniga seotud võtmed paistavad käsu väljundis

# pdnsutil show-zone moraal.ee

Tulemusena paistab dnsviz keskkonnas selline pilt

TODO

Tsooniga seotud võtme eemaldamiseks sobib öelda, kus ID on show-zone väljundist välja valitud võtme ID väärtus

# pdnsutil remove-zone-key moraal.ee ID

====Kasulikud lisamaterjalid====

* https://doc.powerdns.com/md/authoritative/howtos/#zsk-rollover

===Mitmesugused haldusprotseduurid===

====tsooni backend muutmine====

TODO

====tsooni toomine PowerDNS kontrolli alla====

Tsooni migreerimiseks suvalisest AXFR-võimelisest nimeserverist sobib

* kirjeldada PowerDNS peal slave

# pdnsutil create-slave-zone moraal.ee 10.0.6.15
Feb 21 22:09:52 [bindbackend] Done parsing domains, 0 rejected, 0 new, 0 removed
Creating slave zone 'moraal.ee', with master(s) '10.0.6.15:53'

* kopeerida andmed axfr abil üle, kopeerimist kiirendab

# pdns_control retrieve moraal.ee

* muuta PowerDNS tsooni jaoks masteriks, öeldes

SQL> UPDATE domains set type='MASTER' where type='SLAVE';

Kui allikaks on nt BIND ning tsoonifailis on kasutatud generate konstruktsiooni, siis need lahenduvad automaatselt ära

$GENERATE 1-255 $ IN CNAME $.1-255.40.184.10.in-addr.arpa.

Kasulikud lisamaterjalid

* https://doc.powerdns.com/md/authoritative/migration/

====dnssec tsooni toomine PowerDNS kontrolli alla====

Analoogiliselt eelmisele punktile, aga

* esmalt lülitada dnssec välja, kustutades DS kirje parent tsoonist ja oodates vähemalt DS kirje TTL aja enne järgmise punkti juurde asumist; seejärel on tsooni sisu endine st vanade võtmetega signeeritud andmestik
* tegevused eelmises punktis + uute võtmetega krüptimine
* asuda kasutama uute võtmetega krüptitud tsooni sisu, ja oodata nt 6 tundi
* juurutada parent tsoonis uus DS kirje

====dnssec tsooni toomine PowerDNS kontrolli alla OpenDNSSEC keskkonnast koos vana KSK krüptomaterjaliga====

Eeldusel, et OpenDNSSEC kasutab SoftHSM backendi saab KSK krüptomaterjalid eksportida ja taaskasutada. Ettevalmistuseks tuleb kõnealune tsoon muus osas tavalisel viisil kasutusele võtta. SoftHSM pealt krüptomaterjali eksportimiseks tuleb esmalt teha kindlaks kolm väärust

* SoftHSM label ja pin vaadata nt /etc/opendnssec/conf.xml failist
* kõnealuse tsooni ksk võtme id, vaadata KSK active realt tulp 'CKA_ID'

# ods-ksmutil key list -v

sobib öelda

# softhsm --export moraal.ee-ksk.pem --slot 0 --label "vaartus" --pin vaartus --id vaartus
The key pair has been written to moraal.ee-ksk.pem

teisendada nn BIND kujule

# softhsm-keyconv --tobind --in ksk.pem --name moraal.ee --ksk --algorithm RSASHA256
The private key has been written to Kmoraal.ee+008+09122.private
The public key has been written to Kmoraal.ee+008+09122.key

ning võtta kasutusele PowerDNS juures

# pdnsutil import-zone-key moraal.ee Kksk+008+53675.private active ksk

Edasi seadistatakse DNSSEC analoogliselt nagu seada ikka PowerDNS puhul seadistatakse. Kusjuures 'pdnsutil import-zone-key ...' tulemus on sarnane nagu oleks öeldud

# pdnsutil add-zone-key moraal.ee ksk 2048 active rsasha256

Kasulikud lisamaterjalid

* http://www.molnar-peter.hu/en/

====pdns-control utiliidi kasutamine====

PowerDNS kus on master tsoon saadab notify oma slavedele (nagu on tsoonifaili NS kirjetes kirjas)

# pdns_control notify <domain>

või näidatud ip aadressile

# pdns_control notify-host <domain> <ip-address>

===TSIG kasutamine===

Nimeserverite vahelise tsooniedastuse juures TSIG juurutamiseks tuleb esmalt tekitada võti

# pdnsutil generate-tsig-key from_dns_to_itm hmac-sha256
Generating new key with 64 bytes (this can take a while)
Nov 26 13:10:37 [bindbackend] Done parsing domains, 0 rejected, 0 new, 0 removed
Create new TSIG key from_dns_to_itm hmac-sha256 WLuS4o6CX35+yGerdHpl2h3+PDKt76rgam9rqkRg8N+fTP6cGtC6H17rDidKl7FzEu0fukg3apxnZUxdDRDhkQ==

kus

* TODO

ning seejärel võti ühe või enama tsooniedastusega seostada

# pdnsutil activate-tsig-key moraal.ee from_dns_to_itm master

Tulemus paistab nii

<pre>
# pdnsutil show-zone moraal.ee
Nov 26 14:09:44 [bindbackend] Done parsing domains, 0 rejected, 0 new, 0 removed
This is a Master zone
Last SOA serial number we notified: 2016112602 == 2016112602 (serial in the database)
Zone is not actively secured
Zone has following allowed TSIG key(s): from_dns_to_itm
Metadata items:
SOA-EDIT-API DEFAULT
TSIG-ALLOW-AXFR from_dns_to_itm
No keys for zone 'moraal.ee'.
</pre>

kontrolliks sobib kopeerida öeldes

$ dig @192.168.1.248 moraal.ee axfr -y "hmac-sha256:from_dns_to_itm:WLuS4o6CX35+yGerdHpl2h3+PDKt76rgam9rqkRg8N+fTP6cGtC6H17rDidKl7FzEu0fukg3apxnZUxdDRDhkQ=="

kusjuures vastuses on üks preudokirje lisaks

..
from_dns_to_itm. 0 ANY TSIG hmac-sha256. 1480164029 300 32 t96WhnpNiAiL5KHXa8UzNthM6/p3ciQptF3Br2ZfhFk= 3538 NOERROR 0
...

Väited

* Sama TSIG võtit saab kasutada mitme tsooni jaoks ja nii on mugavam nt NSD patternit kasutada
* tundub, et tsooni jaoks TSIG juurutamisega kaasneb, et tsooni kopeerimise ip piirang enam ei kehti (lubatud ip pealt pöördudes ei ole võtme esitamine vajalik)
* kui tsooni juures on tsig sisse lülitatud, siis see mõjub nii notify kui xfr jaoks
* TSIG pseudokirjete arv suureneb vastavalt tsooni mahu suurenemisele, https://tools.ietf.org/html/rfc2845 'The TSIG MUST be included on the first and last DNS envelopes. It can be optionally placed on any intermediary envelopes. It is expensive to include it on every envelopes, but it MUST be placed on at least every 100'th envelope.'

Alternatiiv on kasutada -y asemel -k suvandit ja argumendiks failinime, faili sisuga

<pre>
key "from_yks_to_teine" {
algorithm HMAC-SHA256;
secret "YY8xvlL6yGjrt1G4xlfLBaidQOFdvixHgRXN6tXUPMitEKZUs7kl7qixJ0nSN1bbDJQxaFGkoKkBamNS7EPXbw==";
};
</pre>

===API kasutamine===

Üle API muudatuse tegemiseks peab eelnevalt PowerDNS serveris lülitama API sisse ning sisemise webserver käivitama

# cat /etc/powerdns/pdns.conf
..
api=yes
api-key=apiparool
webserver=yes
webserver-address=192.168.1.248
webserver-allow-from=0.0.0.0/0,::/0,192.168.10.0/24
...

ja kasutama nt sellist skripti (töökohaarvutis on seejuures abil kasutada nt jq utiliiti)

<pre>
# cat pdns-api.sh
curl -X PATCH --data \
'{"rrsets":
[{ "name": "www.moraal.ee.",
"records": [{ "content": "192.168.254.5", "disabled": false }],
"ttl": 86000,
"type": "A",
"changetype": "REPLACE"
}]
}' -H 'X-API-Key: midagisalajast123' http://192.168.1.248:8081/api/v1/servers/localhost/zones/moraal.ee. | jq .
</pre>

kus

* TODO

kas käivitamiseks öelda

$ sh pdns-api.sh

API'ga tutvumiseks võib olla hea mõte kuulata pealt mingi olemasoleva API-rakenduse ja serveri vahelist liiklust ja siis seda Wireshark abil uurida.

Kasulikud lisamaterjalid

* https://doc.powerdns.com/md/httpapi/README/ - tundub, et süntaks pole seal kõigis näidetes päris korrektne

===PowerDNS kasutusstatistika===

PowerDNS sisaldab sisemist veebiserverit, mille käest saab küsida teenuse kasutusstatistikat, TODO.

===Logimine===

Tundub, et vaikimisi logitakse syslog'i.

===Varundamine ja taaste===

TODO

===Misc===

====Paigaldamine operatsioonisüsteemi paketihaldusest====

Paigaldamiseks sobib öelda, tuleb paigalda üldosa + mingi backend, nt BIND-ühilduvate tsoonifailide käsitlemise komponent (st failisüsteem)

# apt-get install pdns-server pdns-backend-bind

Tulemusena tekib failisüsteemi

* /etc/powerdns/pdns.conf - peamine seadistusfail

====MySQL backend kasutamine====

Teoreetliselt võib sodida tsooni sisu muutmiseks üldotstarbelise sql editoriga (nt PgAdmin) ka otse baasis, aga praktilisem on kasutada ehk pdnsutil või api't kasutava tarkvara abil, nt nsedit veebiliides.

====pdns-backend-mysql paigaldamine ja seadistamine====

Eeldusel, et MySQL baas juba töötab samas arvutis, sobib paigaldamiseks sobib öelda (seejuures kasutades db-config sistemat, mis paigaldamise käigus tekitab create database baasi, kasutaja, sätib privileegid jne)

# apt-get install pdns-backend-mysql
..
Determining localhost credentials from /etc/mysql/debian.cnf: succeeded.
dbconfig-common: writing config to /etc/dbconfig-common/pdns-backend-mysql.conf

Creating config file /etc/dbconfig-common/pdns-backend-mysql.conf with new version

Creating config file /etc/powerdns/pdns.d/pdns.local.gmysql.conf with new version
checking privileges on database pdns for pdns@localhost: user creation needed.
granting access to database pdns for pdns@localhost: success.
verifying access for pdns@localhost: success.
creating database pdns: success.
verifying database pdns exists: success.
populating database via sql... done.
dbconfig-common: flushing administrative password
Processing triggers for libc-bin (2.24-3) ...
Processing triggers for pdns-server (4.0.1-5) ...

Tulemusena

* tekitatakse MySQL kasutaja pdns
* tekitatakse MySQL create database pdns

====BIND backend kasutamine====

Tundub, et otsekoheselt failisüsteemis tsoonifaili redigeerimise teel on mõeldav töötada ainult BIND-formaadis backendiga. Muudega tuleks kasutada pdnsutil utiliiti või API liidest. Tsoonide nimekiri kirjeldatakse failis

# cat /etc/powerdns/named.conf
# Debian default: supermaster created zones are written here:
include "/var/lib/powerdns/supermaster.conf";
# Example for a manually configured slave zone:
#
zone "example.net" {
file "/var/lib/powerdns/zones.slave.d/example.net.zone";
type master;
masters { 192.0.2.53; };
};

Tsoon kirjeldatakse failis

# cat /var/lib/powerdns/zones.slave.d/example.net.zone
$TTL 180
@ IN SOA ns1.example.net. hostmaster.example.net. (
2014080705 ; Serial Number (date YYYYMMDD++)
86400 ; Refresh (24 hours)
1800 ; Retry (1/2 hour)
3600000 ; Expire (42 days)
21600) ; Minimum (6 hours)
IN NS ns1.example.net.
IN NS ns2.example.net.

@ IN A 192.168.0.15
IN MX 10 mail.example.net.
www IN A 192.168.0.15
mail IN A 192.168.0.2
ns1 IN A 10.1.1.171
ns2 IN A 10.1.1.172
imre IN A 10.1.1.173

Muudatuse kehtestamiseks

# pdns_control bind-reload-now example.net
example.net: parsed into memory at 2016-10-26 20:43:14 +0300

====PostgreSQL backend kasutamine====

Teoreetliselt võib sodida tsooni sisu muutmiseks üldotstarbelise sql editoriga (nt PgAdmin) ka otse baasis, aga praktilisem on kasutada ehk pdnsutil või api't kasutava tarkvara abil, nt nsedit veebiliides.

====BIND backend kasutamine====

pdns-backend-bind seadistatakse failist

# egrep -v "^$|^#" /etc/powerdns/pdns.d/bind.conf
launch+=bind
bind-config=/etc/powerdns/named.conf
bind-supermaster-config=/var/lib/powerdns/supermaster.conf
bind-supermaster-destdir=/var/lib/powerdns/zones.slave.d

kus

* /etc/powerdns/named.conf - tsoonide nimekiri
* /var/lib/powerdns/supermaster.conf - lihtsal juhul tühi
* /var/lib/powerdns/zones.slave.d - BIND formaadis tsoonifailide kataloog

Tsoonide haldamisega tegeleb edasi allpool olev punkt.

====Poweradmin====

Märkus: tõenäoliselt ei ole Poweradmin tarvkara kasutamine hea mõte kuna rakendus sodib otse PowerDNS andmebaasis ja 2016 aasta sügisel on hakanud tekkima paremaid alternatiive, nt nsedit.

Poweradmin kasutamiseks peab PowerDNS kasutama SQL andmebaasi ja Poweradmin peab töötama vastu sama andmebaasi. Tundub, et Poweradmin töötab paremini MySQL + PHP5 keskkonnas. Kui Poweradmin PHP rakendus töötab teises arvutis kui MySQL baas, sobib baasis öelda

mysql> grant all privileges on pdns.* to 'pdns'@'%' identified by 'dbconfig sisestatud parool';
mysql> grant all privileges on pdns.* to 'pdns'@'localhost' identified by 'dbconfig sisestatud parool';
mysql> flush privileges;

# pdns_control retrieve moraal.ee
Added retrieval request for 'moraal.ee.' from master 192.168.1.247

Kasulikud lisamaterjalid

* https://www.digitalocean.com/community/tutorials/how-to-install-and-configure-powerdns-with-a-mariadb-backend-on-ubuntu-14-04

====Tsooni andmestikust otsing====

* Kõigi forward tsoonide sisust ip aadressi kasutamise leidmine

# for i in `pdns_control list-zones | grep -v All | grep -v in-addr`; do pdnsutil list-zone $i 2>&1 ; done | grep 10.20.123.154
ftp.moraal.ee 300 IN A 10.20.123.154

===Tsooni migreerimine pädeva pdns peale===

Väited

* SOA-EDIT -

====Protseduur====

TODO

====Käsundamine====

Eksport

<pre>
# pdnsutil show-zone moraal.ee
# pdnsutil export-zone-key moraal.ee 17 > moraal.ee.ksk
# pdnsutil list-zone moraal.ee > moraal.ee.zone
</pre>

Import

<pre>
# pdnsutil load-zone moraal.ee.zone
# pdnsutil set-kind moraal.ee master
# pdnsutil set-meta moraal.ee SOA-EDIT-API DEFAULT
# pdnsutil set-meta moraal.ee SOA-EDIT INCEPTION-INCREMENT
# pdnsutil import-zone-key moraal.ee moraal.ee.ksk ksk
# pdnsutil set-nsec3 moraal.ee '1 0 0 -'
# pdnsutil rectify-zone moraal.ee
# pdnsutil show-zone moraal.ee
</pre>

====Käsundamine - 2nd abil====

Tekitatakse migreeritava tsooni sekundaar

<pre>
# pdnsutil create-secondary-zone moraal.ee 192.168.1.148
</pre>

===Kasulikud lisamaterjalid===

* [[:PowerDNS webfrontend - PowerDNS-Admin]]
* https://www.powerdns.com/
* http://www.poweradmin.org/
* https://github.com/PowerDNS/pdns/wiki/WebFrontends
* http://jpmens.net/2010/10/29/alternative-dns-servers-the-book-as-pdf/
* https://blog.powerdns.com/2016/02/02/powerdns-authoritative-the-new-old-way-to-manage-domains/
* https://www.cloudflare.com/dns/dnssec/how-dnssec-works/

PowerDNS Authoritative Server nimeserveri kasutamine

2026-08-05T05:50:30Z

Imre:

===Sissejuhatus===

PowerDNS https://www.powerdns.com/ on üks populaarsetest vaba tarkvaralistest nn alternatiivsetest DNS serveritest, kuigi 'alternatiivse' kohta väidetavalt teda kasutatakse väga massiliselt DNSSEC jaoks. PowerDNS tarkvara võimaldab pidada täielist DNS infrastruktuuri, sh slave ja master pädevate nimeserverite erinevad konfiguratsioonid. PowerDNS tarkvara komplekti kuuluvad

* PowerDNS Authoritative Server - pädev nimeserver
* PowerDNS Recursor - rekursiivne nimeserver
* dnsdist - koormusjaotur

PowerDNS Authoritative Server tarkvaral on sellised tunnused

* võimalus kasutada andmete salvestamiseks erinevaid nn backend'isid (nn plain text, sql andmebaas, ldap kataloog jne)
* väga mugavalt korraldada DNSSEC tsooni pidamist
* DNSSEC puhul on PowerDNS tarkvarale iseloomulik, et kõik DNSSEC moodustatakse käigult, st midagi ei ole salvestatud (well, midagi puhverdatakse, aga rrsig moodi kirjeid jms ei hoita nö tsoonifaili kujul)
* tsoonide käsitlemine (tekitamine, sisu muutmine, eemaldamine) on võimalik üle nn API
* eksisteerivad mitmesugused veebipõhised tsoonide haldusliidesed (otse baasi ja üle API)
* ebamugav on kontrollida, kust tsooni kopeeritakse, kuhu notify saadetakse ja kust lubatakse tsooni kopeerida

Haldusliidesed jagunevad kaheks

* kirjutavad otse samasse sql baasi, mida kasutab PowerDNS ja tegelikult töötavadki ainult SQL backendide puhul - nt Poweradmin, http://www.poweradmin.org/
* suhtlevad PowerDNS'iga üle API, töötavad kõigi backendide puhul - nt nsedit, https://github.com/tuxis-ie/nsedit

Järgnevas tekstis öeldakse lühiduse mõttes PowerDNS ja mõeldakse PowerDNS Authoritative Server ehk pädevat komponenti.

===Tööpõhimõte===

PowerDNS tarkvara saab kasutada erinevates konfiguratsioonides

* nö suure pildi mõttes, nt PowerDNS on varjatud master ja avalikus võrgus teenindavad NSD nimeserverid (alternatiiv oleks pidada PowerDNS nimeserverit otse avalikus võrgus)
* PowerDNS enda komponentidest on välja valitud mingi komplekt, nt baas osa ja PostgreSQL backend (alternatiiv oleks BIND formaadis tekstifailid failisüsteemis)
* tsooniandmete haldamiseks kasutatakse käsurea utiliiti pdnsutil ja nsedit php rakendust

Käesolevas tekstis keskendutakse just mainitud konfiguratsioonile. Kui PowerDNS kasutab SQL backendi, siis avaliku pädeva DNS teenuse pakkumise juures tekitab see vähemalt esmapilgul kahtlusi. Võib olla on hea mõte tekitada varjatud masteriga lahendus

ans1 (NSD) ans2 (NSD)
_____ _____
| | | |
| | | |
|_____| port 8952 |_____| port 8952
| |
| |
----|---------------------|----------------------|----
|
__|__
| | nimetaja (PowerDNS)
| |
|_____|

kus

* ans1, ans2 - avalikud pädevad nimeserverid, tehniliselt slave'id
* nimetaja - varjatud pädev nimeserver, tehniliselt master
* üle port 8952 saab nsd protsessi eemalt juhtida (alternatiiv on juhtida nö tavalisel viisil, lokaalselt)

Käesolevas tekstis pööratakse NSD tarkvara kasutamisele tähelepanu minimaalselt. NSD tekst asub aadressil [[:Pädeva nimeserveri NSD v. 4 kasutamine operatsioonisüsteemiga Debian]].

===Tarkvara paigaldamine ja seadistamine===

Tarkvara paigaldamiseks on üldiselt kaks võimalust

* operatsioonisüsteemi paketihaldus
* PowerDNS repositoorium - https://repo.powerdns.com/

PowerDNS tarkvara on jaotatud komponentideks

* üldosa
* tsoonidega seotud andmete salvesamiseks erinevad backendid (failisüsteem, SQL andembaas jne)

Kui asutakse kasutama SQL backendi, siis võib olla otstarbekas enne PowerDNS vastava backendi paigaldamist baas ise paigaldada ja käivitada; nt nt see baas ei pruugi olla tingimata samas arvutis. Teisipidi, mugavam on samas arvutis, kuna sel juhul baasi saab lähtestada dbconfig süsteemi abil; lisaks, kui kasutatakse DNSSEC'i, siis arvestada, et krüptomaterjal asub baasis. Käesolevas tekstis paigaldatakse tarkvara PowerDNS repositooriumist kuna seal on alati kõige värskem.

====PostgreSQL andmebaasi ettevalmistamine====

PowerDNS tarkvara ei ole PostgreSQL andmebaasi versiooni suhtes nõudlik, tõenäoliselt sobib igasugune v. 9.x ja nt en_US.UTF-8 kodeering

# apt-get install postgresql

====Paigaldamine PowerDNS repositooriumist====

PowerDNS repositoorium asub aadressil https://repo.powerdns.com/ ja kasutamine (Debian v. 9 Stretch juhtumil)

# cat /etc/apt/sources.list.d/pdns.list
deb http://repo.powerdns.com/debian stretch-auth-master main

ning öelda

# curl https://repo.powerdns.com/CBC8B383-pub.asc | sudo apt-key add -
# apt-get update

Tarkvara paigaldamiseks öelda (paistab, et bind backend paigaldatakse lisaks paratamatult)

# apt-get install pdns-server pdns-backend-pgsql

seejuures on valik paigaldada baas db-config süsteemi abil ja see validagi. Tulemusena tekitatakse baasi baasi kasutaja, create database, initsiliseeritakse baasi sisu ning kirjeldatakse PowerDNS backend seadistus

# cat /etc/powerdns/pdns.d/pdns.local.gpgsql.conf
# PostgreSQL Configuration
#
# Launch gpgsql backend
launch+=gpgsql

# gpgsql parameters
gpgsql-host=127.0.0.1
gpgsql-port=
gpgsql-dbname=pdns
gpgsql-user=pdns
gpgsql-password=pdnsparool
gpgsql-dnssec=yes

Vaikimisi käivitatakse PowerDNS protsessid ning natuke saab asuda süsteemi kasutama

# pdns_control list-zones
All zonecount:0

Järgmisena tuleb PowerDNS server seadistada.

====Käsitsi baasi lähtestamine====

Kui db-config süsteemi mitte kasutada, sobib tekitada kasutaja ja create database andmebaas käsitsi

# su - postgres
$ psql
..
postgres=# create role pdns login password 'pdnsparool' NOSUPERUSER INHERIT NOCREATEDB NOCREATEROLE;
postgres=# create database pdns owner = pdns;

ning seejärel laadida baasi sisu, õieti struktuur

# psql -h 127.0.0.1 -U pdns pdns < /usr/share/doc/pdns-backend-pgsql/schema.pgsql.sql

Lisaks peab olema seadistusfail /etc/powerdns/pdns.d/pdns.local.gpgsql.conf sobiva sisuga, vt. eelmist punkti.

===Tarkvara seadistamine===

Üldosa sobiks kokkuvõttes seadistada nt nii

# egrep -v "^$|^#" /etc/powerdns/pdns.conf
allow-axfr-ips=127.0.0.0/8,::1,192.168.1.210
also-notify=192.168.1.210
api=yes
api-key=midagisalajast123
default-soa-mail=hostmaster.moraal.ee.
default-soa-name=ans1.moraal.ee.
include-dir=/etc/powerdns/pdns.d
launch=
master=yes
only-notify=192.168.1.210
security-poll-suffix=
setgid=pdns
setuid=pdns
slave=yes
soa-expire-default=3600000
soa-minimum-ttl=3600
soa-refresh-default=86400
soa-retry-default=7200
webserver=yes
webserver-address=192.168.1.248
webserver-allow-from=0.0.0.0/0,::/0,192.168.10.0/24

kus

* allow-axfr-ips - millistelt ip aadressidelt on lubatud axfr
* also-notify - millistele ip aadressidel töötavatele nimeserveritele saata notify
* api* - api kasutamine (vajalik veebipõhise haldusliidese nsedit jaoks)
* default-soa-* - uue tsooni sisu moodustamisel kasutatavad vaikeväärtused
* only-notify - notify saadetakse ainult näidatud ip aadressidele (mitte tsoonifailides siselduvatele NS serveritele)
* soa-* uue tsooni sisu moodustamisel kasutatavad vaikeväärtused
* webserver* - powerdns sisemise veebiserveri ip aadress jms (saab uurida protsesside statistikat)

Muudatuste kehtestamiseks lõpetada ja käivitada pdns protsessid

# systemctl stop pdns
# systemctl start pdns

===Tsooni sisu haldamine käsurealt===

Tsooni sisu haldamine käsurealt toimub utiliidi pdnsutil abil. Uue tühja tsooni tekitamine (sisaldab SOA kirjet), seejärel tuleb vähemalt NS kirje tekitada (nb! nii tekib Native tüüpi tsoon)

# pdnsutil create-zone moraal.ee

Tulemuse küsimine

# pdnsutil show-zone moraal.ee

Tsooni Native -> Master teisendus

# pdnsutil set-kind moraal.ee master

Tsooni sisu esitamiseks

# pdnsutil list-zone moraal.ee

Sisu muutmiseks, sh muuta käsitsi SOA serial

# pdnsutil edit-zone moraal.ee

utiliidiga seriali suurendamiseks

# pdnsutil increase-serial moraal.ee

Tulemuse küsimine

# dig @127.0.0.1 moraal.ee axfr

Notify käsitsi välja saatmiseks

# pdns_control notify moraal.ee
Added to queue

Kirje lisamine (lisaks tuleb increase serial öelda)

# pdnsutil add-record moraal.ee imre5 A 300 "127.0.0.5"
Feb 21 10:20:54 [bindbackend] Done parsing domains, 0 rejected, 0 new, 0 removed
New rrset:
imre5.moraal.ee. IN A 300 127.0.0.5

===Veebipõhine haldusliides nsedit===

Veebipõhiste haldusliideste abil saab

* tekitada ja kustutada tsoone, muuta tsoonide sisu
* loodetavasti haldusliidese abil jäävad tegemata mingid süntaksivead, mida on kerge teha nn BIND-ühilduvat tsoonifaili tavalise tekstieditoriga otse muutes
* tsooni sisu halduse saab usaldada mitte-vi/joe/nano ekspertiisiga inimesele

Paistab, et veebipõhiseid haldusliideseid on omajagu, https://github.com/PowerDNS/pdns/wiki/WebFrontends. nsedit on PHP rakendus. Märkused

* Tsoonis tehtud muudatustega kaasneb automaatselt SOA seriali suurenemine
* Veebiliideses tehtud muudatused ei kajastu alati sama veebiliideses koheselt (nt SOA seriali muutumine, välja ja sisselogimise järel on näha)
* nsedit esitab muudatuste logi
* toimib ipv6 jaoks
* nn õäöü tähti sisaldavaid nimesid sisestada otseselt ei saa
* rakenduse võib paigaldada http:// peale ja seejärel muuta veebiserveri seadistusi ning kasutada edasi https:// abil
* nsedit ei pea asuma samas arvutis PowerDNS serveriga, suhtlemine toimub üle võrgu ja kasutades API liidest

====Ettevalmistused====

nsedit kasutamise eelduseks on selline tarkvara

# apt-get install apache2 php git php-sqlite3 php-curl

====Paigaldamine ja seadistamine====

Kopeerida tarkvara, tundub, et 2017 aasta alguses on praktiline võtta git repo viimane ots

# cd /var/www/html
# git clone https://github.com/tuxis-ie/nsedit.git

Tekitada php skriptide jaoks kasutaja:grupp

# groupadd nsedit
# useradd -g nsedit -m -d /opt/nsedit -s /bin/false nsedit

Avades brauseris http://pdns.moraal.ee/nsedit küsitakse parooli, vaikimisi sobib admin ja admin mille järel

* kontrollitakse vajalike teekide olemasolu
* moodustatakse sqlite3 andmebaas

# sqlite3 /var/www/html/etc/pdns.users.sqlite3
..
sqlite> .tables
logs users zones

nsedit seadistatakse failis /var/www/html/nsedit/includes/config.inc.php

# cp includes/config.inc.php-dist includes/config.inc.php

* ühendust powerdns serveriga üle api juhib sektsioon

# cat /var/www/html/nsedit/includes/config.inc.php | grep '^$api'
$apipass = 'apiparool'; # The PowerDNS API-key
$apiip = '10.0.9.18'; # The IP of the PowerDNS API
$apiport = '8081'; # The port of the PowerDNS API
$apiproto = 'http'; # http | https
$apisslverify = FALSE; # Verify SSL Certificate if using https for apiproto

* vaikeväärtuste kasutamiset haldusliideses kontrollib

$defaults['soa_edit'] = 'INCEPTION-INCREMENT';
$defaults['soa_edit_api'] = 'INCEPTION-INCREMENT';
$defaults['defaulttype'] = 'Master'; # Choose between 'Native' or 'Master'
$defaults['ns'][0] = 'ns1.moraal.ee.'; # The value of the first NS-record
$defaults['ns'][1] = 'ns2.moraal.ee.'; # The value of the second NS-record
$defaults['ttl'] = 3600; # Default TTL for records
$defaults['disabled'] = false; # Default disabled state

Kasutajaliides paistab välja selline

[[Pilt:Pdns-1.gif]]

kus

* TODO

Kui rakendus töötab, muuta rakenduse failide omanik:grupp ära

# chown -R nsedit:nsedit /var/www/html/nsedit

====Kasutamine====

* Kasutajate lisamine, valida (ning märkida linnuke admin user jaoks), tulemusena on nsedit logid paremad

Users -> Add new user

* Uue tsooni lisamine, valida

Zones -> Add new zone

ning sisestada Domain lahtrisse domeeninimi, lõpetades punktiga, nt

test-1.ee.

Kõik muud valikud jätta vaikimisi

Account - admin
Type - master
Template - None

Kuna pdns serveri seadistusfailisis on näidatus SOA kirje väärtused ja nsedit seadisusfailis on kirjeldatud nimeserverid, siis tekib vaikimisi kastutatav tulemus.

* Uue tsooni lisamine kirjeldades korraga palju kirjeid (nt tsooni ületoomisel eelmise dns teenusepakkuja juurest)

Zones -> Import a new zone

seejuures

avanenud dialoogi pasteda tsoonifaili sisu
eemaldada SOA kirje
asendada NS kirjetesse õiged väärtused
kõik nimed (kirje kõige vasem positsioon) peavad olema pikad ja lõppema punktiga
eemaldada linnuke 'Overwrite Nameservers' juurest

* Mitme elemendilise väärtuse puhul tuleb see nii sisestada, nt MX kirje puhul

10 mx.moraal.ee.

* Eeldusel, et on olemas Content tulbas kasutatav A kirje ip aadressile vastav in-addr.arpa tsoon, saab nsedit abil tekitada automaatselt PTR kirje.

====Kasulikud lisamaterjalid====

* https://github.com/tuxis-ie/nsedit

===DNSSEC tsooni esmane juurutamine===

Tundub, et uuemal ajal saab DNSSEC juures kasatada CSK (Combined Signing Key) võtit ja seda kasutab PowerDNS vaikimisi, kuid samas CSK võtmeid registripidajad eriti ei toeta. Ja PowerDNS toetab ka nö klassikalist KSK+ZSK komplekti kasutamist.

====KSK ja ZSK võtmete kasutamine====

Võtmete tsooniga seostamiseks sobib öelda

# pdnsutil add-zone-key moraal.ee ksk 2048 active rsasha256
# pdnsutil add-zone-key moraal.ee zsk 1024 active rsasha256
# pdnsutil set-nsec3 moraal.ee '1 0 5 0...f'
# pdnsutil set-meta moraal.ee SOA-EDIT-API INCEPTION-INCREMENT
# pdnsutil set-meta moraal.ee SOA-EDIT INCEPTION-INCREMENT
# pdnsutil increase-serial moraal.ee
# pdnsutil rectify-zone moraal.ee
# pdnsutil show-zone moraal.ee

mis

* tekitab võtmed
* kui set-meta kogemata vääratab, nt lisati SOA-EDIT-SOA, siis saab meta data eemaldada, st näitamata väärtust

# pdnsutil set-meta moraal.ee SOA-EDIT-SOA

* võtab kasutusele nsec3 hash'ide arvutamiseks vajaliku materjali (0-f on 16-elemendiline juhuslik hex järgnevus, mis saadake nt nii

$ head -c 512 /dev/urandom | sha1sum | cut -b 1-16
7bc59a6dd87fa477

ja ideaalis võiks seda regulaarselt muuta), nt

$ dig +short moraal.ee nsec3param
1 0 5 E7544BB6070C3E0F

(kus 1 - sha1, 0 - opt-out, 5 - iterations, E7544BB6070C3E0F - salt)

* INCEPTION-INCREMENT rida seadistab selliselt, et kui automaaselt tsooni andmed resigneeritakse, siis suurendatakse ka seriali (muidu ei toimu notify ja andmed ei jõua avalikesse pädevatesse nimeserveritesse)
* rectify tuleb põhimõtteliselt öelda peale iga tsooni muudatust, et olla täiesti kindel tsooni toimimises; kui PowerDNS kasutatakse avalike nimeserverite varjatud masterina, pole see probleem

ning tsooni andmed paistavad

# pdnsutil show-zone moraal.ee
Nov 06 23:49:44 [bindbackend] Done parsing domains, 0 rejected, 0 new, 0 removed
This is a Master zone
Last SOA serial number we notified: 2016103003 == 2016103003 (serial in the database)
Metadata items:
SOA-EDIT INCEPTION-INCREMENT
SOA-EDIT-API INCEPTION-INCREMENT
Zone has NSEC3 semantics, configuration: 1 0 1 ab
keys:
ID = 11 (ZSK), flags = 256, tag = 26589, algo = 8, bits = 1024 Active ( RSASHA256 )
ID = 10 (KSK), flags = 257, tag = 53461, algo = 8, bits = 2048 Active ( RSASHA256 )
KSK DNSKEY = moraal.ee. IN DNSKEY 257 3 8 AwEAAcn... TQcnQstT+tU= ; ( RSASHA256 )
DS = moraal.ee. IN DS 53461 8 1 6c123b39076072da... c66f62b1e3c388b86b7f ; ( SHA1 digest )
DS = moraal.ee. IN DS 53461 8 2 b85dee98efa6e3bb... 57ce193f728f6b2b1d0dd262 ; ( SHA256 digest )
DS = moraal.ee. IN DS 53461 8 3 1359b0b2b97e60b2... 844b207e84bf5c109eb2e151 ; ( GOST R 34.11-94 digest )
DS = moraal.ee. IN DS 53461 8 4 6d735926cd5cf68b... 9ca2af1f72b3b8f67900bb32a94c ; ( SHA-384 digest )

kus

* kaks võtit, ID väärtustega 10 ja 11

Seejärel tuleb registripidajale öelda DS väärtus.

Tulemuse saab kontrollida nt aadressil http://dnsviz.net/d/moraal.ee/dnssec/.

DNSSEC eemaldamiseks tuleb

* esmalt eemaldada registripidaja juurest DS kirje (reeglina see õnnestub, aga nt 2017 aasta kevadel .org domeenide puhul on tulemuseks dnssec viga, tavaline servfail)
* tsoonis dnssec väljalülitamiseks sobib öelda

# pdnsutil disable-dnssec moraal.ee

====Tulemuse kontrollimine====

Kui kõik juba töötab (ja on vist on vajalik, et kasutada on mõni dnssec-võimeline rekursiivne nimeserver), saab tulemust kontrollida nt nii

$ ldns-rrsig moraal.ee a
moraal.ee RRSIG(a): Thu Oct 27 00:00:00 2016 - Thu Nov 17 00:00:00 2016

====Märkused====

* DNSSEC RRSIG signatuure arvutatakse iga 2 nädala tagant üle selleks, et piirata replay attack võimalusi. Põhimõtteliselt saab pahalane päringule vastuseks saata mõne varasemalt võrgus olnud vastuse (st RRSet + RRSIG komplekti) eeldusel, et ta kontrollib kasutaja võrguliiklust. Tänu RRSIG piiratud kehtivusajale (nt 2 nädalat) saab ta seda teha mitte vanemate kui 2 nädalat andmetega, lisaks ta on piiratud saatma mitte suvalisi vastuseid, vaid viimase kahe nädala jooksul kasutuses olnud vastuseid.

====Kasulikud lisamaterjalid====

* https://blog.powerdns.com/2016/02/02/powerdns-authoritative-the-new-old-way-to-manage-domains/

====CSK võtme kasutamine====

Märkus 2016 lõpus: tundub, et see CSK on mingi tulevikutehnoloogia.

Olemasoleva tsooni jaoks DNSSEC sisselülitamiseks sobib öelda

# pdnsutil secure-zone moraal.ee
# pdnsutil set-nsec3 moraal.ee '1 0 1 ab'
# pdnsutil rectify-zone moraal.ee
# pdnsutil set-meta moraal.ee SOA-EDIT-API INCEPTION-INCREMENT
# pdnsutil increase-serial moraal.ee
# pdnsutil show-zone moraal.ee

Seejärel tuleb registripidajale öelda DS väärtus.

Tulemuse saab kontrollida nt aadressil http://dnsviz.net/d/moraal.ee/dnssec/.

DNSSEC eemaldamiseks tuleb

* esmalt eemaldada registripidaja juurest DS kirje
* tsoonis dnssec väljalülitamiseks sobib öelda

# pdnsutil disable-dnssec moraal.ee

Misc

* tagasi nsec peale viimiseks

# pdnsutil unset-nsec3 moraal.ee

===DNSSEC tsooni seostamine DS sissekande abil ülevalpool oleva tsooniga===

DNSSEC tsooni seostamiseks ülevalpool oleva tsooniga on vaja teada selliseid andmeid

* võtme silt
* võtme tüüp
* algoritm
* avalik võti (või DS mis on avaliku võtme räsi vms)

Need kõik on avalik info ja kättesaadavad domeeni pädevast nimeserverist, aga PowerDNS haldusutiliidiga saab selle küsida otsekoheselt

# pdnsutil show-zone moraal.ee

Ühesõnaga, kui ise kasutatakse PowerDNS'i või partner saadab need andmed, siis allpool toodud dig käsuga tegelemist pole tarvis läbi teha. Tulemust sobib kontrollida nt aadressil http://dnsviz.net/.

====zone.ee keskkonnas - .ee tsoonis====

Logida sisse oma kasutajaga ja valida vasakult paneelist 'Teenuste ülevaade', kõnelaluse tsooni juures pressida rohelist + märki DNSSEC tulbas. Avanenud uuel eraanil vajutada üleval sinist nuppu Aktiveeri (muutub roheliseks), vajutada võtmete nimekirjas + märki ja täita lahtrid

[[Pilt:Pdns-3.gif]]

kus

* võtme silt - (antud juhul 53461), selle saab teada päringu väjundist

$ dig @ns.auul.pri.ee moraal.ee dnskey rrsig | grep DNSKEY
moraal.ee. 10800 IN RRSIG DNSKEY 8 2 10800 20161208000000 20161117000000 53461 moraal.ee. rVy+HAzSKkTRv6...

* võtme tüüp - KSK
* algoritm - 8 (RSA-SHA256)
* avalik võti, selle saab teada päringu väljundist, alates Aw kuni tU= (võib sisaldada tühikuid nagu päringu vastuses on)

$ dig @ns.auul.pri.ee moraal.ee dnskey | grep 257
moraal.ee. 3600 IN DNSKEY 257 3 8 AwEAAcnmmnnOlkRfK9NDYEI6F ... SD6 TQcnQstT+tU=

Vajutada all nuppu Kinnita, muudatus kehtestub peaaegu koheselt (ehk minutite jooksul), aga kasutajaliideses öeldakse

DNSSEC kaitse domeenil MORAAL.EE
Hetkestaatus: DNSSEC on aktiveerimata
Eesootavad muutused: DNSSEC aktiveeritakse

Teha brauseris refresh ja peab olema domeenide nimekirjas DNSSEC tulbas + asemel kilbi kujutis. Edasi läheb nn 15 minutit kuni muudatus zone.ee juurest eestiinternet.ee juurde jõuab ning kehtestub ee. tld (top level domain) nimeserverites. Kontrolliks maksab küsida tld nimeserverilt ds kirjet

$ dig +short @ns.tld.ee moraal.ee ds
30607 8 2 EAC8A17DD2128573F08EE76C18B4AB01734467CD4A376768F5358B0C A2B9463F

====zone.ee keskkonnas - .org tsoonis====

[[Pilt:Pdns-6.gif]]

====GoDaddy keskkonnas====

TODO

===DNSSEC võtmete asendamine===

====ZSK====

====KSK====

KSK moodi võtme lisamiseks sobib öelda, selliselt võib tsooniga siduda ka enam kui kaks võtit

# pdnsutil add-zone-key moraal.ee ksk 2048 active rsasha256

Tsooniga seotud võtmed paistavad käsu väljundis

# pdnsutil show-zone moraal.ee

Tulemusena paistab dnsviz keskkonnas selline pilt

TODO

Tsooniga seotud võtme eemaldamiseks sobib öelda, kus ID on show-zone väljundist välja valitud võtme ID väärtus

# pdnsutil remove-zone-key moraal.ee ID

====Kasulikud lisamaterjalid====

* https://doc.powerdns.com/md/authoritative/howtos/#zsk-rollover

===Mitmesugused haldusprotseduurid===

====tsooni backend muutmine====

TODO

====tsooni toomine PowerDNS kontrolli alla====

Tsooni migreerimiseks suvalisest AXFR-võimelisest nimeserverist sobib

* kirjeldada PowerDNS peal slave

# pdnsutil create-slave-zone moraal.ee 10.0.6.15
Feb 21 22:09:52 [bindbackend] Done parsing domains, 0 rejected, 0 new, 0 removed
Creating slave zone 'moraal.ee', with master(s) '10.0.6.15:53'

* kopeerida andmed axfr abil üle, kopeerimist kiirendab

# pdns_control retrieve moraal.ee

* muuta PowerDNS tsooni jaoks masteriks, öeldes

SQL> UPDATE domains set type='MASTER' where type='SLAVE';

Kui allikaks on nt BIND ning tsoonifailis on kasutatud generate konstruktsiooni, siis need lahenduvad automaatselt ära

$GENERATE 1-255 $ IN CNAME $.1-255.40.184.10.in-addr.arpa.

Kasulikud lisamaterjalid

* https://doc.powerdns.com/md/authoritative/migration/

====dnssec tsooni toomine PowerDNS kontrolli alla====

Analoogiliselt eelmisele punktile, aga

* esmalt lülitada dnssec välja, kustutades DS kirje parent tsoonist ja oodates vähemalt DS kirje TTL aja enne järgmise punkti juurde asumist; seejärel on tsooni sisu endine st vanade võtmetega signeeritud andmestik
* tegevused eelmises punktis + uute võtmetega krüptimine
* asuda kasutama uute võtmetega krüptitud tsooni sisu, ja oodata nt 6 tundi
* juurutada parent tsoonis uus DS kirje

====dnssec tsooni toomine PowerDNS kontrolli alla OpenDNSSEC keskkonnast koos vana KSK krüptomaterjaliga====

Eeldusel, et OpenDNSSEC kasutab SoftHSM backendi saab KSK krüptomaterjalid eksportida ja taaskasutada. Ettevalmistuseks tuleb kõnealune tsoon muus osas tavalisel viisil kasutusele võtta. SoftHSM pealt krüptomaterjali eksportimiseks tuleb esmalt teha kindlaks kolm väärust

* SoftHSM label ja pin vaadata nt /etc/opendnssec/conf.xml failist
* kõnealuse tsooni ksk võtme id, vaadata KSK active realt tulp 'CKA_ID'

# ods-ksmutil key list -v

sobib öelda

# softhsm --export moraal.ee-ksk.pem --slot 0 --label "vaartus" --pin vaartus --id vaartus
The key pair has been written to moraal.ee-ksk.pem

teisendada nn BIND kujule

# softhsm-keyconv --tobind --in ksk.pem --name moraal.ee --ksk --algorithm RSASHA256
The private key has been written to Kmoraal.ee+008+09122.private
The public key has been written to Kmoraal.ee+008+09122.key

ning võtta kasutusele PowerDNS juures

# pdnsutil import-zone-key moraal.ee Kksk+008+53675.private active ksk

Edasi seadistatakse DNSSEC analoogliselt nagu seada ikka PowerDNS puhul seadistatakse. Kusjuures 'pdnsutil import-zone-key ...' tulemus on sarnane nagu oleks öeldud

# pdnsutil add-zone-key moraal.ee ksk 2048 active rsasha256

Kasulikud lisamaterjalid

* http://www.molnar-peter.hu/en/

====pdns-control utiliidi kasutamine====

PowerDNS kus on master tsoon saadab notify oma slavedele (nagu on tsoonifaili NS kirjetes kirjas)

# pdns_control notify <domain>

või näidatud ip aadressile

# pdns_control notify-host <domain> <ip-address>

===TSIG kasutamine===

Nimeserverite vahelise tsooniedastuse juures TSIG juurutamiseks tuleb esmalt tekitada võti

# pdnsutil generate-tsig-key from_dns_to_itm hmac-sha256
Generating new key with 64 bytes (this can take a while)
Nov 26 13:10:37 [bindbackend] Done parsing domains, 0 rejected, 0 new, 0 removed
Create new TSIG key from_dns_to_itm hmac-sha256 WLuS4o6CX35+yGerdHpl2h3+PDKt76rgam9rqkRg8N+fTP6cGtC6H17rDidKl7FzEu0fukg3apxnZUxdDRDhkQ==

kus

* TODO

ning seejärel võti ühe või enama tsooniedastusega seostada

# pdnsutil activate-tsig-key moraal.ee from_dns_to_itm master

Tulemus paistab nii

<pre>
# pdnsutil show-zone moraal.ee
Nov 26 14:09:44 [bindbackend] Done parsing domains, 0 rejected, 0 new, 0 removed
This is a Master zone
Last SOA serial number we notified: 2016112602 == 2016112602 (serial in the database)
Zone is not actively secured
Zone has following allowed TSIG key(s): from_dns_to_itm
Metadata items:
SOA-EDIT-API DEFAULT
TSIG-ALLOW-AXFR from_dns_to_itm
No keys for zone 'moraal.ee'.
</pre>

kontrolliks sobib kopeerida öeldes

$ dig @192.168.1.248 moraal.ee axfr -y "hmac-sha256:from_dns_to_itm:WLuS4o6CX35+yGerdHpl2h3+PDKt76rgam9rqkRg8N+fTP6cGtC6H17rDidKl7FzEu0fukg3apxnZUxdDRDhkQ=="

kusjuures vastuses on üks preudokirje lisaks

..
from_dns_to_itm. 0 ANY TSIG hmac-sha256. 1480164029 300 32 t96WhnpNiAiL5KHXa8UzNthM6/p3ciQptF3Br2ZfhFk= 3538 NOERROR 0
...

Väited

* Sama TSIG võtit saab kasutada mitme tsooni jaoks ja nii on mugavam nt NSD patternit kasutada
* tundub, et tsooni jaoks TSIG juurutamisega kaasneb, et tsooni kopeerimise ip piirang enam ei kehti (lubatud ip pealt pöördudes ei ole võtme esitamine vajalik)
* kui tsooni juures on tsig sisse lülitatud, siis see mõjub nii notify kui xfr jaoks
* TSIG pseudokirjete arv suureneb vastavalt tsooni mahu suurenemisele, https://tools.ietf.org/html/rfc2845 'The TSIG MUST be included on the first and last DNS envelopes. It can be optionally placed on any intermediary envelopes. It is expensive to include it on every envelopes, but it MUST be placed on at least every 100'th envelope.'

Alternatiiv on kasutada -y asemel -k suvandit ja argumendiks failinime, faili sisuga

<pre>
key "from_yks_to_teine" {
algorithm HMAC-SHA256;
secret "YY8xvlL6yGjrt1G4xlfLBaidQOFdvixHgRXN6tXUPMitEKZUs7kl7qixJ0nSN1bbDJQxaFGkoKkBamNS7EPXbw==";
};
</pre>

===API kasutamine===

Üle API muudatuse tegemiseks peab eelnevalt PowerDNS serveris lülitama API sisse ning sisemise webserver käivitama

# cat /etc/powerdns/pdns.conf
..
api=yes
api-key=apiparool
webserver=yes
webserver-address=192.168.1.248
webserver-allow-from=0.0.0.0/0,::/0,192.168.10.0/24
...

ja kasutama nt sellist skripti (töökohaarvutis on seejuures abil kasutada nt jq utiliiti)

<pre>
# cat pdns-api.sh
curl -X PATCH --data \
'{"rrsets":
[{ "name": "www.moraal.ee.",
"records": [{ "content": "192.168.254.5", "disabled": false }],
"ttl": 86000,
"type": "A",
"changetype": "REPLACE"
}]
}' -H 'X-API-Key: midagisalajast123' http://192.168.1.248:8081/api/v1/servers/localhost/zones/moraal.ee. | jq .
</pre>

kus

* TODO

kas käivitamiseks öelda

$ sh pdns-api.sh

API'ga tutvumiseks võib olla hea mõte kuulata pealt mingi olemasoleva API-rakenduse ja serveri vahelist liiklust ja siis seda Wireshark abil uurida.

Kasulikud lisamaterjalid

* https://doc.powerdns.com/md/httpapi/README/ - tundub, et süntaks pole seal kõigis näidetes päris korrektne

===PowerDNS kasutusstatistika===

PowerDNS sisaldab sisemist veebiserverit, mille käest saab küsida teenuse kasutusstatistikat, TODO.

===Logimine===

Tundub, et vaikimisi logitakse syslog'i.

===Varundamine ja taaste===

TODO

===Misc===

====Paigaldamine operatsioonisüsteemi paketihaldusest====

Paigaldamiseks sobib öelda, tuleb paigalda üldosa + mingi backend, nt BIND-ühilduvate tsoonifailide käsitlemise komponent (st failisüsteem)

# apt-get install pdns-server pdns-backend-bind

Tulemusena tekib failisüsteemi

* /etc/powerdns/pdns.conf - peamine seadistusfail

====MySQL backend kasutamine====

Teoreetliselt võib sodida tsooni sisu muutmiseks üldotstarbelise sql editoriga (nt PgAdmin) ka otse baasis, aga praktilisem on kasutada ehk pdnsutil või api't kasutava tarkvara abil, nt nsedit veebiliides.

====pdns-backend-mysql paigaldamine ja seadistamine====

Eeldusel, et MySQL baas juba töötab samas arvutis, sobib paigaldamiseks sobib öelda (seejuures kasutades db-config sistemat, mis paigaldamise käigus tekitab create database baasi, kasutaja, sätib privileegid jne)

# apt-get install pdns-backend-mysql
..
Determining localhost credentials from /etc/mysql/debian.cnf: succeeded.
dbconfig-common: writing config to /etc/dbconfig-common/pdns-backend-mysql.conf

Creating config file /etc/dbconfig-common/pdns-backend-mysql.conf with new version

Creating config file /etc/powerdns/pdns.d/pdns.local.gmysql.conf with new version
checking privileges on database pdns for pdns@localhost: user creation needed.
granting access to database pdns for pdns@localhost: success.
verifying access for pdns@localhost: success.
creating database pdns: success.
verifying database pdns exists: success.
populating database via sql... done.
dbconfig-common: flushing administrative password
Processing triggers for libc-bin (2.24-3) ...
Processing triggers for pdns-server (4.0.1-5) ...

Tulemusena

* tekitatakse MySQL kasutaja pdns
* tekitatakse MySQL create database pdns

====BIND backend kasutamine====

Tundub, et otsekoheselt failisüsteemis tsoonifaili redigeerimise teel on mõeldav töötada ainult BIND-formaadis backendiga. Muudega tuleks kasutada pdnsutil utiliiti või API liidest. Tsoonide nimekiri kirjeldatakse failis

# cat /etc/powerdns/named.conf
# Debian default: supermaster created zones are written here:
include "/var/lib/powerdns/supermaster.conf";
# Example for a manually configured slave zone:
#
zone "example.net" {
file "/var/lib/powerdns/zones.slave.d/example.net.zone";
type master;
masters { 192.0.2.53; };
};

Tsoon kirjeldatakse failis

# cat /var/lib/powerdns/zones.slave.d/example.net.zone
$TTL 180
@ IN SOA ns1.example.net. hostmaster.example.net. (
2014080705 ; Serial Number (date YYYYMMDD++)
86400 ; Refresh (24 hours)
1800 ; Retry (1/2 hour)
3600000 ; Expire (42 days)
21600) ; Minimum (6 hours)
IN NS ns1.example.net.
IN NS ns2.example.net.

@ IN A 192.168.0.15
IN MX 10 mail.example.net.
www IN A 192.168.0.15
mail IN A 192.168.0.2
ns1 IN A 10.1.1.171
ns2 IN A 10.1.1.172
imre IN A 10.1.1.173

Muudatuse kehtestamiseks

# pdns_control bind-reload-now example.net
example.net: parsed into memory at 2016-10-26 20:43:14 +0300

====PostgreSQL backend kasutamine====

Teoreetliselt võib sodida tsooni sisu muutmiseks üldotstarbelise sql editoriga (nt PgAdmin) ka otse baasis, aga praktilisem on kasutada ehk pdnsutil või api't kasutava tarkvara abil, nt nsedit veebiliides.

====BIND backend kasutamine====

pdns-backend-bind seadistatakse failist

# egrep -v "^$|^#" /etc/powerdns/pdns.d/bind.conf
launch+=bind
bind-config=/etc/powerdns/named.conf
bind-supermaster-config=/var/lib/powerdns/supermaster.conf
bind-supermaster-destdir=/var/lib/powerdns/zones.slave.d

kus

* /etc/powerdns/named.conf - tsoonide nimekiri
* /var/lib/powerdns/supermaster.conf - lihtsal juhul tühi
* /var/lib/powerdns/zones.slave.d - BIND formaadis tsoonifailide kataloog

Tsoonide haldamisega tegeleb edasi allpool olev punkt.

====Poweradmin====

Märkus: tõenäoliselt ei ole Poweradmin tarvkara kasutamine hea mõte kuna rakendus sodib otse PowerDNS andmebaasis ja 2016 aasta sügisel on hakanud tekkima paremaid alternatiive, nt nsedit.

Poweradmin kasutamiseks peab PowerDNS kasutama SQL andmebaasi ja Poweradmin peab töötama vastu sama andmebaasi. Tundub, et Poweradmin töötab paremini MySQL + PHP5 keskkonnas. Kui Poweradmin PHP rakendus töötab teises arvutis kui MySQL baas, sobib baasis öelda

mysql> grant all privileges on pdns.* to 'pdns'@'%' identified by 'dbconfig sisestatud parool';
mysql> grant all privileges on pdns.* to 'pdns'@'localhost' identified by 'dbconfig sisestatud parool';
mysql> flush privileges;

# pdns_control retrieve moraal.ee
Added retrieval request for 'moraal.ee.' from master 192.168.1.247

Kasulikud lisamaterjalid

* https://www.digitalocean.com/community/tutorials/how-to-install-and-configure-powerdns-with-a-mariadb-backend-on-ubuntu-14-04

====Tsooni andmestikust otsing====

* Kõigi forward tsoonide sisust ip aadressi kasutamise leidmine

# for i in `pdns_control list-zones | grep -v All | grep -v in-addr`; do pdnsutil list-zone $i 2>&1 ; done | grep 10.20.123.154
ftp.moraal.ee 300 IN A 10.20.123.154

===Tsooni migreerimine pädeva pdns peale===

Väited

* SOA-EDIT -

====Protseduur====

TODO

====Käsundamine====

Eksport

<pre>
# pdnsutil show-zone moraal.ee
# pdnsutil export-zone-key moraal.ee 17 > moraal.ee.ksk
# pdnsutil list-zone moraal.ee > moraal.ee.zone
</pre>

Import

<pre>
# pdnsutil load-zone moraal.ee.zone
# pdnsutil set-kind moraal.ee master
# pdnsutil set-meta moraal.ee SOA-EDIT-API DEFAULT
# pdnsutil set-meta moraal.ee SOA-EDIT INCEPTION-INCREMENT
# pdnsutil import-zone-key moraal.ee moraal.ee.ksk ksk
# pdnsutil set-nsec3 moraal.ee '1 0 0 -'
# pdnsutil rectify-zone moraal.ee
# pdnsutil show-zone moraal.ee
</pre>

====Käsundamine - 2nd abil====

Tekitatakse migreeritava tsooni sekundaar

<pre>
# pdnsutil create-secondary-zone moraal.ee 192.168.1.148
</pre>

===Kasulikud lisamaterjalid===

* https://www.powerdns.com/
* http://www.poweradmin.org/
* https://github.com/PowerDNS/pdns/wiki/WebFrontends
* http://jpmens.net/2010/10/29/alternative-dns-servers-the-book-as-pdf/
* https://blog.powerdns.com/2016/02/02/powerdns-authoritative-the-new-old-way-to-manage-domains/
* https://www.cloudflare.com/dns/dnssec/how-dnssec-works/

PowerDNS webfrontend - PowerDNS-Admin

2026-08-05T05:50:27Z

Imre: Uus lehekülg: '===2024 aasta kevade tähelepanekud=== Eesmärk * ühe operatsioonisüteemi peal kompaktselt lahenduse pidamine - Debian v. 12 * dns server - PowerDNS * webgui haldusliides - PowerDNS-Admin (PDA) * dnssec võimekus * docker abil kasutatakse konteinerit (PDA) * andmeid hoitakse PostgreSQL andmebaasis ====Tööpõhimõte==== Väited * dnssec kasutab algoritmi nr 13 * NSEC3 kasutab '1 0 0 -' seadistust * sekundaarsete nimeserveritega suhtlemine toimub catalog-zones abil *...'

===2024 aasta kevade tähelepanekud===

Eesmärk

* ühe operatsioonisüteemi peal kompaktselt lahenduse pidamine - Debian v. 12
* dns server - PowerDNS
* webgui haldusliides - PowerDNS-Admin (PDA)
* dnssec võimekus
* docker abil kasutatakse konteinerit (PDA)
* andmeid hoitakse PostgreSQL andmebaasis

====Tööpõhimõte====

Väited

* dnssec kasutab algoritmi nr 13
* NSEC3 kasutab '1 0 0 -' seadistust
* sekundaarsete nimeserveritega suhtlemine toimub catalog-zones abil
* kasutatakse KSK/ZSK ja CSK lähenemist võtmete pidamisel

Protseduuride võimekus

* NSEC, NSEC3 ja NSEC3 param väärtuste muutmine
* võtme vahetus
* krüptimise algoritmi vahetus

====Platvormi ettevalmistamine====

Platvorm koosneb

* Debian v. 12 operatsioonisüsteem
* Docker Community Edition
* PostgreSQL v. 12
* NginX

PostgreSQL

<pre>
root@pdns:/tmp# apt-get install postgresql-common
root@pdns:/tmp# mkdir /etc/postgresql-common/createcluster.d
root@pdns:/tmp# echo "initdb_options = '--data-checksums'" > /etc/postgresql-common/createcluster.d/moraal.conf
root@pdns:/tmp# echo "create_main_cluster = false" >> /etc/postgresql-common/createcluster.d/moraal.conf
root@pdns:/tmp# apt-get install postgresql-16
root@pdns:/tmp# pg_createcluster --locale en_US.UTF-8 16 pgcluster_pdns_prod

postgres=# \x
Expanded display is on.
postgres=# \l postgres
List of databases
-[ RECORD 1 ]-----+------------
Name | postgres
Owner | postgres
Encoding | UTF8
Locale Provider | libc
Collate | en_US.UTF-8
Ctype | en_US.UTF-8
ICU Locale |
ICU Rules |
Access privileges |
</pre>

PowerDNS kasutaja ja create database baasi tekitamiseks sobib öelda

<pre>
# su - postgres
$ psql
sql> create role pdns login;
sql> \password pdns
sql> create database db_pdns owner = pdns;
</pre>

PowerDNS-Admin kasutaja ja create database baasi tekitamiseks sobib öelda

<pre>
# su - postgres
$ psql
sql> create role pda login;
sql> \password pda
sql> create database db_pda owner = pda;
</pre>

====PowerDNS paigaldamine====

PowerDNS ise ja tema tööks otseselt vajalikud komponendid (nt PostgreSQL andmebaas) töötavad nö tavalisel viisil operatsioonisüsteemi protsesside-teenustena st mitte-konteineritena.

<pre>
# apt-get install pdns-server pdns-backend-pgsql pdns-tools
</pre>

Tulemusena käivitatakse pdns server ja tema bind backend.

TODO

PostgreSQL backend kasutamine

<pre>
# psql -h 127.0.0.1 -U pdns pdns < /usr/share/doc/pdns-backend-pgsql/schema.pgsql.sql
Password for user pdns:
CREATE TABLE
CREATE INDEX
CREATE INDEX
CREATE TABLE
CREATE INDEX
...
</pre>

Baasi ligipääs jms kirjeldatakse failis, https://doc.powerdns.com/authoritative/backends/generic-postgresql.html#

<pre>
root@pdns:~# egrep -v "^#|^$" /etc/powerdns/pdns.d/gpgsql.conf
launch+=gpgsql
gpgsql-dbname=db_pdns
gpgsql-dnssec=yes
gpgsql-host=127.0.0.1
gpgsql-password=parool
gpgsql-port=5432
gpgsql-user=pdns
</pre>

bind eemaldamiseks sobib kustutada fail

# rm /etc/powerdns/pdns.d/bind.conf

Tulemusena töötab pdns server, gpgsql backendiga

<pre>
2024-06-16T16:44:00.877817+03:00 pdns systemd[1]: Starting pdns.service - PowerDNS Authoritative Server...
2024-06-16T16:44:00.906026+03:00 pdns pdns_server[3916]: Loading '/usr/lib/x86_64-linux-gnu/pdns/libgpgsqlbackend.so'
2024-06-16T16:44:00.906356+03:00 pdns pdns_server[3916]: This is a standalone pdns
2024-06-16T16:44:00.906408+03:00 pdns pdns_server[3916]: Listening on controlsocket in '/run/pdns/pdns.controlsocket'
2024-06-16T16:44:00.906668+03:00 pdns pdns_server[3916]: UDP server bound to 0.0.0.0:53
2024-06-16T16:44:00.906684+03:00 pdns pdns_server[3916]: UDP server bound to [::]:53
2024-06-16T16:44:00.906735+03:00 pdns pdns_server[3916]: TCP server bound to 0.0.0.0:53
2024-06-16T16:44:00.906750+03:00 pdns pdns_server[3916]: TCP server bound to [::]:53
2024-06-16T16:44:00.906866+03:00 pdns pdns_server[3916]: PowerDNS Authoritative Server 4.9.1 (C) PowerDNS.COM BV
2024-06-16T16:44:00.906881+03:00 pdns pdns_server[3916]: Using 64-bits mode. Built using gcc 12.2.0 on May 28 2024 07:46:05 by root@localhost.
2024-06-16T16:44:00.906891+03:00 pdns pdns_server[3916]: PowerDNS comes with ABSOLUTELY NO WARRANTY. This is free software, and you are welcome to redistribute it according to the terms of the GPL version 2.
2024-06-16T16:44:00.915255+03:00 pdns pdns_server[3916]: Polled security status of version 4.9.1 at startup, no known issues reported: OK
2024-06-16T16:44:00.926644+03:00 pdns pdns_server[3916]: Creating backend connection for TCP
2024-06-16T16:44:00.935773+03:00 pdns pdns_server[3916]: About to create 3 backend threads for UDP
2024-06-16T16:44:00.935850+03:00 pdns systemd[1]: Started pdns.service - PowerDNS Authoritative Server.
2024-06-16T16:44:01.086206+03:00 pdns pdns_server[3916]: Done launching threads, ready to distribute questions
</pre>

ühtegi tsooni ei ole kirjeldatud

<pre>
root@pdns:/tmp# pdnsutil list-all-zones
root@pdns:/tmp#
</pre>

====PowerDNS seadistamine====

Seadistamisel tegeldakse

* api sisselülitamine (PDA jaoks)
* SOA kirje vaikeväärtused
* DNSSEC vaike krüpto

====PowerDNS-Admin paigaldamine - PDA - docker====

PowerDNS-Admin tarvkara töötab docker konteinerina, aga kasutab host arvutist postgresql andmebaasi. Platvorm ettevalmistamine punktis on vajalik kasutaja ja create database tekitatud. PDA kasutamine eeldab, et PDNS juures on sisse lülitatud api liides (vaikimisi http liiklus üle port 8081).

Docker compose fail

<pre>
root@pdns:~# cat docker-compose-pda.yml
services:
svc_pda:
image: powerdnsadmin/pda-legacy:v0.4.2

container_name: cn_pda
restart: always
logging:
driver: json-file
options:
max-size: 50m
ports:
- "9191:80"
environment:
- SECRET_KEY='saladus'
- SQLALCHEMY_DATABASE_URI=postgresql://pda:pdaparool@192.168.10.53/pda
- GUNICORN_TIMEOUT=60
- GUNICORN_WORKERS=2
- GUNICORN_LOGLEVEL=DEBUG
- OFFLINE_MODE=False
- CSRF_COOKIE_SECURE=False

networks:
- nw_pda

networks:
nw_pda:
name: nw_pda
driver: bridge
</pre>

Käivitamiseks

# docker compose -f docker-compose-pda.yml up -d

Tulemusena on aadressil http://192.168.10.53:9191/ PDA webgui sisselogimise ekraan. Pressida Create Account ja esimesena tekitatud kasutaja on admin privileegidega.

TODO

====PowerDNS-Admin paigaldamine - NginX operatsioonisüsteem====

NginX https:// frontend kasutamiseks sobib kasutada sellist seadistust

<pre>
root@pdns:/etc/nginx/sites-enabled# cat /etc/nginx/sites-enabled/pdns
server {
listen 80;
server_name pdns.moraal.ee;
root /var/www/html;

if ($request_uri !~ /.well-known) {
return 301 https://pdns.moraal.ee/;
}
}

server {
listen 443 ssl http2;
server_name pdns.moraal.ee;
ssl_certificate /etc/ssl/localcerts/pdns.moraal.ee.pem;
ssl_certificate_key /etc/ssl/localcerts/pdns.moraal.ee.key;
ssl_session_timeout 1d;
ssl_session_cache shared:MozSSL:10m;
ssl_session_tickets off;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305;

client_max_body_size 25m;

ssl_stapling off;
add_header Strict-Transport-Security "max-age=63072000" always;

access_log /var/log/nginx/access-pdns.moraal.ee-443.log;
root /var/www/html;

location / {
proxy_set_header Host $http_host;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Forwarded-Proto https;
proxy_pass http://192.168.10.53:9191;
}
}
</pre>

====PowerDNS-Admin paigaldamine - NginX docker====

<pre>
# cat /srv/pdns/volume/nginx/etc/nginx/nginx.conf
# nginx.conf

user nginx;
worker_processes auto;
error_log /dev/stderr;
pid /var/run/nginx.pid;

events {
worker_connections 1024;
}

http {
include mime.types;
default_type application/octet-stream;

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log /dev/stdout main;

sendfile on;
keepalive_timeout 65;

# Redirect HTTP to HTTPS
server {
listen 80;
server_name _;
return 301 https://$host$request_uri;
}

# HTTPS Configuration
server {
listen 443 ssl;
server_name _;
http2 on;
ssl_protocols TLSv1.3;
ssl_prefer_server_ciphers on;

ssl_certificate /etc/ssl/localcerts/ns-pdns-01.auul.pri.ee.crt;
ssl_certificate_key /etc/ssl/localcerts/ns-pdns-01.auul.pri.ee.key;

# Recommended security settings
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305;

# Logging
access_log /dev/stdout;
error_log /dev/stdout;

# Reverse proxy to the destination
location / {
proxy_pass http://svc_pdns:8081;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
}
</pre>

====Misc====

Tulemusena saab pda webgui poole pöörduda aadressiga https://pdns.moraal.ee/.

PDA kasutaja parooli muutmine postgresql baasis, nb rakendus kasutab tabeli nimena 'user', see on postgresql nö built-in objekt ja name clash ületamiseks tuleb pöörduda rakendusega seotud ressursi poole "user" abil, eriti koos skeemi prefiksiga

<pre>
# su - postgres
$ psql db_pda
pda=# select * from public."user";
-[ RECORD 1 ]------------------------------------------------------------
id | 1
username | admin
password | $2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FF
firstname | Imre
lastname | Oolberg
email | imre.oolberg@auul.pri.ee
otp_secret |
role_id | 1
confirmed | f
..

db_pda=# update public."user" set password='$2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FC' where username='admin';
UPDATE 1
</pre>

kusjuures password väärtus tekitatakse nt

<pre>
$ htpasswd -bnBC 15 "" pdaparool | tr -d ':\n'
$2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FC
</pre>

Kasutaja lisamine

<pre>
db_pda=# insert into "user" (username, password, firstname, lastname, email, role_id, confirmed) values ('admin', '$2b$12$4M9qXQaWn95GTregvSO2v.I/1QQT0/Ayqt3jZsMp06FIa5dMme6Gu', 'Administrator', 'Administrator', 'priit@moraal.ee', 1, 'f');
</pre>

pdns api kontakti lisamine

<pre>
db_pda=# insert into setting (name, value) values ('pdns_api_url', 'http://192.168.10.80:8081');
INSERT 0 1
db_pda=# insert into setting (name, value) values ('pdns_api_key', 'apiparool');
INSERT 0 1
db_pda=# insert into setting (name, value) values ('pdns_version', '4.9.11');
INSERT 0 1
db_pda=# select * from setting;
id | name | value
----+--------------+------------------------
7 | pdns_api_url | http://192.168.10.80:8081
8 | pdns_api_key | apiparool
9 | pdns_version | 4.9.11
(3 rows)
</pre>

====PDA kasutamise privileegid====

Väited

* Account - grupi taoline moodustis, praktiliselt võiks vastata domeeni omanik asutusele
* User - kasutaja taoline moodustis, vastab inimesele kes süsteemi kasutab
* User ja Account vaheliste seoste abil saab anda hulgale kasutajatele õiguse tegeleda hulga domeenidega

<pre>
root@rv-xxx-01:/opt/pda/dc# docker exec -ti e8 sh
/app $ ps aux
PID USER TIME COMMAND
1 pda 0:00 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG
7 pda 0:02 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG
8 pda 0:01 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG

[2025-10-31 13:06:25,927] [record.py:61] ERROR - Cannot fetch zone's record data from remote powerdns api. DETAIL: HTTPSConnectionPool(host='rvxxx-01.test.moraal.ee', port=443): Max retries exceeded with url: /api/v1/servers/localhost/zones/imretest-03.ee (Caused by SSLError(SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self-signed certificate in certificate chain (_ssl.c:1007)')))

volumes:
# - /opt/pda/volume/pda/etc/ssl/certs/ca-certificates.crt:/usr/lib/python3.10/site-packages/certifi/cacert.pem
</pre>

====PDA API liidese kasutamine====

Tsooni tekitamine

<pre>
$ curl -s -L -H 'Content-Type: application/json' -H 'Authorization: Basic xxx' -X POST https://pda.moraal.ee/api/v1/pdnsadmin/zones \
--data '{"name": "zone-moraal-imre-test-01.ee.", "kind": "MASTER", "nameservers": ["ans1.moraal.ee.", "ans2.moraal.ee."]}' | jq .
{
"account": "",
"api_rectify": false,
"catalog": "",
"dnssec": false,
"edited_serial": 2026010802,
"id": "zone-moraal-imre-test-01.ee.",
"kind": "Master",
"last_check": 0,
"master_tsig_key_ids": [],
"masters": [],
"name": "zone-moraal-imre-test-01.ee.",
"notified_serial": 0,
"nsec3narrow": false,
"nsec3param": "",
"rrsets": [
{
"comments": [],
"name": "zone-moraal-imre-test-01.ee.",
"records": [
{
"content": "ans1.moraal.ee. hostmaster.moraal.ee. 2026010801 86400 7200 2419200 10800",
"disabled": false
}
],
"ttl": 3600,
"type": "SOA"
},
{
"comments": [],
"name": "zone-moraal-imre-test-01.ee.",
"records": [
{
"content": "ans1.moraal.ee.",
"disabled": false
},
{
"content": "ans2.moraal.ee.",
"disabled": false
}
],
"ttl": 3600,
"type": "NS"
}
],
"serial": 2026010801,
"slave_tsig_key_ids": [],
"soa_edit": "",
"soa_edit_api": "DEFAULT",
"url": "/api/v1/servers/localhost/zones/zone-moraal-imre-test-01.ee."
}
</pre>

Kui pole ligipääsu saab sellise vastuse

<pre>
% curl -s -L -H 'Content-Type: application/json' -H 'X-API-KEY: xxx' -X GET "https://pda.moraal.ee/api/v1/servers/localhost/zones/zone-moraal-imre-test-01.ee" | jq .
{
"msg": "Zone access not allowed"
}
</pre>

===pdns docker lahendus===

<pre>
# egrep -v "^$|^#" /etc/powerdns/pdns.conf
allow-axfr-ips=127.0.0.1,192.168.10.0/24
allow-notify-from=
allow-unsigned-notify=yes
also-notify=
api=yes
api-key=saladus
default-api-rectify=yes
default-ksk-algorithm=ecdsa256
default-soa-content=ans1.auu.pri.ee hostmaster.auul.pri.ee 0 86400 7200 2419200 10800
default-soa-edit=INCEPTION-INCREMENT
default-soa-edit-signed=INCEPTION-INCREMENT
default-ttl=3600
disable-syslog=no
forward-notify=
include-dir=/etc/powerdns/pdns.d
launch=
local-address=172.30.0.15, 10.30.0.15
local-port=53
log-dns-details=yes
log-dns-queries=yes
log-timestamp=yes
loglevel=4
only-notify=
primary=yes
secondary=yes
webserver=yes
webserver-address=10.30.0.15
webserver-allow-from=0.0.0.0/0
webserver-loglevel=detailed
webserver-password=saladus
webserver-port=8081
</pre>

===pdns podman lahendus===

PDNS Quadlet Service kirjeldus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/pdns-01.container
[Unit]
Description=My PDNS Quadlet Service
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/powerdns/pdns-auth-49:latest
PublishPort=1053:8053/tcp
PublishPort=1053:8053/udp
ContainerName=pdns-01
Volume=%h/volume/pdns/etc/powerdns/pdns.conf:/etc/powerdns/pdns.conf:ro
Environment=PDNS_local_port=8053

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target
</pre>

ning pdns.conf seadistusfail

<pre>
# cat /opt/pdns/volume/pdns/etc/powerdns/pdns.conf
local-address=0.0.0.0
launch=
# include-dir=/etc/powerdns/pdns.d
api=yes
api-key=parool
webserver=yes
webserver-address=0.0.0.0
webserver-allow-from=0.0.0.0/0

#master=yes

primary=yes
secondary=yes
allow-axfr-ips= 100.20.21.0/24,127.0.0.1/32,172.17.0.0/16
also-notify=192.168.1.150
only-notify=
forward-notify=
default-soa-content=ans1.auul.pri.ee hostmaster.auul.pri.ee 0 86400 7200 2419200 10800
default-soa-edit=INCEPTION-INCREMENT
default-soa-edit-signed=INCEPTION-INCREMENT
default-ttl=3600

default-ksk-algorithm=ecdsa256
default-api-rectify=yes
# default-nsec3-param=1 0 0 -

launch+=gpgsql
gpgsql-dnssec=yes
gpgsql-extra-connection-parameters=password=parool dbname=db_pdns port=5432 user=pdns host=192.168.1.147
</pre>

Nimesüsteem

2026-08-05T05:47:32Z

Imre:

* [[:DNS lahendusest üldiselt]]
* [[:Rekursiivse resolveri Unbound kasutamine operatsioonisüsteemiga OpenBSD]]
* [[:Rekursiivse resolveri Unbound kasutamine operatsioonisüsteemiga Debian]]
* [[:Pädeva nimeserveri NSD v. 3 kasutamine]]
* [[:Pädeva nimeserveri NSD v. 4 kasutamine operatsioonisüsteemiga OpenBSD]]
* [[:Pädeva nimeserveri NSD v. 4 kasutamine operatsioonisüsteemiga Debian v. 8 Jessie]]
* [[:DNSSEC lahendusest üldiselt]]
* [[:DNSSEC kasutamine ldns, Unbound ja NSD tarkvaraga]]
* [[:DNSSEC kasutamine BIND tarkvara ja Debian Squeeze v. 6 operatsioonisüsteemiga]]
* [[:BIND nimeserveri kasutamine Debian Squeeze v. 6 operatsioonisüsteemiga]]
* [[:PowerDNS Authoritative Server nimeserveri kasutamine]]
* [[:OpenDNSSEC kasutamine operatsioonisüsteemiga Debian]]
* [[:Misc DNS]]
* [[:dnstap]]
* [[:knot kasutamine - protsess operatsioonisüsteemis]]
* [[:knot kasutamine - protsess docker konteineris]]
* [[:Kõrgkäigeldav pädev nimeserveri lahendus - NSD]]
* [[:PowerDNS webfrontend - PowerDNS-Admin]]
* [[:PowerDNS webfrontend - Poweradmin]]

Podman kasutamine

2026-08-03T20:35:03Z

Imre: /* Quadlet kasutamine */

===Sissejuhatus===

TODO

===Tööpõhimõte===

* slirp4netns
* slip
* netavark
* uidmap

===Ettevalmistamine===

Antud juhuks kasutatakse Debian v. 13 operatsioonisüsteemi, siin on olemas

* kernel v. 6.12
* podman v. 5 (mitte v. 4 nagu näiteks Ubuntu 24.04)

podman tarkvara paigaldamiseks

<pre>
root@ph-minio-01:~# apt-get install podman -d
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
The following additional packages will be installed:
aardvark-dns buildah catatonit conmon containernetworking-plugins containers-storage cpp cpp-14 cpp-14-x86-64-linux-gnu
cpp-x86-64-linux-gnu criu crun dirmngr fuse-overlayfs fuse3 gnupg gnupg-l10n gnupg-utils golang-github-containers-common
golang-github-containers-image gpg gpg-agent gpg-wks-client gpgconf gpgsm gpgv iptables libassuan9 libcompel1 libcriu2 libgcrypt20
libgpg-error-l10n libgpg-error0 libgpgme11t64 libip4tc2 libip6tc2 libisl23 libksba8 libldap-common libldap2 libmpc3 libmpfr6 libnet1
libnetfilter-conntrack3 libnfnetlink0 libnl-3-200 libnpth0t64 libprotobuf32t64 libsasl2-2 libsasl2-modules libsasl2-modules-db libslirp0
libsubid5 libyajl2 netavark passt pinentry-curses python3-protobuf python3-pycriu slirp4netns uidmap
Suggested packages:
cpp-doc gcc-14-locales cpp-14-doc libwasmedge0 pinentry-gnome3 tor gpg-wks-server parcimonie xloadimage scdaemon tpm2daemon firewalld
rng-tools libsasl2-modules-gssapi-mit | libsasl2-modules-gssapi-heimdal libsasl2-modules-ldap libsasl2-modules-otp libsasl2-modules-sql
pinentry-doc docker-compose

...
</pre>

kus

* paigaldatakse lisaks passt ja slirp4nets, uidmap conman, netavark, criu, crun

<pre>
# systemctl --user enable --now podman.socket
</pre>

chatgpt soovitus, 'you might need to increase your "unprivileged ports" or "max user namespaces" in /etc/sysctl.conf'

Võrgukontroll

<pre>
ps aux | grep -E 'pasta|slirp4netns'
</pre>

===Quadlet kasutamine===

Root kasutaja promptist kasutaja prompti jõudmiseks sobib öelda

<pre>
root@ns-pdns-01:~# machinectl shell kasutaja@
</pre>

edasi

<pre>
kasutaja@ph-minio-01:~$ systemctl --user mask podman-user-wait-network-online.service

kasutaja@ph-minio-01:~$ cat .config/containers/systemd/nginx-08.container
[Unit]
Description=My Nginx Quadlet Service
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/library/nginx:alpine
PublishPort=8098:80
ContainerName=nginx-08

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target

kasutaja@ph-minio-01:~$ systemctl --user daemon-reload
kasutaja@ph-minio-01:~$ systemctl --user start nginx-08.service
</pre>

kus

* kuna unit genereeritakse, siis '... enable --now ...' vms ei ole asjakohane (saab veateate)

Tulemusena

<pre>
kasutaja@ph-minio-01:~$ systemctl --user status nginx-07
● nginx-07.service - My Nginx Quadlet Service - 07
Loaded: loaded (/home/kasutaja/.config/containers/systemd/nginx-07.container; generated)
Active: active (running) since Sun 2026-04-19 20:26:21 EEST; 5min ago
Invocation: 2954482c56c64789a40f697e6d660f2f
Main PID: 4344 (conmon)
Tasks: 5 (limit: 6982)
Memory: 30.9M (peak: 46.6M)
CPU: 94ms
CGroup: /user.slice/user-1000.slice/user@1000.service/app.slice/nginx-07.service
├─libpod-payload-448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70
│ ├─4346 "nginx: master process nginx -g daemon off;"
│ ├─4372 "nginx: worker process"
│ └─4373 "nginx: worker process"
└─runtime
├─4341 /usr/bin/pasta --config-net -t 8097-8097:80-80 --dns-forward 169.254.1.1 -u none -T none -U none --no-map-gw --quiet --netns /run/user/1000/netns/netns-5f134e7f-f63d-6728-4123-10ffea79d4e9 --map-guest-addr 169.254.1.2
└─4344 /usr/bin/conmon --api-version 1 -c 448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70 -u 448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70 -r /usr/bin/crun -b /home/kasutaja/.local/share/containers/storage/overlay-containers/448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70/userdata -p /run/user/1000/containers/overlay-containers/448f5affd046e479f>

Apr 19 20:26:21 ph-minio-01 nginx-07[4324]: 448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70
Apr 19 20:26:21 ph-minio-01 podman[4324]: 2026-04-19 20:26:21.222328815 +0300 EEST m=+0.015770124 image pull 5bd7bd52e5bcab15a093466b90e37472b0d0c0081052522afb8924cbdaf15f56 docker.io/library/nginx:alpine
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: using the "epoll" event method
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: nginx/1.29.8
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: built by gcc 15.2.0 (Alpine 15.2.0)
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: OS: Linux 6.12.74+deb13+1-amd64
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: getrlimit(RLIMIT_NOFILE): 524288:524288
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: start worker processes
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: start worker process 25
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: start worker process 26
</pre>

Olukorra küsimine

<pre>
kasutaja@ph-minio-01:~$ loginctl user-status
kasutaja (1000)
Since: Sun 2026-04-19 18:59:50 EEST; 1h 15min ago
State: active
Sessions: *69 68
Linger: no
Unit: user-1000.slice
├─session-69.scope
│ ├─3556 "sshd-session: kasutaja [priv]"
│ ├─3563 "sshd-session: kasutaja@pts/1"
│ ├─3564 -bash
│ ├─3883 loginctl user-status
│ └─3884 pager
└─user@1000.service
├─app.slice
│ ├─nginx-08.service
│ │ ├─libpod-payload-bc852e3e18307519d4aa9da53a695a32a41de08994596114cbe36b400b47e045
│ │ │ ├─3485 "nginx: master process nginx -g daemon off;"
│ │ │ ├─3537 "nginx: worker process"
│ │ │ └─3538 "nginx: worker process"
│ │ └─runtime
│ │ ├─3464 /usr/bin/pasta --config-net -t 8098-8098:80-80 --dns-forward 169.254.1.1 -u none -T none -U none --no-map-gw --quiet --netns /run/user/1000/netns/netns-91377314-f55f-138d-42af-3d324176cd02 --map-guest-addr >
│ │ └─3480 /usr/bin/conmon --api-version 1 -c bc852e3e18307519d4aa9da53a695a32a41de08994596114cbe36b400b47e045 -u bc852e3e18307519d4aa9da53a695a32a41de08994596114cbe36b400b47e045 -r /usr/bin/crun -b /home/kasutaja/.lo>
│ └─nginx-09.service
│ ├─libpod-payload-a390c5429a53870b2175d1869d0e5aab0c990e9f8cb511b3cac04582b346c35a
│ │ ├─3484 "nginx: master process nginx -g daemon off;"
│ │ ├─3511 "nginx: worker process"
│ │ └─3512 "nginx: worker process"
│ └─runtime
│ ├─3476 /usr/bin/pasta --config-net -t 8099-8099:80-80 --dns-forward 169.254.1.1 -u none -T none -U none --no-map-gw --quiet --netns /run/user/1000/netns/netns-ec2cfa9a-6c8b-0edf-24a2-be75c53feb34 --map-guest-addr >
│ └─3481 /usr/bin/conmon --api-version 1 -c a390c5429a53870b2175d1869d0e5aab0c990e9f8cb511b3cac04582b346c35a -u a390c5429a53870b2175d1869d0e5aab0c990e9f8cb511b3cac04582b346c35a -r /usr/bin/crun -b /home/kasutaja/.lo>
├─init.scope
│ ├─3376 /usr/lib/systemd/systemd --user
│ └─3378 "(sd-pam)"
├─session.slice
│ └─dbus.service
│ └─3536 /usr/bin/dbus-daemon --session --address=systemd: --nofork --nopidfile --systemd-activation --syslog-only
└─user.slice
└─podman-pause-407bd36c.scope
└─3427 catatonit -P
</pre>

Selleks, et konteiner automaatselt käivituks süsteemi käivitumise ajal

<pre>
# loginctl enable-linger kasutaja
</pre>

===Konteineri uuendamine===

<pre>
kasutaja@ns-pdns-01:~$ podman pull docker.io/library/nginx:alpine
kasutaja@ns-pdns-01:~$ systemctl --user restart nginx-01.service
</pre>

Automaatselt uuendab quatlet juures Pull= direktiivi kasutamine

<pre>
..
[Container]
Image=docker.io/library/nginx:alpine
Pull=newer
...
</pre>

===Misc===

TODO

===podhost podide vaheline võrk===

Vaikimisi töötavad podhost peal pod'id nii, et iga pod sisse nö peegeldatakse host'i enda võrguliides, st pod arvab, et ta on host. Ja kui nüüd pod pöördub mõne teise pod poole, siis ta ei saa kuna tema võrguliiklus takerdub. Sellest olukorrast saab üle järgnevalt kirjeldatud asjakorraldusega

* pod sisse moodustatakse eraldi 10.x.x.x aadressiga võrguliidesed
* kõigi asjasse puutuvate pod'ide võrguliidesed asuvad ühe nö switchi küljes
* podhost peal toimetab nn rootlessport nimeline protsess
* kuidagi protsessi sisemiselt teisendatakse internetist saabunud paketid nendeks privaatsete aadressidega pakettideks

Ühe pod systemd unit seadistus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/pdns-01.container
[Unit]
Description=My PDNS Quadlet Service
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/powerdns/pdns-auth-49:latest
PublishPort=8081:8081/tcp
PublishPort=1053:8053/tcp
PublishPort=1053:8053/udp
ContainerName=pdns-01
Volume=%h/volume/pdns/etc/powerdns/pdns.conf:/etc/powerdns/pdns.conf:ro
# Environment=PDNS_local_port=8053
Network=dns-net.network

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target
</pre>

teise systemd unit seadistus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/nginx-01.container
[Unit]
Description=My Nginx Quadlet Service - 01
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/library/nginx:alpine
PublishPort=8091:80
ContainerName=nginx-01
Volume=%h/volume/nginx/etc/nginx/nginx.conf:/etc/nginx/nginx.conf:ro
Network=dns-net.network

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target
</pre>

võrgu unit seadistus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/dns-net.network
[Network]
NetworkName=dns-net
Options=dns
</pre>

Tulemusena tekivad podhost peale sellised protsessid

<pre>
root@ns-pdns-01:~# netstat -lnpt | grep rootle
tcp6 0 0 :::8081 :::* LISTEN 63597/rootlessport
tcp6 0 0 :::8091 :::* LISTEN 63627/rootlessport
tcp6 0 0 :::1053 :::* LISTEN 63597/rootlessport
</pre>

kusjuures nad on erinevad namespace'id

<pre>
root@ns-pdns-01:~# lsns -T | grep rootlessport
│ ├─4026532532 net 4 63597 kasutaja rootlessport
│ ├─4026532647 net 5 63627 kasutaja rootlessport
</pre>

ning nende sees on sellised võrguliidesed

<pre>
root@ns-pdns-01:~# nsenter -t 63597 -n ip addr show dev eth0
2: eth0@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 65520 qdisc noqueue state UP group default qlen 1000
link/ether ce:90:e6:c1:2e:42 brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.89.0.5/24 brd 10.89.0.255 scope global eth0
valid_lft forever preferred_lft forever
inet6 fe80::cc90:e6ff:fec1:2e42/64 scope link proto kernel_ll
valid_lft forever preferred_lft forever

root@ns-pdns-01:~# nsenter -t 63627 -n ip addr show dev eth0
2: eth0@if5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 65520 qdisc noqueue state UP group default qlen 1000
link/ether 7e:9d:11:fa:3b:24 brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.89.0.6/24 brd 10.89.0.255 scope global eth0
valid_lft forever preferred_lft forever
inet6 fe80::7c9d:11ff:fefa:3b24/64 scope link proto kernel_ll
valid_lft forever preferred_lft forever
</pre>

ja arp tabelid

<pre>
root@ns-pdns-01:~# nsenter -t 63597 -n arp -an
? (10.89.0.6) at 7e:9d:11:fa:3b:24 [ether] on eth0
? (10.89.0.1) at 9a:1f:56:3d:e4:d6 [ether] on eth0

root@ns-pdns-01:~# nsenter -t 63627 -n arp -an
? (10.89.0.1) at 9a:1f:56:3d:e4:d6 [ether] on eth0
? (10.89.0.5) at ce:90:e6:c1:2e:42 [ether] on eth0
</pre>

ja nt pod'i sisse minnes võrk töötab teise pod'iga

<pre>
kasutaja@ns-pdns-01:~$ podman exec -ti nginx-01 ping -c 2 pdns-01
PING pdns-01 (10.89.0.5): 56 data bytes
64 bytes from 10.89.0.5: seq=0 ttl=42 time=0.020 ms
64 bytes from 10.89.0.5: seq=1 ttl=42 time=0.064 ms

--- pdns-01 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 0.020/0.042/0.064 ms
</pre>

kusjuures huvitav, et interneti ei saa pingida (see on passt võrgunduse eripära)

<pre>
kasutaja@ns-pdns-01:~$ podman exec -ti nginx-01 ping -c 2 8.8.8.8
PING 8.8.8.8 (8.8.8.8): 56 data bytes
^C
--- 8.8.8.8 ping statistics ---
2 packets transmitted, 0 packets received, 100% packet loss
</pre>

===Kasulikud lisamaterjalid===

* https://passt.top/
* youtube 'Getting started with Podman' by SRKMasterStack
* 'Podman for DevOps - Second Edition' - Alessandro Arrichiello, Gianni Salinetti
* https://www.hackerstack.org/understanding-linux-namespaces/

Podman kasutamine

2026-08-03T20:33:39Z

Imre: /* Quadlet kasutamine */

===Sissejuhatus===

TODO

===Tööpõhimõte===

* slirp4netns
* slip
* netavark
* uidmap

===Ettevalmistamine===

Antud juhuks kasutatakse Debian v. 13 operatsioonisüsteemi, siin on olemas

* kernel v. 6.12
* podman v. 5 (mitte v. 4 nagu näiteks Ubuntu 24.04)

podman tarkvara paigaldamiseks

<pre>
root@ph-minio-01:~# apt-get install podman -d
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
The following additional packages will be installed:
aardvark-dns buildah catatonit conmon containernetworking-plugins containers-storage cpp cpp-14 cpp-14-x86-64-linux-gnu
cpp-x86-64-linux-gnu criu crun dirmngr fuse-overlayfs fuse3 gnupg gnupg-l10n gnupg-utils golang-github-containers-common
golang-github-containers-image gpg gpg-agent gpg-wks-client gpgconf gpgsm gpgv iptables libassuan9 libcompel1 libcriu2 libgcrypt20
libgpg-error-l10n libgpg-error0 libgpgme11t64 libip4tc2 libip6tc2 libisl23 libksba8 libldap-common libldap2 libmpc3 libmpfr6 libnet1
libnetfilter-conntrack3 libnfnetlink0 libnl-3-200 libnpth0t64 libprotobuf32t64 libsasl2-2 libsasl2-modules libsasl2-modules-db libslirp0
libsubid5 libyajl2 netavark passt pinentry-curses python3-protobuf python3-pycriu slirp4netns uidmap
Suggested packages:
cpp-doc gcc-14-locales cpp-14-doc libwasmedge0 pinentry-gnome3 tor gpg-wks-server parcimonie xloadimage scdaemon tpm2daemon firewalld
rng-tools libsasl2-modules-gssapi-mit | libsasl2-modules-gssapi-heimdal libsasl2-modules-ldap libsasl2-modules-otp libsasl2-modules-sql
pinentry-doc docker-compose

...
</pre>

kus

* paigaldatakse lisaks passt ja slirp4nets, uidmap conman, netavark, criu, crun

<pre>
# systemctl --user enable --now podman.socket
</pre>

chatgpt soovitus, 'you might need to increase your "unprivileged ports" or "max user namespaces" in /etc/sysctl.conf'

Võrgukontroll

<pre>
ps aux | grep -E 'pasta|slirp4netns'
</pre>

===Quadlet kasutamine===

<pre>
kasutaja@ph-minio-01:~$ systemctl --user mask podman-user-wait-network-online.service

kasutaja@ph-minio-01:~$ cat .config/containers/systemd/nginx-08.container
[Unit]
Description=My Nginx Quadlet Service
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/library/nginx:alpine
PublishPort=8098:80
ContainerName=nginx-08

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target

kasutaja@ph-minio-01:~$ systemctl --user daemon-reload
kasutaja@ph-minio-01:~$ systemctl --user start nginx-08.service
</pre>

kus

* kuna unit genereeritakse, siis '... enable --now ...' vms ei ole asjakohane (saab veateate)

Tulemusena

<pre>
kasutaja@ph-minio-01:~$ systemctl --user status nginx-07
● nginx-07.service - My Nginx Quadlet Service - 07
Loaded: loaded (/home/kasutaja/.config/containers/systemd/nginx-07.container; generated)
Active: active (running) since Sun 2026-04-19 20:26:21 EEST; 5min ago
Invocation: 2954482c56c64789a40f697e6d660f2f
Main PID: 4344 (conmon)
Tasks: 5 (limit: 6982)
Memory: 30.9M (peak: 46.6M)
CPU: 94ms
CGroup: /user.slice/user-1000.slice/user@1000.service/app.slice/nginx-07.service
├─libpod-payload-448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70
│ ├─4346 "nginx: master process nginx -g daemon off;"
│ ├─4372 "nginx: worker process"
│ └─4373 "nginx: worker process"
└─runtime
├─4341 /usr/bin/pasta --config-net -t 8097-8097:80-80 --dns-forward 169.254.1.1 -u none -T none -U none --no-map-gw --quiet --netns /run/user/1000/netns/netns-5f134e7f-f63d-6728-4123-10ffea79d4e9 --map-guest-addr 169.254.1.2
└─4344 /usr/bin/conmon --api-version 1 -c 448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70 -u 448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70 -r /usr/bin/crun -b /home/kasutaja/.local/share/containers/storage/overlay-containers/448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70/userdata -p /run/user/1000/containers/overlay-containers/448f5affd046e479f>

Apr 19 20:26:21 ph-minio-01 nginx-07[4324]: 448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70
Apr 19 20:26:21 ph-minio-01 podman[4324]: 2026-04-19 20:26:21.222328815 +0300 EEST m=+0.015770124 image pull 5bd7bd52e5bcab15a093466b90e37472b0d0c0081052522afb8924cbdaf15f56 docker.io/library/nginx:alpine
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: using the "epoll" event method
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: nginx/1.29.8
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: built by gcc 15.2.0 (Alpine 15.2.0)
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: OS: Linux 6.12.74+deb13+1-amd64
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: getrlimit(RLIMIT_NOFILE): 524288:524288
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: start worker processes
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: start worker process 25
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: start worker process 26
</pre>

Olukorra küsimine

<pre>
kasutaja@ph-minio-01:~$ loginctl user-status
kasutaja (1000)
Since: Sun 2026-04-19 18:59:50 EEST; 1h 15min ago
State: active
Sessions: *69 68
Linger: no
Unit: user-1000.slice
├─session-69.scope
│ ├─3556 "sshd-session: kasutaja [priv]"
│ ├─3563 "sshd-session: kasutaja@pts/1"
│ ├─3564 -bash
│ ├─3883 loginctl user-status
│ └─3884 pager
└─user@1000.service
├─app.slice
│ ├─nginx-08.service
│ │ ├─libpod-payload-bc852e3e18307519d4aa9da53a695a32a41de08994596114cbe36b400b47e045
│ │ │ ├─3485 "nginx: master process nginx -g daemon off;"
│ │ │ ├─3537 "nginx: worker process"
│ │ │ └─3538 "nginx: worker process"
│ │ └─runtime
│ │ ├─3464 /usr/bin/pasta --config-net -t 8098-8098:80-80 --dns-forward 169.254.1.1 -u none -T none -U none --no-map-gw --quiet --netns /run/user/1000/netns/netns-91377314-f55f-138d-42af-3d324176cd02 --map-guest-addr >
│ │ └─3480 /usr/bin/conmon --api-version 1 -c bc852e3e18307519d4aa9da53a695a32a41de08994596114cbe36b400b47e045 -u bc852e3e18307519d4aa9da53a695a32a41de08994596114cbe36b400b47e045 -r /usr/bin/crun -b /home/kasutaja/.lo>
│ └─nginx-09.service
│ ├─libpod-payload-a390c5429a53870b2175d1869d0e5aab0c990e9f8cb511b3cac04582b346c35a
│ │ ├─3484 "nginx: master process nginx -g daemon off;"
│ │ ├─3511 "nginx: worker process"
│ │ └─3512 "nginx: worker process"
│ └─runtime
│ ├─3476 /usr/bin/pasta --config-net -t 8099-8099:80-80 --dns-forward 169.254.1.1 -u none -T none -U none --no-map-gw --quiet --netns /run/user/1000/netns/netns-ec2cfa9a-6c8b-0edf-24a2-be75c53feb34 --map-guest-addr >
│ └─3481 /usr/bin/conmon --api-version 1 -c a390c5429a53870b2175d1869d0e5aab0c990e9f8cb511b3cac04582b346c35a -u a390c5429a53870b2175d1869d0e5aab0c990e9f8cb511b3cac04582b346c35a -r /usr/bin/crun -b /home/kasutaja/.lo>
├─init.scope
│ ├─3376 /usr/lib/systemd/systemd --user
│ └─3378 "(sd-pam)"
├─session.slice
│ └─dbus.service
│ └─3536 /usr/bin/dbus-daemon --session --address=systemd: --nofork --nopidfile --systemd-activation --syslog-only
└─user.slice
└─podman-pause-407bd36c.scope
└─3427 catatonit -P
</pre>

Selleks, et konteiner automaatselt käivituks süsteemi käivitumise ajal

<pre>
# loginctl enable-linger kasutaja
</pre>

===Konteineri uuendamine===

<pre>
kasutaja@ns-pdns-01:~$ podman pull docker.io/library/nginx:alpine
kasutaja@ns-pdns-01:~$ systemctl --user restart nginx-01.service
</pre>

Automaatselt uuendab quatlet juures Pull= direktiivi kasutamine

<pre>
..
[Container]
Image=docker.io/library/nginx:alpine
Pull=newer
...
</pre>

===Misc===

TODO

===podhost podide vaheline võrk===

Vaikimisi töötavad podhost peal pod'id nii, et iga pod sisse nö peegeldatakse host'i enda võrguliides, st pod arvab, et ta on host. Ja kui nüüd pod pöördub mõne teise pod poole, siis ta ei saa kuna tema võrguliiklus takerdub. Sellest olukorrast saab üle järgnevalt kirjeldatud asjakorraldusega

* pod sisse moodustatakse eraldi 10.x.x.x aadressiga võrguliidesed
* kõigi asjasse puutuvate pod'ide võrguliidesed asuvad ühe nö switchi küljes
* podhost peal toimetab nn rootlessport nimeline protsess
* kuidagi protsessi sisemiselt teisendatakse internetist saabunud paketid nendeks privaatsete aadressidega pakettideks

Ühe pod systemd unit seadistus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/pdns-01.container
[Unit]
Description=My PDNS Quadlet Service
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/powerdns/pdns-auth-49:latest
PublishPort=8081:8081/tcp
PublishPort=1053:8053/tcp
PublishPort=1053:8053/udp
ContainerName=pdns-01
Volume=%h/volume/pdns/etc/powerdns/pdns.conf:/etc/powerdns/pdns.conf:ro
# Environment=PDNS_local_port=8053
Network=dns-net.network

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target
</pre>

teise systemd unit seadistus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/nginx-01.container
[Unit]
Description=My Nginx Quadlet Service - 01
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/library/nginx:alpine
PublishPort=8091:80
ContainerName=nginx-01
Volume=%h/volume/nginx/etc/nginx/nginx.conf:/etc/nginx/nginx.conf:ro
Network=dns-net.network

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target
</pre>

võrgu unit seadistus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/dns-net.network
[Network]
NetworkName=dns-net
Options=dns
</pre>

Tulemusena tekivad podhost peale sellised protsessid

<pre>
root@ns-pdns-01:~# netstat -lnpt | grep rootle
tcp6 0 0 :::8081 :::* LISTEN 63597/rootlessport
tcp6 0 0 :::8091 :::* LISTEN 63627/rootlessport
tcp6 0 0 :::1053 :::* LISTEN 63597/rootlessport
</pre>

kusjuures nad on erinevad namespace'id

<pre>
root@ns-pdns-01:~# lsns -T | grep rootlessport
│ ├─4026532532 net 4 63597 kasutaja rootlessport
│ ├─4026532647 net 5 63627 kasutaja rootlessport
</pre>

ning nende sees on sellised võrguliidesed

<pre>
root@ns-pdns-01:~# nsenter -t 63597 -n ip addr show dev eth0
2: eth0@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 65520 qdisc noqueue state UP group default qlen 1000
link/ether ce:90:e6:c1:2e:42 brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.89.0.5/24 brd 10.89.0.255 scope global eth0
valid_lft forever preferred_lft forever
inet6 fe80::cc90:e6ff:fec1:2e42/64 scope link proto kernel_ll
valid_lft forever preferred_lft forever

root@ns-pdns-01:~# nsenter -t 63627 -n ip addr show dev eth0
2: eth0@if5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 65520 qdisc noqueue state UP group default qlen 1000
link/ether 7e:9d:11:fa:3b:24 brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.89.0.6/24 brd 10.89.0.255 scope global eth0
valid_lft forever preferred_lft forever
inet6 fe80::7c9d:11ff:fefa:3b24/64 scope link proto kernel_ll
valid_lft forever preferred_lft forever
</pre>

ja arp tabelid

<pre>
root@ns-pdns-01:~# nsenter -t 63597 -n arp -an
? (10.89.0.6) at 7e:9d:11:fa:3b:24 [ether] on eth0
? (10.89.0.1) at 9a:1f:56:3d:e4:d6 [ether] on eth0

root@ns-pdns-01:~# nsenter -t 63627 -n arp -an
? (10.89.0.1) at 9a:1f:56:3d:e4:d6 [ether] on eth0
? (10.89.0.5) at ce:90:e6:c1:2e:42 [ether] on eth0
</pre>

ja nt pod'i sisse minnes võrk töötab teise pod'iga

<pre>
kasutaja@ns-pdns-01:~$ podman exec -ti nginx-01 ping -c 2 pdns-01
PING pdns-01 (10.89.0.5): 56 data bytes
64 bytes from 10.89.0.5: seq=0 ttl=42 time=0.020 ms
64 bytes from 10.89.0.5: seq=1 ttl=42 time=0.064 ms

--- pdns-01 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 0.020/0.042/0.064 ms
</pre>

kusjuures huvitav, et interneti ei saa pingida (see on passt võrgunduse eripära)

<pre>
kasutaja@ns-pdns-01:~$ podman exec -ti nginx-01 ping -c 2 8.8.8.8
PING 8.8.8.8 (8.8.8.8): 56 data bytes
^C
--- 8.8.8.8 ping statistics ---
2 packets transmitted, 0 packets received, 100% packet loss
</pre>

===Kasulikud lisamaterjalid===

* https://passt.top/
* youtube 'Getting started with Podman' by SRKMasterStack
* 'Podman for DevOps - Second Edition' - Alessandro Arrichiello, Gianni Salinetti
* https://www.hackerstack.org/understanding-linux-namespaces/

Podman kasutamine

2026-08-03T20:31:06Z

Imre: /* Misc */

===Sissejuhatus===

TODO

===Tööpõhimõte===

* slirp4netns
* slip
* netavark
* uidmap

===Ettevalmistamine===

Antud juhuks kasutatakse Debian v. 13 operatsioonisüsteemi, siin on olemas

* kernel v. 6.12
* podman v. 5 (mitte v. 4 nagu näiteks Ubuntu 24.04)

podman tarkvara paigaldamiseks

<pre>
root@ph-minio-01:~# apt-get install podman -d
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
The following additional packages will be installed:
aardvark-dns buildah catatonit conmon containernetworking-plugins containers-storage cpp cpp-14 cpp-14-x86-64-linux-gnu
cpp-x86-64-linux-gnu criu crun dirmngr fuse-overlayfs fuse3 gnupg gnupg-l10n gnupg-utils golang-github-containers-common
golang-github-containers-image gpg gpg-agent gpg-wks-client gpgconf gpgsm gpgv iptables libassuan9 libcompel1 libcriu2 libgcrypt20
libgpg-error-l10n libgpg-error0 libgpgme11t64 libip4tc2 libip6tc2 libisl23 libksba8 libldap-common libldap2 libmpc3 libmpfr6 libnet1
libnetfilter-conntrack3 libnfnetlink0 libnl-3-200 libnpth0t64 libprotobuf32t64 libsasl2-2 libsasl2-modules libsasl2-modules-db libslirp0
libsubid5 libyajl2 netavark passt pinentry-curses python3-protobuf python3-pycriu slirp4netns uidmap
Suggested packages:
cpp-doc gcc-14-locales cpp-14-doc libwasmedge0 pinentry-gnome3 tor gpg-wks-server parcimonie xloadimage scdaemon tpm2daemon firewalld
rng-tools libsasl2-modules-gssapi-mit | libsasl2-modules-gssapi-heimdal libsasl2-modules-ldap libsasl2-modules-otp libsasl2-modules-sql
pinentry-doc docker-compose

...
</pre>

kus

* paigaldatakse lisaks passt ja slirp4nets, uidmap conman, netavark, criu, crun

<pre>
# systemctl --user enable --now podman.socket
</pre>

chatgpt soovitus, 'you might need to increase your "unprivileged ports" or "max user namespaces" in /etc/sysctl.conf'

Võrgukontroll

<pre>
ps aux | grep -E 'pasta|slirp4netns'
</pre>

===Quadlet kasutamine===

<pre>
kasutaja@ph-minio-01:~$ systemctl --user mask podman-user-wait-network-online.service

kasutaja@ph-minio-01:~$ cat .config/containers/systemd/nginx-08.container
[Unit]
Description=My Nginx Quadlet Service
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/library/nginx:alpine
PublishPort=8098:80
ContainerName=nginx-08

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target

kasutaja@ph-minio-01:~$ systemctl --user daemon-reload
kasutaja@ph-minio-01:~$ systemctl --user start nginx-08.service
</pre>

kus

* kuna unit genereeritakse, siis '... enable --now ...' vms ei ole asjakohane (saab veateate)

Tulemusena

<pre>
kasutaja@ph-minio-01:~$ systemctl --user status nginx-07
● nginx-07.service - My Nginx Quadlet Service - 07
Loaded: loaded (/home/kasutaja/.config/containers/systemd/nginx-07.container; generated)
Active: active (running) since Sun 2026-04-19 20:26:21 EEST; 5min ago
Invocation: 2954482c56c64789a40f697e6d660f2f
Main PID: 4344 (conmon)
Tasks: 5 (limit: 6982)
Memory: 30.9M (peak: 46.6M)
CPU: 94ms
CGroup: /user.slice/user-1000.slice/user@1000.service/app.slice/nginx-07.service
├─libpod-payload-448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70
│ ├─4346 "nginx: master process nginx -g daemon off;"
│ ├─4372 "nginx: worker process"
│ └─4373 "nginx: worker process"
└─runtime
├─4341 /usr/bin/pasta --config-net -t 8097-8097:80-80 --dns-forward 169.254.1.1 -u none -T none -U none --no-map-gw --quiet --netns /run/user/1000/netns/netns-5f134e7f-f63d-6728-4123-10ffea79d4e9 --map-guest-addr 169.254.1.2
└─4344 /usr/bin/conmon --api-version 1 -c 448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70 -u 448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70 -r /usr/bin/crun -b /home/kasutaja/.local/share/containers/storage/overlay-containers/448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70/userdata -p /run/user/1000/containers/overlay-containers/448f5affd046e479f>

Apr 19 20:26:21 ph-minio-01 nginx-07[4324]: 448f5affd046e479f93a85fa1870aa1c9b1a9cc3d83b1f782999d464c7f41c70
Apr 19 20:26:21 ph-minio-01 podman[4324]: 2026-04-19 20:26:21.222328815 +0300 EEST m=+0.015770124 image pull 5bd7bd52e5bcab15a093466b90e37472b0d0c0081052522afb8924cbdaf15f56 docker.io/library/nginx:alpine
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: using the "epoll" event method
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: nginx/1.29.8
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: built by gcc 15.2.0 (Alpine 15.2.0)
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: OS: Linux 6.12.74+deb13+1-amd64
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: getrlimit(RLIMIT_NOFILE): 524288:524288
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: start worker processes
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: start worker process 25
Apr 19 20:26:21 ph-minio-01 nginx-07[4344]: 2026/04/19 17:26:21 [notice] 1#1: start worker process 26
</pre>

Olukorra küsimine

<pre>
kasutaja@ph-minio-01:~$ loginctl user-status
kasutaja (1000)
Since: Sun 2026-04-19 18:59:50 EEST; 1h 15min ago
State: active
Sessions: *69 68
Linger: no
Unit: user-1000.slice
├─session-69.scope
│ ├─3556 "sshd-session: kasutaja [priv]"
│ ├─3563 "sshd-session: kasutaja@pts/1"
│ ├─3564 -bash
│ ├─3883 loginctl user-status
│ └─3884 pager
└─user@1000.service
├─app.slice
│ ├─nginx-08.service
│ │ ├─libpod-payload-bc852e3e18307519d4aa9da53a695a32a41de08994596114cbe36b400b47e045
│ │ │ ├─3485 "nginx: master process nginx -g daemon off;"
│ │ │ ├─3537 "nginx: worker process"
│ │ │ └─3538 "nginx: worker process"
│ │ └─runtime
│ │ ├─3464 /usr/bin/pasta --config-net -t 8098-8098:80-80 --dns-forward 169.254.1.1 -u none -T none -U none --no-map-gw --quiet --netns /run/user/1000/netns/netns-91377314-f55f-138d-42af-3d324176cd02 --map-guest-addr >
│ │ └─3480 /usr/bin/conmon --api-version 1 -c bc852e3e18307519d4aa9da53a695a32a41de08994596114cbe36b400b47e045 -u bc852e3e18307519d4aa9da53a695a32a41de08994596114cbe36b400b47e045 -r /usr/bin/crun -b /home/kasutaja/.lo>
│ └─nginx-09.service
│ ├─libpod-payload-a390c5429a53870b2175d1869d0e5aab0c990e9f8cb511b3cac04582b346c35a
│ │ ├─3484 "nginx: master process nginx -g daemon off;"
│ │ ├─3511 "nginx: worker process"
│ │ └─3512 "nginx: worker process"
│ └─runtime
│ ├─3476 /usr/bin/pasta --config-net -t 8099-8099:80-80 --dns-forward 169.254.1.1 -u none -T none -U none --no-map-gw --quiet --netns /run/user/1000/netns/netns-ec2cfa9a-6c8b-0edf-24a2-be75c53feb34 --map-guest-addr >
│ └─3481 /usr/bin/conmon --api-version 1 -c a390c5429a53870b2175d1869d0e5aab0c990e9f8cb511b3cac04582b346c35a -u a390c5429a53870b2175d1869d0e5aab0c990e9f8cb511b3cac04582b346c35a -r /usr/bin/crun -b /home/kasutaja/.lo>
├─init.scope
│ ├─3376 /usr/lib/systemd/systemd --user
│ └─3378 "(sd-pam)"
├─session.slice
│ └─dbus.service
│ └─3536 /usr/bin/dbus-daemon --session --address=systemd: --nofork --nopidfile --systemd-activation --syslog-only
└─user.slice
└─podman-pause-407bd36c.scope
└─3427 catatonit -P
</pre>

===Konteineri uuendamine===

<pre>
kasutaja@ns-pdns-01:~$ podman pull docker.io/library/nginx:alpine
kasutaja@ns-pdns-01:~$ systemctl --user restart nginx-01.service
</pre>

Automaatselt uuendab quatlet juures Pull= direktiivi kasutamine

<pre>
..
[Container]
Image=docker.io/library/nginx:alpine
Pull=newer
...
</pre>

===Misc===

TODO

===podhost podide vaheline võrk===

Vaikimisi töötavad podhost peal pod'id nii, et iga pod sisse nö peegeldatakse host'i enda võrguliides, st pod arvab, et ta on host. Ja kui nüüd pod pöördub mõne teise pod poole, siis ta ei saa kuna tema võrguliiklus takerdub. Sellest olukorrast saab üle järgnevalt kirjeldatud asjakorraldusega

* pod sisse moodustatakse eraldi 10.x.x.x aadressiga võrguliidesed
* kõigi asjasse puutuvate pod'ide võrguliidesed asuvad ühe nö switchi küljes
* podhost peal toimetab nn rootlessport nimeline protsess
* kuidagi protsessi sisemiselt teisendatakse internetist saabunud paketid nendeks privaatsete aadressidega pakettideks

Ühe pod systemd unit seadistus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/pdns-01.container
[Unit]
Description=My PDNS Quadlet Service
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/powerdns/pdns-auth-49:latest
PublishPort=8081:8081/tcp
PublishPort=1053:8053/tcp
PublishPort=1053:8053/udp
ContainerName=pdns-01
Volume=%h/volume/pdns/etc/powerdns/pdns.conf:/etc/powerdns/pdns.conf:ro
# Environment=PDNS_local_port=8053
Network=dns-net.network

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target
</pre>

teise systemd unit seadistus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/nginx-01.container
[Unit]
Description=My Nginx Quadlet Service - 01
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/library/nginx:alpine
PublishPort=8091:80
ContainerName=nginx-01
Volume=%h/volume/nginx/etc/nginx/nginx.conf:/etc/nginx/nginx.conf:ro
Network=dns-net.network

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target
</pre>

võrgu unit seadistus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/dns-net.network
[Network]
NetworkName=dns-net
Options=dns
</pre>

Tulemusena tekivad podhost peale sellised protsessid

<pre>
root@ns-pdns-01:~# netstat -lnpt | grep rootle
tcp6 0 0 :::8081 :::* LISTEN 63597/rootlessport
tcp6 0 0 :::8091 :::* LISTEN 63627/rootlessport
tcp6 0 0 :::1053 :::* LISTEN 63597/rootlessport
</pre>

kusjuures nad on erinevad namespace'id

<pre>
root@ns-pdns-01:~# lsns -T | grep rootlessport
│ ├─4026532532 net 4 63597 kasutaja rootlessport
│ ├─4026532647 net 5 63627 kasutaja rootlessport
</pre>

ning nende sees on sellised võrguliidesed

<pre>
root@ns-pdns-01:~# nsenter -t 63597 -n ip addr show dev eth0
2: eth0@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 65520 qdisc noqueue state UP group default qlen 1000
link/ether ce:90:e6:c1:2e:42 brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.89.0.5/24 brd 10.89.0.255 scope global eth0
valid_lft forever preferred_lft forever
inet6 fe80::cc90:e6ff:fec1:2e42/64 scope link proto kernel_ll
valid_lft forever preferred_lft forever

root@ns-pdns-01:~# nsenter -t 63627 -n ip addr show dev eth0
2: eth0@if5: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 65520 qdisc noqueue state UP group default qlen 1000
link/ether 7e:9d:11:fa:3b:24 brd ff:ff:ff:ff:ff:ff link-netnsid 0
inet 10.89.0.6/24 brd 10.89.0.255 scope global eth0
valid_lft forever preferred_lft forever
inet6 fe80::7c9d:11ff:fefa:3b24/64 scope link proto kernel_ll
valid_lft forever preferred_lft forever
</pre>

ja arp tabelid

<pre>
root@ns-pdns-01:~# nsenter -t 63597 -n arp -an
? (10.89.0.6) at 7e:9d:11:fa:3b:24 [ether] on eth0
? (10.89.0.1) at 9a:1f:56:3d:e4:d6 [ether] on eth0

root@ns-pdns-01:~# nsenter -t 63627 -n arp -an
? (10.89.0.1) at 9a:1f:56:3d:e4:d6 [ether] on eth0
? (10.89.0.5) at ce:90:e6:c1:2e:42 [ether] on eth0
</pre>

ja nt pod'i sisse minnes võrk töötab teise pod'iga

<pre>
kasutaja@ns-pdns-01:~$ podman exec -ti nginx-01 ping -c 2 pdns-01
PING pdns-01 (10.89.0.5): 56 data bytes
64 bytes from 10.89.0.5: seq=0 ttl=42 time=0.020 ms
64 bytes from 10.89.0.5: seq=1 ttl=42 time=0.064 ms

--- pdns-01 ping statistics ---
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 0.020/0.042/0.064 ms
</pre>

kusjuures huvitav, et interneti ei saa pingida (see on passt võrgunduse eripära)

<pre>
kasutaja@ns-pdns-01:~$ podman exec -ti nginx-01 ping -c 2 8.8.8.8
PING 8.8.8.8 (8.8.8.8): 56 data bytes
^C
--- 8.8.8.8 ping statistics ---
2 packets transmitted, 0 packets received, 100% packet loss
</pre>

===Kasulikud lisamaterjalid===

* https://passt.top/
* youtube 'Getting started with Podman' by SRKMasterStack
* 'Podman for DevOps - Second Edition' - Alessandro Arrichiello, Gianni Salinetti
* https://www.hackerstack.org/understanding-linux-namespaces/

Rancher Desktop - MacOS

2026-08-03T18:18:02Z

Imre: /* Claude Code kasutamine konteineris - litellm */

===Sissejuhatus===

TODO

* https://rancherdesktop.io/
* https://docs.rancherdesktop.io/getting-started/installation/
* https://github.com/rancher-sandbox/rancher-desktop

===Tööpõhimõte===

Väited

* MacOS XNU kernel ise ei oma selliseid nö isolatsiooni võimeid, mida eeldab nn OCI (open container initiative) moodi workload käitamine
* MacOS XNU kerneli võimestamiseks kasutatakse automaatselt docker workload käitamisel nö vahel virtuaalset arvutit ja linux kernelit
* virtuaalset arvutit ja linux kernelit kasutatakse nö loogiliseks teisendamiseks, operatsioonisüsteem linux -> macos, mitte riistvara platvorm x86 -> arm64
* virtuaalse arvuti käivitamisel on võimalus valida qemu ja 'Apple Virtualization framework' vahel

Seda nähtust illustreerib

<pre>
imre@imre-mac ~ % docker run --rm ubuntu uname -a
Linux f727300fb889 6.18.36-0-virt #1-Alpine SMP PREEMPT_DYNAMIC 2026-06-20 16:50:52 aarch64 GNU/Linux

imre@imre-mac ~ % docker run --rm debian uname -a
Linux 779bb27224d4 6.18.36-0-virt #1-Alpine SMP PREEMPT_DYNAMIC 2026-06-20 16:50:52 aarch64 GNU/Linux

imre@imre-mac ~ % docker run --rm fedora uname -a
Linux dae1ddad3271 6.18.36-0-virt #1-Alpine SMP PREEMPT_DYNAMIC 2026-06-20 16:50:52 aarch64 GNU/Linux
</pre>

kus

* kõik erinevad linux distributsioonid raporteerivad sama Alpine nimelise kompileerimiskorra arm linux kerneli kasutamist

Joonis (claude.ai tehtud)

[[Fail:20260721-rancher-desktop-macos-01.png|900px]]

kus

* Rancher desktop kasutamisel käivitatakse taustal üks Apple Virtualization.framework virtuaalne arvuti
* virtuaalse arvuti sees töötab operatsioonisüsteem Alpine
* virtuaalse arvuti sees töötavad docker konteinerid
* võrgu töötamine on natuke sarnane pssta/pasta lahendusele, st macos host peal töötab limectl protsess ja selle kaudu toimub virtuaalselt arvutist välja pöördumine
* eemalt sisse pöördumine toimub sõna otses mõttes viisil, et ssh abil pöördutakse macos hostist virtuaalsesse arvutisse (limectl protsessi kaudu), tehakse port forward
* võimalik on forwardida tcp protokolli põhist liiklust konteineritele (seda ssh forward seadistamist hallatakse automaatselt kui teha nö tavaline 'docker expose'

===Paigaldamine ja käivitamine===

Tarkvara saab kopeerida nt github keskkonnast

[[Fail:20260720-rancher-desktop-macos-01.png|800px]]

kus

* sobiv on valida arm arhitektuur

Tavalisel viisil monteerida .dmg

[[Fail:20260720-rancher-desktop-macos-02.png|700px]]

kus

* paigaldamiseks nihutada hiirega rakendus tavalisel viisil -> Applications osakonda

[[Fail:20260717-rancher-desktop-01.png|400px]]

kus

* antud juhul keskendutakse docker workloadile, st Kubernetes valiku võiks välja lülitada

[[Fail:20260717-rancher-desktop-02.png|800px]]

Kokkuvõttes on töötava rancher desktop puhul näha ta

[[Fail:20260722-rancher-desktop-macos-02.png|400px]]

Failisüsteemis asub

<pre>
/Users/imreoolberg/Library/Application Support/rancher-desktop
/Users/imreoolberg/Library/Preferences/rancher-desktop
/Users/imreoolberg/Library/Logs/rancher-desktop
</pre>

Rancher desktop enda protsessideks on nt

<pre>
imreoolberg@Imres-MacBook-Air dc % ps aux | grep -i Rancher
..
imreoolberg 36680 0.0 0.6 1949692784 97648 ?? S 10:50PM 2:00.60 /Applications/Rancher Desktop.app/Contents/MacOS/Rancher Desktop
</pre>

ning konkreetsele virtuaalsele arvutile (millel töötab linux, mille sees on docker)

<pre>
imreoolberg@Imres-MacBook-Air dc % ps aux | grep -i virtualizat
imreoolberg 36900 1.6 1.6 439638656 266272 ?? Ss 10:50PM 32:55.69 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
...
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air dc % lsof -p 36900 -P -n | grep rancher-desktop
com.apple 36900 imreoolberg txt REG 1,13 131072 124449068 /Users/imreoolberg/Library/Application Support/rancher-desktop/lima/0/vz-efi
com.apple 36900 imreoolberg 3w REG 1,13 7423 124449069 /Users/imreoolberg/Library/Application Support/rancher-desktop/lima/0/serialv.log
com.apple 36900 imreoolberg 4u REG 1,13 107374182400 124448998 /Users/imreoolberg/Library/Application Support/rancher-desktop/lima/0/disk
com.apple 36900 imreoolberg 5r REG 1,13 301281280 124448997 /Users/imreoolberg/Library/Application Support/rancher-desktop/lima/0/iso
com.apple 36900 imreoolberg 6r REG 1,13 19736576 124607540 /Users/imreoolberg/Library/Application Support/rancher-desktop/lima/0/cidata.iso
...
</pre>

kus

* muu hulgas on paista virtuaalse arvutiga seotud plokkseadmetele vastavad failid macos failisüsteemis

===Kasutamine - docker===

Paigaldamise tulemusena on kasutada sellised utiliidid

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld .rd/bin/docker*
lrwxr-xr-x@ 1 imreoolberg staff 80 Jul 20 16:56 .rd/bin/docker -> /Applications/Rancher Desktop.app/Contents/Resources/resources/darwin/bin/docker
lrwxr-xr-x@ 1 imreoolberg staff 102 Jul 20 16:56 .rd/bin/docker-buildx -> /Applications/Rancher Desktop.app/Contents/Resources/resources/darwin/docker-cli-plugins/docker-buildx
lrwxr-xr-x@ 1 imreoolberg staff 103 Jul 20 16:56 .rd/bin/docker-compose -> /Applications/Rancher Desktop.app/Contents/Resources/resources/darwin/docker-cli-plugins/docker-compose
lrwxr-xr-x@ 1 imreoolberg staff 101 Jul 20 16:56 .rd/bin/docker-credential-ecr-login -> /Applications/Rancher Desktop.app/Contents/Resources/resources/darwin/bin/docker-credential-ecr-login
lrwxr-xr-x@ 1 imreoolberg staff 96 Jul 20 16:56 .rd/bin/docker-credential-none -> /Applications/Rancher Desktop.app/Contents/Resources/resources/darwin/bin/docker-credential-none
lrwxr-xr-x@ 1 imreoolberg staff 103 Jul 20 16:56 .rd/bin/docker-credential-osxkeychain -> /Applications/Rancher Desktop.app/Contents/Resources/resources/darwin/bin/docker-credential-osxkeychain
</pre>

kus

* utiliidid on nii kavalasti realiseeritud, et macos peal käivitades nad tegelikult opereerivad virtuaalse arvuti sees

docker jt utiliidid peavad olema path peal, vaikimisi nad sinna pannakse, kasutamiseks tuleb avada uus nt iterm2 aken

<pre>
imreoolberg@Imres-MacBook-Air ~ % cat .zshrc
### MANAGED BY RANCHER DESKTOP START (DO NOT EDIT)
export PATH="/Users/imreoolberg/.rd/bin:$PATH"
### MANAGED BY RANCHER DESKTOP END (DO NOT EDIT)
</pre>

macos peal hostis

<pre>
imreoolberg@Imres-MacBook-Air ~ % docker run -ti --rm --name ubuntu-imre-01 ubuntu bash
imreoolberg@Imres-MacBook-Air ~ % docker run -ti --rm --name ubuntu-imre-02 ubuntu bash
imreoolberg@Imres-MacBook-Air ~ % docker run -ti --rm --name ubuntu-imre-03 ubuntu bash

# lsof -nP -iTCP -sTCP:LISTEN
</pre>

ning linux vm docker pidamise arvutisse sisenemiseks sobib öelda

<pre>
imre@imre-mac ~ % rdctl shell
lima-rancher-desktop:/Users/imre$
</pre>

ning seal sees toimetamiseks nt

<pre>
lima-rancher-desktop:/Users/imre$ sudo -i

lima-rancher-desktop:~# docker version
Client:
Version: 29.5.2
API version: 1.54
Go version: go1.25.10
Git commit: 79eb04c7d8e1d73247cb7fe011eecc645063e0f0
Built: Sun May 31 13:53:18 2026
OS/Arch: linux/arm64
Context: default
...

lima-rancher-desktop:~# docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
1be37b403d0d ubuntu "bash" 26 minutes ago Up 26 minutes ubuntu-imre-03
1662f4905b26 ubuntu "bash" 26 minutes ago Up 26 minutes ubuntu-imre-02
b6dbbc4dae3a ubuntu "bash" 27 minutes ago Up 27 minutes ubuntu-imre-01

lima-rancher-desktop:~# cat /etc/os-release
NAME="Alpine Linux"
ID=alpine
VERSION_ID=3.23.5
PRETTY_NAME="Alpine Linux v3.23"
HOME_URL="https://alpinelinux.org/"
BUG_REPORT_URL="https://gitlab.alpinelinux.org/alpine/aports/-/issues"
BUILD_ID="v0.2.47.rd8"
VARIANT_ID="rd"

lima-rancher-desktop:~# brctl show
bridge name bridge id STP enabled interfaces
docker0 8000.d61e94e66512 no veth9d3c213
veth627ad00
vethbc5522e

lima-rancher-desktop:~# ip route
default via 192.168.5.2 dev eth0 metric 202
default via 192.168.65.1 dev vznat metric 203
172.17.0.0/16 dev docker0 proto kernel scope link src 172.17.0.1
192.168.5.0/24 dev eth0 proto kernel scope link src 192.168.5.15
192.168.65.0/24 dev vznat proto kernel scope link src 192.168.65.2
</pre>

===Claude Code kasutamine konteineris===

Väited

* Claude Code kasutamine nö käsurea rakendusena annab otsekohesema positsiooni nt claude abil arvutitega tegelemiseks üle võrgu
* Claude Code kasutamine konteinerist tekitab selgema piiri töökohaarvuti ja claude tegevuste vahel (nt on väga selgesti kontrollitud mis osadele saab töökohaarvuti failisüsteemile juurde
* antud juhul on tegu klient-rakendus tüüpi konteineriga (mitte server-rakendus tüüpi konteineriga nagu tavaliselt, st konteiner pakub mingi teenust mille poole pöördutakse)

====Ettevalmistused operatsioonisüsteemis====

Ettevalmistused MacOS keskkonnas, tühjad kataloogid

<pre>
imre@imre-mac ~ % mkdir -p /Users/imreoolberg/cc/dc
imre@imre-mac ~ % mkdir -p /Users/imreoolberg/cc/volume/workspace
imre@imre-mac ~ % mkdir -p /Users/imreoolberg/cc/volume/home/node
</pre>

====Tõmmise moodustamine====

Osutub, et ei ole nö usaldusväärset valmis claude-code docker tõmmist, st tuleb Dockerfile abiga ise tekitada

<pre>
imreoolberg@Imres-MacBook-Air dc % cat Dockerfile
FROM node:24-trixie

RUN apt-get update && \
DEBIAN_FRONTEND=noninteractive apt-get install -y --no-install-recommends \
less \
git \
procps \
sudo \
fzf \
zsh \
man-db \
unzip \
gnupg2 \
gh \
iptables \
ipset \
iproute2 \
dnsutils \
aggregate \
jq \
nano \
vim \
openssh-client \
ripgrep \
bash \
fd-find \
bat \
tmux \
tree \
htop \
iputils-ping \
traceroute \
net-tools \
lsof \
python3-pip \
python3-venv \
zip \
rsync \
&& apt-get clean && rm -rf /var/lib/apt/lists/*

RUN npm install -g @anthropic-ai/claude-code
WORKDIR /workspace
ENTRYPOINT ["claude"]
</pre>

kus

* alusena kasutatakse ausat node v 24 ja debian v 13 tõmmist (node v 24 on lts kestab kuni 2028)
* paigaldatakse lisa tarkvara, mida on niisama vajadusel hea kasutada või claude protsessil on vaja (nt openssh-client, et logida üle võrgu sisse teisse arvutisse)
* npm abil claude-code kasutamine tegelikult on pigem paketihalduse kui sisuline javascript runtime kasutamine; claude-code on juba kompileeritud-assembleeritud-lingitud jne
* kirjeldatakse entry point väärtuseks claude rakendus ise (node image enda puhul on selleks programm node)

tõmmise moodustamiseks

<pre>
imreoolberg@Imres-MacBook-Air dc % docker build -t claude-code .
</pre>

Tulemusena

<pre>
imreoolberg@Imres-MacBook-Air dc % docker image ls

IMAGE ID DISK USAGE CONTENT SIZE EXTRA
claude-code:latest 0b7fb18a11e4 1.27GB 344MB
...
</pre>

Selline tarkvara koosseis on turvaline kuna kasutusel olev dockerhost kernel on uuemast ajast kui userspace'ile vastav kernel

* linux kernel ja userspace sobivuse lubadus on, et uuem kernel on tagasiühilduv (Linus Torvalds fraas 'never break userspace' - nt mõtlemisega, et uuema kerneliga arvestavas userspace'is võivad olla kasutuses olematud syscallid kui kasutada vastu vanemat kernelit)
* debian v. 13 enda naturaalne kernel on v. 6.12
* dockerhost kernel on v. 6.18

<pre>
imreoolberg@Imres-MacBook-Air dc % rdctl shell uname -a
Linux lima-rancher-desktop 6.18.36-0-virt #1-Alpine SMP PREEMPT_DYNAMIC 2026-06-20 16:50:52 aarch64 Linux
</pre>

====Käivitamine====

Käsurealt käivitamiseks (ajutiseks katseks)

<pre>
imreoolberg@Imres-MacBook-Air 20260721 % docker run -it -v $(pwd):/workspace claude-code
</pre>

docker compose abil käivitamiseks

<pre>
imreoolberg@Imres-MacBook-Air dc % cat docker-compose.yml
name: p_claude-code
services:
svc_claude-code:
image: claude-code
container_name: cn_claude-code
init: true
volumes:
- /Users/imreoolberg/cc/volume/workspace:/workspace
- /Users/imreoolberg/cc/volume/root:/root

working_dir: /workspace
stdin_open: true
tty: true

networks:
- nw_claude-code

networks:
nw_claude-code:
name: nw_claude-code
driver: bridge
</pre>

kus

* init: true - oluline kuna konteineri tõmmis ise ei sisalda init-kvaliteediga protsessi (init kvaliteet on vajalik nö descendant protsesside eemaldamiseks vajadusel, nn zombie tõrjeks)
* protsessid võiksid töötada non-root kasutajana konteineri sees, st seda praegu ei ole
* stdin_open ja tty on iseloomulikud nn kliend-rakendus konteinerile

ning käivitamine

<pre>
imreoolberg@Imres-MacBook-Air dc % pwd
/Users/imreoolberg/cc/dc

imreoolberg@Imres-MacBook-Air dc % docker compose run --name cn_claude-code --rm svc_claude-code
</pre>

kus

* docker compose'i ei käivitata nö backgroundis (kunagi ei öelda nö tavalist 'docker compose up -d')
* käivitatakse viidates docker compose faili service elemendile

Tulemusena paistab selline pilt

[[Fail:20260722-rancher-desktop-macos-01.png|900px]]

kus

* ja esitab vastuse mõõdukalt vabas vormis, aga sisuliselt väga korrektse

Vaatlemine

<pre>
imreoolberg@Imres-MacBook-Air dc % docker compose ls
NAME STATUS CONFIG FILES
p_claude-code running(1) /Users/imreoolberg/cc/dc/docker-compose.yml

imreoolberg@Imres-MacBook-Air dc % docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
7731d1366371 claude-code "claude" 14 minutes ago Up 14 minutes cn_claude_code
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air dc % docker compose exec svc_claude-code bash
root@7731d1366371:/workspace# ps -ef
UID PID PPID C STIME TTY TIME CMD
root 1 0 0 09:40 pts/0 00:00:00 /sbin/docker-init -- claude
root 7 1 2 09:40 pts/0 00:00:15 claude
root 109 7 0 09:51 ? 00:00:00 /usr/bin/zsh -c source /root/.claude/shell-snapshots/snapshot-zsh-1784713826690-ovcwwb.sh 2>/dev/null || true && setopt NO_EXTENDED_GLOB NO_BARE_GLOB_QUAL 2>/dev/null || true && eval 'ssh -o Batch
root 111 109 0 09:51 ? 00:00:00 ssh -o BatchMode=yes -o ConnectTimeout=10 root@192.168.10.52 ping -c 20 8.8.8.8
root 114 0 0 09:52 pts/2 00:00:00 bash
root 121 114 0 09:52 pts/2 00:00:00 ps -ef
</pre>

kus

* parasjagu paluti arvutist .52 pingida 8.8.8.8
* on näha, et docker enda init on pid 1
* initist tuleb claude protsess
* claude protsessist tulevad shellid
* shellist ssh abil sisselogimine teisse arvutisse

Moniteeritud bind failisüsteemid

<pre>
node@99e63ae3a184:/workspace$ findmnt -t virtiofs
TARGET SOURCE FSTYPE OPTIONS
/workspace lima-f07754c14865dffc[/cc/volume/workspace] virtiofs rw,relatime
/home/node lima-f07754c14865dffc[/cc/volume/home/node] virtiofs rw,relatime
</pre>

====Kasutamine====

TODO

Kasutamisega on seotud sellised asjaolud, tõenäoliselt on asjakohased ssh võtmed, mille abil saab teistesse arvutitesse sisse logida üle ssh

<pre>
imreoolberg@Imres-MacBook-Air cc % ls -ld volume/root/.ssh/*
-rw------- 1 imreoolberg staff 2602 Jul 22 01:09 volume/root/.ssh/id_rsa
-rw-r--r-- 1 imreoolberg staff 571 Jul 22 01:09 volume/root/.ssh/id_rsa.pub
-rw------- 1 imreoolberg staff 1120 Jul 22 01:23 volume/root/.ssh/known_hosts
-rw-r--r-- 1 imreoolberg staff 142 Jul 22 01:10 volume/root/.ssh/known_hosts.old
</pre>

Claude seadistused, eriti ligipääs oma isanda juurde internetti (credentials)

<pre>
imreoolberg@Imres-MacBook-Air cc % ls -ld volume/root/.claude volume/root/.claude.json
drwxr-xr-x 15 imreoolberg staff 480 Jul 22 13:00 volume/root/.claude
-rw------- 1 imreoolberg staff 37603 Jul 22 13:00 volume/root/.claude.json
</pre>

Töö lõpetamine

<pre>
Claude rakenduses
> quit
</pre>

Tulemusena eemaldatakse konteiner, aga alles jäävad nn bind-volume'id.

====non-root konteiner====

<pre>
imreoolberg@Imres-MacBook-Air dc % cat docker-compose.yml
name: p_claude-code
services:
svc_claude-code:
image: claude-code
container_name: cn_claude-code
init: true
user: node
volumes:
- /Users/imreoolberg/cc/volume/workspace:/workspace
- /Users/imreoolberg/cc/volume/home/node:/home/node
- /run/host-services/ssh-auth.sock:/ssh-agent

environment:
- SSH_AUTH_SOCK=/ssh-agent

working_dir: /workspace
stdin_open: true
tty: true

networks:
- nw_claude-code

networks:
nw_claude-code:
name: nw_claude-code
driver: bridge
</pre>

Tundub, et node tõmmis on ise selline mis ei luba eleveerida

<pre>
imreoolberg@Imres-MacBook-Air dc % rdctl shell
lima-rancher-desktop:/Users/imreoolberg/cc/dc$ sudo -i
lima-rancher-desktop:~# egrep "node|root" /var/lib/docker/rootfs/overlayfs/98fa407430c5fe80b3c3012dd471e95521e4ea94abc9797bd29aa99dd3a61c2d/etc/shadow
root:*:20647:0:99999:7:::
node:!:20648:0:99999:7:::
</pre>

====Misc====

Konteinerist edasipääsu kontrollimiseks

<pre>
imreoolberg@Imres-MacBook-Air dc % rdctl shell sh -c 'sudo iptables -I DOCKER-USER -d 8.8.8.8 -j DROP'
</pre>

ssh-agent forward ning taaskäivitada Rancher Desktop

<pre>
imreoolberg@Imres-MacBook-Air dc % cat ~/Library/Application\ Support/rancher-desktop/lima/_config/override.yaml
ssh:
forwardAgent: true
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air dc % rdctl shell
lima-rancher-desktop:/Users/imreoolberg/cc/dc$ sudo -i
lima-rancher-desktop:~# apk add acl

lima-rancher-desktop:~# ls -ld /run/host-services/ssh-auth.sock
lrwxrwxrwx 1 imreoolberg root 63 Jul 23 16:57 /run/host-services/ssh-auth.sock -> /home/imreoolberg.guest/.ssh/agent/s.cQhHjK447O.sshd.9yxIs9MasI

lima-rancher-desktop:~# setfacl -m u:1000:rw /home/imreoolberg.guest/.ssh/agent/s.cQhHjK447O.sshd.9yxIs9MasI
</pre>

Kui on tekkinud hulka konteinereid ja korraga kustutada

<pre>
imre@imre-mac ~ % for i in `docker ps -a | awk {'print $1'} | grep -v CONT`; do echo "docker rm $i"; done
</pre>

ja korraga kustutada imaged

<pre>
imre@imre-mac ~ % for i in `docker images | awk {'print $2'} | grep -v ID | grep -v Info` ; do echo "docker rmi $i"; done
</pre>

node tarkvara konteineris

<pre>
imreoolberg@Imres-MacBook-Air dc % docker exec -ti cn_claude-code npm list -g
/usr/local/lib
+-- @anthropic-ai/claude-code@2.1.218
+-- corepack@0.35.0
`-- npm@11.16.0
</pre>

Selleks, et nö 'rdctl shell' virtuaalse arvuti käest ruum kätte saada macos host operatsioonisüsteemi failisüsteemis tuleb peale nt docker image kustutamist öelda

<pre>
lima-rancher-desktop:~# fstrim -av
/mnt/data: 9.3 GiB (9953943552 bytes) trimmed on /dev/vda1
</pre>

====Tarkvara uuendamine====

Uuendamiseks tuleks kusutada senine claude-code tõmmis ja moodustada uuesti.

====Kasulikud lisamaterjalid====

* vestlus Claude Chat osakonnas
* https://github.com/anthropics/claude-code/blob/main/.devcontainer/Dockerfile

===Claude Code kasutamine konteineris - litellm===

<pre>
name: p_claude-code-lllm
services:
svc_claude-code-lllm:
image: claude-code
container_name: cn_claude-code-lllm
init: true
user: node
volumes:
- /Users/imreoolberg/cc-lllm/volume/workspace:/workspace
- /Users/imreoolberg/cc-lllm/volume/home/node:/home/node
- /run/host-services/ssh-auth.sock:/ssh-agent

environment:
- SSH_AUTH_SOCK=/ssh-agent
- ANTHROPIC_BASE_URL=https://skm-litellm-01.auul.pri.ee
- ANTHROPIC_API_KEY=${LITELLM_API_KEY}
- ANTHROPIC_MODEL=claude-sonnet-4-6
- DISABLE_UPDATES=1

working_dir: /workspace
stdin_open: true
tty: true

networks:
- nw_claude-code-lllm

networks:
nw_claude-code-lllm:
name: nw_claude-code-lllm
driver: bridge
</pre>

===Kasulikud lisamaterjalid===

* TODO

Claude Desktop - MacOS

2026-08-03T16:39:55Z

Imre:

===Sissejuhatus===

Väited

* Claude tähistab üldiselt tootja Anthropic ühte toodete komplekti - keelemudel, teenus, klienttarkavara, protokoll jne
* käesolev tekst keskendub Claude abil agentse lahenduse kasutamisele - st eesmärgiks on, et inimene istub koos agendiga samas aruvutis ja nad koos teevad midagi aktiivselt (nt paigaldavad arvutisse tarkvara, analüüsivad arvutis toimuvaid protsesse jne (jutt ei ole inimese töökohaarvutist, aga mingist muust arvutist, nt serverist)
* Claude agentset kasutamist tähistatakse 'Claude Code'
* Claude Code kasutamiseks on tingimata tarvis paigaldada kas töökohaarvutisse või serverisse Claude agendi tarkvara
* Claude Code kasutamiseks on tingimata tarvis kasutada sobivat kommerts teenust (nt Pro taseme subscription abil)
* kuigi käesolev tekst soovib keskenduda agentsele kasutamisele on Claude Desktop rakendus praktiliselt nii Chat, Code ja Cowork funktsioonidega
* Claude rakenduse Chat funktsioon on analoogne veebikoha https://claude.ai/ kasutamisele
* Claude Desktop app ei sisalda otseselt käsurea kasutamise st terminalis töötamise võimalust (nii, et visuaalselt on prompt kasutada)

Misc

* https://claude.com/ - korporatiivne veebikoht (info kasutajaks saamise kohta, tarkvara allalaadimine, kasutusjuhised jne)
* https://claude.ai/ - online chat teenus

===Tööpõhimõte===

====Claude Chat režiim====

Claude Desktop App kasutamine Chat režiimis paistab välja selline

[[Fail:20260717-cc-app-macos-03.png|800px]]

kus

* TODO

====Claude Code režiim====

Claude Desktop App kasutamine Code režiimis paistab välja selline

[[Fail:20260717-cc-app-macos-04.png|800px]]

kus

* käsundamine toimub selles operatsioonisüsteemis, kus claude desktop protsess töötab st macos operatsioonisüsteemis enda (mitte mõnes virtuaalses arvutis)

Tegevustega seotud tulemused asuvad kaustas (mis esmakordsel käivitamisel saab rakendusele ütlelda, st et toimetagu '/Users/imreoolberg/cc-01' kaustas ja sealt edasi

<pre>
imreoolberg@Imres-MacBook-Air cc-01 % pwd
/Users/imreoolberg/cc-01

imreoolberg@Imres-MacBook-Air cc-01 % find . -ls
123993344 0 drwxr-xr-x 3 imreoolberg staff 96 Jul 17 14:04 .
123993560 0 drwxr-xr-x 4 imreoolberg staff 128 Jul 17 14:13 ./imre-test-01
123995650 8 -rw-r--r-- 1 imreoolberg staff 822 Jul 17 14:13 ./imre-test-01/random.auul.pri.ee.cert.pem
123995649 8 -rw-r--r-- 1 imreoolberg staff 227 Jul 17 14:13 ./imre-test-01/random.auul.pri.ee.key.pem
</pre>

====Claude Cowork režiim====

Väited

* cowork režiim on turvalisem kui claude-code režiim, sest tegevused toimuvad eraldi abistavas virtuaalses arvutis
* cowork virtuaalne arvuti ei saa tavalises mõttes võrku (tcp/ip mõttes) - suhtlemine ümbrusega toimub connectorite abil
* abistavad vahendid on plugins, connectors ja skills (plugin kombineerib hulga skille ja konnektoreid)

Cowork režiimis esmalt moodustatakse projekt ning seostada folderiga

[[Fail:20260721-cc-app-macos-03.png|450px]]

seejärel palve midagi teha, nt 'please create self-signed x509 certificate for dns name p-cowork-03.auul.pri.ee, rsa crypto, 2048 bit and 1 year expiration, save certificate and key in this project associated shared folder'

[[Fail:20260721-cc-app-macos-04.png|1100px]]

seejärel palve tulemust esitada nimekirja kujul, kui tulemus paluda salvestada faili, siis saab seda esitada eraldi paremal olevas kolmandas paneelis

[[Fail:20260721-cc-app-macos-05.png|1100px]]

ja lõpuks palve midagi väljendada enda keskkonna kohta - siis saab kinnituse, et tegu on macos peal töötava ajutise abistama Ubuntu v. 22.04 virtuaalse arvutiga

[[Fail:20260721-cc-app-macos-06.png|1100px]]

Lõpuks on kogunenud projekti kataloogi sellised failid, macos poolelt vaadates

<pre>
imreoolberg@Imres-MacBook-Air ~ % find p-cowork-03-fld-01 -type f -ls
124551478 8 -rw------- 1 imreoolberg staff 1704 Jul 21 15:22 p-cowork-03-fld-01/p-cowork-03.auul.pri.ee.key
124551676 8 -rw-r--r-- 1 imreoolberg staff 386 Jul 21 15:24 p-cowork-03-fld-01/cat-os-release.txt
124551477 8 -rw------- 1 imreoolberg staff 1200 Jul 21 15:22 p-cowork-03-fld-01/p-cowork-03.auul.pri.ee.crt
124551577 8 -rw-r--r-- 1 imreoolberg staff 484 Jul 21 15:23 p-cowork-03-fld-01/find-ls.txt
</pre>

Komponent joonis (claude.ai tehtud)

[[Fail:20260721-cc-app-macos-02.png|900px]]

kus

* Claude Desktop ja Claude Code kasutamisel osa tegevusi toimub taustal töötavas virtuaalses arvutis - MacOS puhul VZ virtuaalses arvutis

Kasulikud lisamaterjalid

* https://aaddrick.com/blog/claude-desktop-cowork-mode-vm-architecture-analysis

===Claude teenusele ligipääs===

Claude teenusele ligipääsu ostmine toimub https://claude.com/ veebikohas

[[Fail:20260722-cc-app-macos-01.png|900px]]

kus

* realistliku toimetamise jaoks võiks olla sobiv Pro ligipääs

===Paigaldamine - Claude Desktop App===

Claude app kasutamiseks tuleb tarkvara kopeerida tootja veebikohast

[[Fail:20260717-cc-app-macos-02.png|800px]]

kus

* navigeerides 'https://claude.com/ -> Meet Claude -> Claude Code'
* või navigeerides 'https://claude.com/ -> Meet Claude -> Claude Cowork'
* tundub, et kõigil juhtudel pakutakse alla laadida sama Claude.dmg fail (320 MBait)

Paigaldamine toimub nö tavaliselt .dmg viisil

[[Fail:20260717-cc-app-macos-01.png|800px]]

kus

* TODO

===Käivitamine ja seadistamine===

Esmakordsel käivitamisel küsitakse autentimist isandaga, nt Google kaudu

[[Fail:20260717-cc-app-macos-05.png|800px]]

kus

* TODO

Tulemusena saab rakenduse käivitada ja paistab Tööpõhimõte punktis esitatud pilt, arvutis töötavad sellised protsessid

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i claude | grep -v grep
imreoolberg 21245 0.1 1.4 1951100112 230368 ?? S 1:02PM 0:02.89 /Applications/Claude.app/Contents/MacOS/Claude
imreoolberg 21278 0.0 0.4 1949258624 65536 ?? S 1:02PM 0:00.09 /Applications/Claude.app/Contents/Frameworks/Claude Helper.app/Contents/MacOS/Claude Helper --type=utility --utility-sub-type=node.mojom.NodeService ...
...
</pre>

kus

* saab aimu, et tegu on javascript vms põhise lahendusega

nt logitakse sellistesse failidesse

<pre>
imreoolberg@Imres-MacBook-Air cc-01 % lsof -p 21245 -P -n | grep log
Claude 21245 imreoolberg 36w REG 1,20 311739 123983838 /Users/imreoolberg/Library/Logs/Claude/main.log
Claude 21245 imreoolberg 37w REG 1,20 311739 123983838 /Users/imreoolberg/Library/Logs/Claude/main.log
Claude 21245 imreoolberg 42w REG 1,20 6944 124005039 /Users/imreoolberg/Library/Application Support/Claude/Local Storage/leveldb/000183.log
Claude 21245 imreoolberg 47w REG 1,20 311739 123983838 /Users/imreoolberg/Library/Logs/Claude/main.log
Claude 21245 imreoolberg 48w REG 1,20 68 123983932 /Users/imreoolberg/Library/Application Support/Claude/Partitions/cowork-file-preview/Local Storage/leveldb/000003.log
Claude 21245 imreoolberg 51w REG 1,20 68 123983933 /Users/imreoolberg/Library/Application Support/Claude/Partitions/launch-preview-static/Local Storage/leveldb/000003.log
Claude 21245 imreoolberg 67w REG 1,20 30 123983949 /Users/imreoolberg/Library/Application Support/Claude/Partitions/launch-preview-static/Session Storage/000003.log
Claude 21245 imreoolberg 84w REG 1,20 9994 123984082 /Users/imreoolberg/Library/Application Support/Claude/Session Storage/000003.log
Claude 21245 imreoolberg 89w REG 1,20 224 123984215 /Users/imreoolberg/Library/Logs/Claude/ssh.log
Claude 21245 imreoolberg 90w REG 1,20 626 123984216 /Users/imreoolberg/Library/Logs/Claude/cowork_vm_node.log
Claude 21245 imreoolberg 92w REG 1,20 1032 123987914 /Users/imreoolberg/Library/Logs/Claude/unknown-window.log
Claude 21245 imreoolberg 97w REG 1,20 2012 123984251 /Users/imreoolberg/Library/Logs/Claude/claude.ai-web.log
Claude 21245 imreoolberg 98w REG 1,20 231448 123984147 /Users/imreoolberg/Library/Application Support/Claude/IndexedDB/https_claude.ai_0.indexeddb.leveldb/000003.log
</pre>

===Tarkvara uuendamine===

Claude Desktop tarkvara uuendamiseks sobib

[[Fail:20260722-cc-app-macos-02.png|800px]]

kus

* pressida ühte või teist Update nuppu

===Misc===

Claude teenuse erinevatest komponentidest annab aimu avalik https://status.claude.com/

[[Fail:20260719-cc-app-macos-01.png|700px]]

kus töökohaarvutil puudub võrguühndus, siis Desktop app ei tööta

[[Fail:20260720-cc-app-macos-01.png|700px]]

===Kasulikud lisamaterjalid===

* https://www.auul.pri.ee/wiki/LiteLLM

Claude Desktop - MacOS

2026-08-03T16:38:18Z

Imre:

===Sissejuhatus===

Väited

* Claude tähistab üldiselt tootja Anthropic ühte toodete komplekti - keelemudel, teenus, klient-tarkavara, protokoll jne
* käesolev tekst keskendub Claude abil agentse lahenduse kasutamisele - st eesmärgiks on, et inimene istub koos agendiga samas aruvutis ja nad koos teevad midagi aktiivselt (nt paigaldavad arvutisse tarkvara, analüüsivad arvutis toimuvaid protsesse jne (jutt ei ole inimese töökohaarvutist, aga mingist muust arvutist, nt serverist)
* Claude agentset kasutamist tähistatakse 'Claude Code'
* Claude Code kasutamiseks on tingimata tarvis paigaldada kas töökohaarvutisse või serverisse Claude agendi tarkvara
* Claude Code kasutamiseks on tingimata tarvis kasutada sobivat kommerts teenust (nt Pro taseme subscription abil)
* kuigi käesolev tekst soovib keskenduda agentsele kasutamisele on Claude Desktop rakendus praktiliselt nii Chat, Code ja Cowork funktsioonidega
* Claude rakenduse Chat funktsioon on analoogne veebikoha https://claude.ai/ kasutamisele
* Claude Desktop app ei sisalda otseselt käsurea kasutamise st terminalis töötamise võimalust (nii, et visuaalselt on prompt kasutada)

Misc

* https://claude.com/ - korporatiivne veebikoht (info kasutajaks saamise kohta, tarkvara allalaadimine, kasutusjuhised jne)
* https://claude.ai/ - online chat teenus

===Tööpõhimõte===

====Claude Chat režiim====

Claude Desktop App kasutamine Chat režiimis paistab välja selline

[[Fail:20260717-cc-app-macos-03.png|800px]]

kus

* TODO

====Claude Code režiim====

Claude Desktop App kasutamine Code režiimis paistab välja selline

[[Fail:20260717-cc-app-macos-04.png|800px]]

kus

* käsundamine toimub selles operatsioonisüsteemis, kus claude desktop protsess töötab st macos operatsioonisüsteemis enda (mitte mõnes virtuaalses arvutis)

Tegevustega seotud tulemused asuvad kaustas (mis esmakordsel käivitamisel saab rakendusele ütlelda, st et toimetagu '/Users/imreoolberg/cc-01' kaustas ja sealt edasi

<pre>
imreoolberg@Imres-MacBook-Air cc-01 % pwd
/Users/imreoolberg/cc-01

imreoolberg@Imres-MacBook-Air cc-01 % find . -ls
123993344 0 drwxr-xr-x 3 imreoolberg staff 96 Jul 17 14:04 .
123993560 0 drwxr-xr-x 4 imreoolberg staff 128 Jul 17 14:13 ./imre-test-01
123995650 8 -rw-r--r-- 1 imreoolberg staff 822 Jul 17 14:13 ./imre-test-01/random.auul.pri.ee.cert.pem
123995649 8 -rw-r--r-- 1 imreoolberg staff 227 Jul 17 14:13 ./imre-test-01/random.auul.pri.ee.key.pem
</pre>

====Claude Cowork režiim====

Väited

* cowork režiim on turvalisem kui claude-code režiim, sest tegevused toimuvad eraldi abistavas virtuaalses arvutis
* cowork virtuaalne arvuti ei saa tavalises mõttes võrku (tcp/ip mõttes) - suhtlemine ümbrusega toimub connectorite abil
* abistavad vahendid on plugins, connectors ja skills (plugin kombineerib hulga skille ja konnektoreid)

Cowork režiimis esmalt moodustatakse projekt ning seostada folderiga

[[Fail:20260721-cc-app-macos-03.png|450px]]

seejärel palve midagi teha, nt 'please create self-signed x509 certificate for dns name p-cowork-03.auul.pri.ee, rsa crypto, 2048 bit and 1 year expiration, save certificate and key in this project associated shared folder'

[[Fail:20260721-cc-app-macos-04.png|1100px]]

seejärel palve tulemust esitada nimekirja kujul, kui tulemus paluda salvestada faili, siis saab seda esitada eraldi paremal olevas kolmandas paneelis

[[Fail:20260721-cc-app-macos-05.png|1100px]]

ja lõpuks palve midagi väljendada enda keskkonna kohta - siis saab kinnituse, et tegu on macos peal töötava ajutise abistama Ubuntu v. 22.04 virtuaalse arvutiga

[[Fail:20260721-cc-app-macos-06.png|1100px]]

Lõpuks on kogunenud projekti kataloogi sellised failid, macos poolelt vaadates

<pre>
imreoolberg@Imres-MacBook-Air ~ % find p-cowork-03-fld-01 -type f -ls
124551478 8 -rw------- 1 imreoolberg staff 1704 Jul 21 15:22 p-cowork-03-fld-01/p-cowork-03.auul.pri.ee.key
124551676 8 -rw-r--r-- 1 imreoolberg staff 386 Jul 21 15:24 p-cowork-03-fld-01/cat-os-release.txt
124551477 8 -rw------- 1 imreoolberg staff 1200 Jul 21 15:22 p-cowork-03-fld-01/p-cowork-03.auul.pri.ee.crt
124551577 8 -rw-r--r-- 1 imreoolberg staff 484 Jul 21 15:23 p-cowork-03-fld-01/find-ls.txt
</pre>

Komponent joonis (claude.ai tehtud)

[[Fail:20260721-cc-app-macos-02.png|900px]]

kus

* Claude Desktop ja Claude Code kasutamisel osa tegevusi toimub taustal töötavas virtuaalses arvutis - MacOS puhul VZ virtuaalses arvutis

Kasulikud lisamaterjalid

* https://aaddrick.com/blog/claude-desktop-cowork-mode-vm-architecture-analysis

===Claude teenusele ligipääs===

Claude teenusele ligipääsu ostmine toimub https://claude.com/ veebikohas

[[Fail:20260722-cc-app-macos-01.png|900px]]

kus

* realistliku toimetamise jaoks võiks olla sobiv Pro ligipääs

===Paigaldamine - Claude Desktop App===

Claude app kasutamiseks tuleb tarkvara kopeerida tootja veebikohast

[[Fail:20260717-cc-app-macos-02.png|800px]]

kus

* navigeerides 'https://claude.com/ -> Meet Claude -> Claude Code'
* või navigeerides 'https://claude.com/ -> Meet Claude -> Claude Cowork'
* tundub, et kõigil juhtudel pakutakse alla laadida sama Claude.dmg fail (320 MBait)

Paigaldamine toimub nö tavaliselt .dmg viisil

[[Fail:20260717-cc-app-macos-01.png|800px]]

kus

* TODO

===Käivitamine ja seadistamine===

Esmakordsel käivitamisel küsitakse autentimist isandaga, nt Google kaudu

[[Fail:20260717-cc-app-macos-05.png|800px]]

kus

* TODO

Tulemusena saab rakenduse käivitada ja paistab Tööpõhimõte punktis esitatud pilt, arvutis töötavad sellised protsessid

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i claude | grep -v grep
imreoolberg 21245 0.1 1.4 1951100112 230368 ?? S 1:02PM 0:02.89 /Applications/Claude.app/Contents/MacOS/Claude
imreoolberg 21278 0.0 0.4 1949258624 65536 ?? S 1:02PM 0:00.09 /Applications/Claude.app/Contents/Frameworks/Claude Helper.app/Contents/MacOS/Claude Helper --type=utility --utility-sub-type=node.mojom.NodeService ...
...
</pre>

kus

* saab aimu, et tegu on javascript vms põhise lahendusega

nt logitakse sellistesse failidesse

<pre>
imreoolberg@Imres-MacBook-Air cc-01 % lsof -p 21245 -P -n | grep log
Claude 21245 imreoolberg 36w REG 1,20 311739 123983838 /Users/imreoolberg/Library/Logs/Claude/main.log
Claude 21245 imreoolberg 37w REG 1,20 311739 123983838 /Users/imreoolberg/Library/Logs/Claude/main.log
Claude 21245 imreoolberg 42w REG 1,20 6944 124005039 /Users/imreoolberg/Library/Application Support/Claude/Local Storage/leveldb/000183.log
Claude 21245 imreoolberg 47w REG 1,20 311739 123983838 /Users/imreoolberg/Library/Logs/Claude/main.log
Claude 21245 imreoolberg 48w REG 1,20 68 123983932 /Users/imreoolberg/Library/Application Support/Claude/Partitions/cowork-file-preview/Local Storage/leveldb/000003.log
Claude 21245 imreoolberg 51w REG 1,20 68 123983933 /Users/imreoolberg/Library/Application Support/Claude/Partitions/launch-preview-static/Local Storage/leveldb/000003.log
Claude 21245 imreoolberg 67w REG 1,20 30 123983949 /Users/imreoolberg/Library/Application Support/Claude/Partitions/launch-preview-static/Session Storage/000003.log
Claude 21245 imreoolberg 84w REG 1,20 9994 123984082 /Users/imreoolberg/Library/Application Support/Claude/Session Storage/000003.log
Claude 21245 imreoolberg 89w REG 1,20 224 123984215 /Users/imreoolberg/Library/Logs/Claude/ssh.log
Claude 21245 imreoolberg 90w REG 1,20 626 123984216 /Users/imreoolberg/Library/Logs/Claude/cowork_vm_node.log
Claude 21245 imreoolberg 92w REG 1,20 1032 123987914 /Users/imreoolberg/Library/Logs/Claude/unknown-window.log
Claude 21245 imreoolberg 97w REG 1,20 2012 123984251 /Users/imreoolberg/Library/Logs/Claude/claude.ai-web.log
Claude 21245 imreoolberg 98w REG 1,20 231448 123984147 /Users/imreoolberg/Library/Application Support/Claude/IndexedDB/https_claude.ai_0.indexeddb.leveldb/000003.log
</pre>

===Tarkvara uuendamine===

Claude Desktop tarkvara uuendamiseks sobib

[[Fail:20260722-cc-app-macos-02.png|800px]]

kus

* pressida ühte või teist Update nuppu

===Misc===

Claude teenuse erinevatest komponentidest annab aimu avalik https://status.claude.com/

[[Fail:20260719-cc-app-macos-01.png|700px]]

kus töökohaarvutil puudub võrguühndus, siis Desktop app ei tööta

[[Fail:20260720-cc-app-macos-01.png|700px]]

===Kasulikud lisamaterjalid===

* https://www.auul.pri.ee/wiki/LiteLLM

Claude Desktop - MacOS

2026-08-03T16:37:35Z

Imre:

MacOS operatsioonisüsteemi kasutamine füüsilise MacBook Air M4 arvutiga

2026-08-03T10:57:46Z

Imre: /* iterm2 */

===Sissejuhatus===

TODO

Apple system level innovations

* XNU hybrid kernel (Mach + BSD + I/O Kit).
* Read-only, sealed root filesystem.
* APFS (snapshots, sealing, native encryption).
* Secure Enclave (separate CPU/resources).
* Cryptographic boot chain (from Boot ROM → kernel → apps).
* System Integrity Protection (SIP).
* Gatekeeper & notarization.
* Launchd (unified service/daemon manager).
* Unified logging & tracing (dtrace, signpost).
* Rosetta + Universal binaries (smooth arch transitions).
* Quartz compositor + Core Animation (graphics pipeline).
* Metal API (low-level GPU abstraction).
* mälu pakkimine käigult (vt Activity Monitor -> Memory -> Bottom)

Misc

* Aqua - desktop visuaal
* Quartz - desktop mootor
* UTM - qemu-based virtulization
* AWDL (Apple Wireless Direct Link) - midagi Wifi-Direct laadset

Väited

* Apple lahendustele on iseloomulik, et sama it shop kontrolli all on nii riistvara kui tarkvara (põhimõtteliselt sarnane olukord nagu kunagi Sun sparc lahendustega)
* macos on pigem threaded orienteeritud lahendus (mitte process-is-single-thread) - märksõnad: Grand Central Dispatch, Operation Queues, Swift Concurrency)
* nn 'giant lock (https://en.wikipedia.org/wiki/Giant_lock)' probleem on macos puhul pigem praktiliselt lahendatud, ju see on sama millest openbsd vabastamisega tegeldakse, nt https://www.openbsd.org/76.html - 'Removed net lock from sysctl(8) net.inet.ip.forwarding, net.inet6.ip6.forwarding, net.inet6.ip6.redirect, net.inet.ip.directed-broadcast.'

===Riistvara===

TODO

* MacBook Air 13" M4 protsessoriga arvuti
* compute resource - 1. cpu (risc arm), 2. gpu, 3. secure enclave, 4. neural engine
* 16 G ddr5 non-ecc memory - kõik compute resource'id kasutavad sama mälu, st ühisest pool'ist võetakse kasutuseks, ja antakse tagasi jne
* kaks Dell U2725QE monitori
* kaks thunderbolt 4 kaablit
* Logitech nö 9 eurone pc hiir
* lai apple magic keyboard
* väline andmekandja - SanDisk PRO-G40, https://www.apple.com/shop/mac/accessories/storage?f=thunderbolt3&fh=3783%2B47f6&page=1
* port saver - https://www.delock.com/produkt/66433/merkmale.html
* arvuti puhul ei ole kohta nagu pc arvuti puhul on 'enter bios' või 'enter setup' - ainuke realistlik sisenemiskoht on hoides alla toite nuppu arvuti käivitumise ajal

Väited

* macbookpro, air jt on non-ecc mäluga; mac pro ja mac studio on ecc mäluga
* arvuti on ühendatud ühe monitoriga TB4 kaabli abil
* esimese monitoriga on ühendatud usb klaviatuur ja hiir
* arvuti võrk töötab wifi abil, aga saaks töötada ka monitori rj45 ethernet kaabliga (arvutisse saabub üle thunderbolt neli nö signaali: 1. usb klaviatuur ja hiir, 2. ethenet, 3. video, 4. toide)
* teine monitor on ühendatud esimesega teise TB4 kaabliga nn daisy-chain ühenduses
* tundub, et monitoride pilt on vastuvõetava kvaliteediga ka non-4k režiimis (nt 3008 x 1692)

<pre>
system_profiler SPHardwareDataType # CPU, memory, model
system_profiler SPDisplaysDataType # GPU / monitor info
system_profiler SPUSBDataType # USB controllers and devices
system_profiler SPThunderboltDataType # Thunderbolt controllers
system_profiler SPNetworkDataType # Network interfaces
</pre>

Näiteks

<pre>
Imres-MacBook-Air:~ root# system_profiler SPHardwareDataType
Hardware:

Hardware Overview:

Model Name: MacBook Air
Model Identifier: Mac16,12
Model Number: MW0W3KS/A
Chip: Apple M4
Total Number of Cores: 10 (4 performance and 6 efficiency)
Memory: 16 GB
System Firmware Version: 11881.81.2
OS Loader Version: 11881.81.2
Serial Number (system): KGHGX652VT
Hardware UUID: 27AE0C7C-DCC6-5F5C-A133-8F10726347EC
Provisioning UDID: 00008132-001A618E0121801C
Activation Lock Status: Enabled

Imres-MacBook-Air:~ root# system_profiler SPDisplaysDataType
Graphics/Displays:

Apple M4:

Chipset Model: Apple M4
Type: GPU
Bus: Built-In
Total Number of Cores: 8
Vendor: Apple (0x106b)
Metal Support: Metal 3
Displays:
Color LCD:
Display Type: Built-in Liquid Retina Display
Resolution: 2560 x 1664 Retina
Main Display: Yes
Mirror: Off
Online: Yes
Automatically Adjust Brightness: Yes
Connection Type: Internal
DELL U2725QE:
Resolution: 6016 x 3384
UI Looks like: 3008 x 1692 @ 120.00Hz
Mirror: Off
Online: Yes
Rotation: Supported
</pre>

====Neural Engine====

TODO

* On-device machine learning
* Siri's voice recognition
* Image analysis in Photos
* Real-time video processing in apps like FaceTime

====Misc OS====

* cpu instructions - toimuvad kernel -> cpu vahel
* syscalls - toimuvad rakendustarkvara -> kernel vahel
* ei ole user-space-syscall'isid - kõik syscallid on nö kernel-space-syscall'd ehk lihtsalt syscall'id
* macos ei ole real-time operating system
* macos puhul on realiseeritud preemtion st ka tundlike kerneli kihi tegevuste puhul on võimalik teha nö katkestusi-tagasipöördumisi
* ei ole sellist storage-io lahenduste mitmekesisust nagu on linux puhul (nt io-uring, libaio) - nimetatakse 'Dispatch I/O'
* ei ole sellist network-io lahenduste mitmekesisust nagu on linux puhul (nt dpdk) - nimetatakse 'Network Framework'
* dpdk, rdma jms puudub kuna macos puhul tegevused käivad läbi kernel selleks, et toimuv oleks maksimaalselt kontrolli all (toimub kernel by-pass)
* tcp-offload jms siiski on kasutusel - kernel kontrollib siis ikkagi toimivat piisavalt
* XNU kernel ei võimalda linux namespace ja cgroup laadseid nö isolatsioone - st naturaalselt ei ole olemas native macos konteinerindust (nagu on linux jaoks olemas docker või freebsd jaoks daemonless) - kui on vajalik conteinerindus, siis on lahenduseks kasutada konteineri ja xnu kerneli vahel lisa kihti - linux-arm64)

Palju on https://www.openbsd.org/innovations.html nimekirjast olemas macos puhul, kas otseselt või siis kontseptuaalselt, aga implementatsioon on macos juhtumile iseloomulik

* OpenBSD: retguard uses a unique XOR-based canary on a function's return address to prevent a specific type of buffer overflow attack (ROP).
* macOS: macOS does not have a feature called retguard. However, the same concept is implemented by Apple's Clang compiler. macOS has used stack canaries (or stack cookies) for years, which are values placed on the stack to detect if the return address has been overwritten. Both systems use different implementations to solve the same problem.
* OpenBSD: pledge is a security mechanism where a program "pledges" to only use a limited set of system calls. If it tries to make a syscall outside of its "pledge," the program is killed.
* macOS: macOS does not have a pledge equivalent. The concept is not present in the same form. Instead, macOS uses sandboxing, which is a more comprehensive and declarative security model. Sandboxing restricts an application's access to files, network connections, and system resources based on a detailed set of rules (called entitlements) defined in a profile, which is part of the application itself. It's a different, but arguably more powerful, approach to the same problem.
* OpenBSD: W^X is a fundamental security policy that ensures a memory page is either writable or executable, but not both.
* macOS: This concept is directly implemented and has been a core security feature of macOS for many years. It is an integral part of the kernel and is enforced on all applications, making it impossible for an attacker to write shellcode to a memory page and then execute it.
* OpenBSD has long been a pioneer in security, and its implementation of ASLR is a core part of its "secure by default" philosophy.
* macOS introduced ASLR in Mac OS X Leopard (10.5) and has since continuously improved and strengthened it with each new release. Today, ASLR on macOS is a mandatory security feature for all modern applications.
* OpenBSD relinking
* Randomizing per-process: Instead of a single, system-wide reordering at boot, dyld randomizes the base addresses of shared libraries for every single process that is launched.
* Using a shared cache: To speed up program loading, macOS bundles commonly used system libraries into a single large file called the dyld_shared_cache. The location of this entire cache in memory is randomized at boot, and all processes then use this randomized location.

====User mode vs Kernel mode====

Väited

* User mode ja Kernel mode on kaks erinevat protsessori olekut
* esimesel puhul käitub arvuti nagu nö loogiline-masin, teisel juhul nagu riistvaraline-masin
* kontseptuaalselt võiks ette kujutada, et arvutis on kaks protsessorit - üks on pidevalt füüsilises ja teine loogilises olekus
* loogilist laadi tegevusteks on nt protsessi mällu laaditud mälu abil andmete sorteerimine, st kõik tegevused on taandatud matemaatikaks
* füüsilist laadi tegevusteks on nt võrku andmete saatmine, või plokkseadmelt andmete lugemine

====Seadme draiver====

Ettekujutuseks on nvme storage seade. Selleks, et andmed jõuaksid füüsilise plokkseadme pealt ühe user-space protsessi mällu nt postgresql andmebaas, liiguvad andmed läbi sellistest lõikudest koosneva teekonna

<pre>
plokkseade
control plain peal toimuv käsu tulemusel -> plokkseadmega seostatud fragment arvuti rom mälust
-> cpu kopeerib andmed oma registrite abil user-space mällu
..
</pre>

====SanDisk PRO-G40====

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Thunderbolt 4 porti ühendatud seade paistab selline

[[Fail:20250916-imre-sandisk-pro-g40-01.png|900px]]

kus

* seadet koheldakse pcie siinile ühendatud nvme seadmena

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Non-Thuderbolt-USB-C porti ühendatud seade paistab selline

TODO

kus

* seadet koheldakse usb-storage ühendatud plokkseadmena

===Kasutajaliides===

====Magic Apple Keyboard====

klahvikombinatsioonid

* command + nool paremale/vasakule - tekstikursori viimine vastavalt rea lõppu või algusse
* command + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt rea lõppu või algusse
* command + shift + suurem/väiksem - mitme aknalise programmi akende vahel liikumine (nt iterm/terminal/chrome/safari)
* option + nool paremale/vasakule - tekstikursori viimine vastavalt järgmise või eelmise sõna juurde
* option + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt sõna edasi või tagasi
* command + tühik - spotlight otsingu avamine
* control + nool paremal/vasakule - järgmise virtuaalse desktop juurde liikumine (spaces)
* control + nool üles/esc - xxx vaate avamine (üleval on virtuaalsete desktopide riba)
* command + nool üles/alla - teksti algusse või lõppu liikumine (nt chrome brauseris)
* option + nool üles/alla - tekstis nö page-up-page-down võtta liikumine (nt chrome brauseris)

====Touchpad====

gestured

* kahe sõrmega üles-alla swipe - hiirega skrollimine
* kolme sõrmega vasakule-paremale swipe - virtuaalsete desktopide vahel liikumine

===alt-grab - BetterTouchTool (BTT)===

====Tööpõhimõte====

Tegevuse eesmärk on alt-grab kasutamine akna asukohta muutmiseks ja akna suuruse muutmiseks. Linux desktop (gnome, xfce4 jt) puhul paistab see olevat tavaline, et akna asukoha muutmiseks ei pea tingimata haarama hiire vasaku nupuga akna tiitelribast ja siis vedama; või akna suuruse muutmiseks haarama hiire vasaku nupuga täpselt nurgast või servast ja siis vedama. Piisab hoida vasakut alt klahvi all ja haarata kuskilt akna seest hiire vasaku nupuga ning vedada; või hoida vasakut alt klahivi all ja haarata akna seest nurga lähedusest hiire parema nupuga ning vedada.

====BTT kopeerimine ja paigaldamine====

Väited

* https://folivora.ai/
* tundub, et BTT on usaldusväärne tarkvara (nt https://www.macworld.com/article/551700/mac-gems-bettertouchtool-review.html)
* BetterTouchTool ei ole tasuta tarkvara
* BetterTouchTool ei ole kõige parem lahendus nn alt-drag jaoks, aga paistab, et paremat ka pole (ja tundub, et ei saa olla kuna MacOS nö sisemiselt eriti ei võimalda alt-drag laadi tegevusi)
* BTT abil saab akna suurust muuta ainult paremas alumises nurgas
* akent ei saa ekraanilt osaliselt välja suruda üles suunas (nt alla saab)
* tundub, et paigaldamisel antakse rakendusele rikkalikult privileege

====Seadistamine====

Tööpõhimõte

* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse down', millele vastab tegevus (action) 'Start Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse up', millele vastab tegevus 'Stop Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse down', millele vastab tegevus 'Start Resizing'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse up', millele vastab tegevus 'Stop Resizing'

alt-drag seadistamine paistab selliselt, rightclick triggeri ja vastava tegevuse (action) kirjeldamine, basic

[[Fail:20250903-btt-rightclick-01.png|1000px]]

kus

* valitud programmid on For All Apps st kirjeldatavad võimed tekivad kõigi programmide akendele
* valitud seade on Normal Mouse (mitte magic mouse)
* on valitud ka modifer - opt (magic keyboard klahv 'option')

ning advanced

[[Fail:20250903-btt-rightclick-02.png|1000px]]

kus

* Trigger Conditions - Trigger on Mouse Down (vaikimisi)

Analoogselt kirjeldatakse ülejäänud triggerid ja tegevused - seejuures tuleb kindlasti valida modifier, vastasel korral võib olla väga halb kasutuskogemus kuna hiire vasaku klahvi nö tavaline töö on häiritud).

====Kasutamine====

Kasutamine paistab välja natuke puudulikumalt kui linux desktop keskkonnas

* suurust saab muuta vaid alumist paremat nurka sisse või väljapoole surudes (linux all saab tegeleda igas nurgas)
* asukohta saab muuta kuid see mõjub fookuses olevale aknale (vahel on see üsna nö eba kogemus, et hiir on mitte fookuses oleva akna kohal ja kõrval oleva akna asukoht muutub)
* tegelemise ajal on aken nö täidetud (linux all saab valida kas aken paistab nö täidetuna või wireframe'ina)

====Kasulikud lisamaterjalid====

* https://community.folivora.ai/t/resize-window-on-modifier-right-mouse-button-press/41430

===iterm2===

iterm2 võimaldab muu hulgas

* akende arrangement ettevalmistusi - st akende avamist komplektidena, seejuures logitakse automaatselt serveritesse ssh abil sisse, näiteks
* profile abil värvikasutust kirjeldada (taust, tekst, esiletoodud (bold), allajoonitud tekst jms)

[[Fail:20260302-iterm2-01.png|700px]]

avades

iTerm2 -> Settings -> Profiles

kus

* esiletoodud tekst esitatakse roheliselt (seda esineb linux puhul nt top, 'systemctl status postfix' ja dmesg väljundis)

aknale kerge ääre näitamine

iTerm2 -> Settings -> Appearence -> Windows -> Aestetics -> Heavy border around windows in light mode

Profiilid

<pre>
imreoolberg@Imres-MacBook-Air ~ % egrep -r wrx "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Command" : "ssh root@pve-wrx90e",
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Name" : "pve-wrx90e",
imreoolberg@Imres-MacBook-Air ~ % egrep -r svc "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
imreoolberg@Imres-MacBook-Air ~ % plutil -p ~/Library/Preferences/com.googlecode.iterm2.plist | grep -i "pve-svc-0"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-02"
</pre>

Tarkvara uuendamine

[[Fail:20260704-macos-01.png|900px]]

* ei toimu app store kaudu
* toimib rakenduse enda menüüst

Non-printable sümbol paistab nt selliselt

<pre>
root@rv-nswa-01:~# systemctl show rsyslog | grep -i nonew
Invalid unit name "rsyslog " escaped as "rsyslog\xc2\xa0" (maybe you should use systemd-escape?).
NoNewPrivileges=no
root@rv-nswa-01:~# systemctl show rsyslog | grep -i nonew
NoNewPrivileges=yes
</pre>

ning

<pre>
root@rv-nswa-01:~# echo "rsyslog " | od -c
0000000 r s y s l o g 302 240 \n
0000012
root@rv-nswa-01:~# echo "rsyslog" | od -c
0000000 r s y s l o g \n
0000010
root@rv-nswa-01:~#
</pre>

Claude teab, et '\xc2\xa0 is UTF-8 for U+00A0 — a non-breaking space (NBSP)'

===timemachine===

====Tööpõhimõte====

TODO

* võrgus failiserver
* võrgus avahi vms server
* macos süsteem

====Ettevalmistamine====

Väited

* tundub, et macos webgui kaudu ei õnnestu samba põhist tm lahendust ära seadistada, tuleb toimetada käsurealt (hüpotees on, et kuna cifs failisüsteemi monteerimisel Finder abil tekib .DS_Store vms faile automaatselt share peale, siis see eksitab tm lahendust

Samba serveri ettevalmistamine, Debian v. 12 (samba v. 4.17)

<pre>
# apt-get install --no-install-recommends samba
# apt-get install samba-vfs-modules

# cat /etc/samba/smb.conf
[global]
client min protocol = SMB3
client max protocol = SMB3
workgroup = MORAALCIFS
dns proxy = no
log file = /var/log/samba/log.%m
max log size = 1000
panic action = /usr/share/samba/panic-action %d
server role = standalone server

[timemachine]
path = /zpool_wdc/timemachine/
browsable =yes
writable = yes
guest ok = no
valid users = timemachine
smb encrypt = required
vfs objects = catia fruit streams_xattr
fruit:metadata = stream
fruit:resource = file
fruit:time machine = yes
fruit:time machine max size = 500G
</pre>

käivitamine

<pre>
# systemctl restart smbd
</pre>

Varundatava arvuti ettevalmistamine

<pre>
Imres-MacBook-Air:~ root# tmutil setdestination "smb://timemachine:parool@192.168.10.168/timemachine"
Imres-MacBook-Air:~ root# tmutil destinationinfo
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : 2E3ED96D-4626-4D55-BDD5-A0ED6CDDF973
</pre>

Varunduse käivitamine

<pre>
Imres-MacBook-Air:~ root# tmutil startbackup --auto
Imres-MacBook-Air:~ root# log stream --predicate 'process == "backupd"' --info
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 157Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 709 0 100% /dev
/dev/disk3s6 228Gi 20Ki 157Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 157Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 157Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 157Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 157Gi 2% 76 1.6G 0% /Volumes/Recovery
//timemachine@192.168.10.168/timemachine 500Gi 20Gi 480Gi 5% 21M 503M 4% /Volumes/.timemachine/192.168.10.168/CEF57214-AE85-44D1-86EB-D0D69E41EA1C/timemachine
/dev/disk5s1 15Ti 20Gi 480Gi 4% 383k 5.0G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
Imres-MacBook-Air:~ root#
</pre>

Tulemusena

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-015533.backup/2025-09-05-015533.backup
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# tmutil listlocalsnapshots /
Snapshots for volume group containing disk /:
com.apple.TimeMachine.2025-09-05-012346.local
com.apple.TimeMachine.2025-09-05-015510.local
com.apple.os.update-35F83766A7728F08A2DF1CFD45DF39CAB4C00F8C1A4A0DBECD314305426E5C549569F373D02B15DDC5C3E22E8E9D0A2F
com.apple.os.update-4278EFCBF37708F6ABE958C2E59447D754411B4697E4891DE3D58BC37F433306
com.apple.os.update-MSUPrepareUpdate
</pre>

====Kasutamine - süsteemi varundamine====

Time machine graafilise liidese peal, kui on kirjeldatud mitu time-machine varunduskohta, saab ühe peal hiire parema klõpsuga avada hüpikmenüü ja öelda, et käivitada varundus

[[Fail:20251109-timemachine-01.png|600px]]

====Kasutamine - üksiku faili taastamine====

TODO

====Kasutamine - süsteemi taastamine====

TODO

====Misc====

tm destinationinfo esitamine

<pre>
Imres-MacBook-Air:~ root# tmutil destinationinfo
> ==================================================
Name : volume-tm-backup-01
Kind : Local
Mount Point : /Volumes/volume-tm-backup-01 1
ID : B23C58B0-C5F1-4FE6-8CCE-B90B5FAA3C7A
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : ECA95A15-3033-460C-B928-46E809CC1C58
</pre>

korra time machine gui utiliidiga läbi browsitud taaste vaates (tundub, et siis ta nö monteerib külge jne), df

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 10Gi 99Gi 10% 427k 1.0G 0% /
devfs 219Ki 219Ki 0Bi 100% 758 0 100% /dev
/dev/disk3s6 228Gi 24Ki 99Gi 1% 0 1.0G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 13Gi 99Gi 12% 2.6k 1.0G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 7.5Mi 99Gi 1% 104 1.0G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 480Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 6.0Mi 480Mi 2% 38 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 3.6Mi 480Mi 1% 100 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 56Gi 99Gi 37% 696k 1.0G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk7s1 3.6Ti 5.9Gi 3.5Ti 1% 24 38G 0% /Volumes/PRO-G40
/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/volume-tm-backup-01
com.apple.TimeMachine.2025-09-19-012830.backup@/dev/disk7s3 3.6Ti 122Gi 3.5Ti 4% 541k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup
com.apple.TimeMachine.2025-11-09-213757.local@/dev/disk3s5 228Gi 55Gi 99Gi 36% 687k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-213757/Data
com.apple.TimeMachine.2025-11-09-213824.backup@/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup
com.apple.TimeMachine.2025-11-09-165402.backup@/dev/disk7s3 3.6Ti 140Gi 3.5Ti 4% 568k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup
com.apple.TimeMachine.2025-11-09-160153.local@/dev/disk3s5 228Gi 50Gi 99Gi 34% 711k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-160153/Data
//timemachine@192.168.10.168/timemachine 500Gi 71Gi 429Gi 15% 74M 450M 14% /Volumes/.timemachine/192.168.10.168/D4D414B7-3607-44F6-8151-4F53ECDEF964/timemachine
/dev/disk5s1 15Ti 44Gi 429Gi 10% 568k 4.5G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-11-09-162452.backup@/dev/disk5s1 15Ti 78Gi 429Gi 16% 568k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup
com.apple.TimeMachine.2025-09-05-014511.backup@/dev/disk5s1 15Ti 23Gi 429Gi 6% 500k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup
</pre>

samal ajal diskutil

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 11.3 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 11.3 GB disk3s1s1
3: APFS Volume Preboot 14.2 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 60.0 GB disk3s5
6: APFS Volume VM 24.6 KB disk3s6
7: APFS Volume macOS Restored - Data 40.1 GB disk3s7
8: APFS Volume macOS Restored 11.3 GB disk3s8

/dev/disk4 (disk image):
#: TYPE NAME SIZE IDENTIFIER
0: +16.0 TB disk4

/dev/disk5 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +16.0 TB disk5
Physical Store disk4
1: APFS Volume Backups of Imre’s Ma... 47.7 GB disk5s1

/dev/disk6 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *4.0 TB disk6
1: EFI EFI 209.7 MB disk6s1
2: Apple_APFS Container disk7 4.0 TB disk6s2

/dev/disk7 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +4.0 TB disk7
Physical Store disk6s2
1: APFS Volume PRO-G40 6.4 GB disk7s1
2: APFS Volume volume-tm-backup-01 152.3 GB disk7s3

Imres-MacBook-Air:~ root#
</pre>

kus

* võrgus samba põhise time-machine varundusele sünteesitakse vastav plokkseade /dev/disk4 ja omakorda /dev/disk5
* lokaalselt külge kinnitatud välisele sandisk-pro-g40 plokkseade on /dev/disk6 ja edasi on seal sünteesitud /dev/disk7 ning eriti /dev/disk7s3
* samba serveris on tm varunduse jaoks üks kataloog välja jagatud 16 TB suuremalt failisüsteemilt, st sellest siin väljundis 16 TB märge

üksiku tm ressursi kohta info küsimine

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/Backups\ of\ Imre’s\ MacBook\ Air
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup/2025-11-09-162452.backup

Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/volume-tm-backup-01
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup/2025-09-19-012830.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup/2025-11-09-165402.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup/2025-11-09-213824.backup
</pre>

===Storage===

Mõisted

* Seal
* Secure Enclave
* FileVault
* Volume Group

Tööpõhimõte

* füüsiline salvestusseade on jaotatud partitsioonideks
* partitsioonile vastab nn konteiner
* konteinerile vastab midagi lvm volume group või zfs pool laadset
* konteineris sisaldub hulk volume'eid
* volumile vastab failisüsteem (apfs - apple file system)
* sama konteineri sees asuvad failisüsteemid opereerivad sama jagatud vaba ruumi tingimustes

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 16.0 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 16.0 GB disk3s1s1
3: APFS Volume Preboot 13.1 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 45.9 GB disk3s5
6: APFS Volume VM 20.5 KB disk3s6
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 156Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 713 0 100% /dev
/dev/disk3s6 228Gi 20Ki 156Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 156Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 156Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 43Gi 156Gi 22% 582k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 156Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 156Gi 2% 76 1.6G 0% /Volumes/Recovery
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
com.apple.TimeMachine.2025-09-05-015510.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-015510/Data
</pre>

Juurika suhtes ressursid

<pre>
Imres-MacBook-Air:/ root# ls -lO /
total 10
lrwxr-xr-x 1 root admin - 36 Jan 15 2025 .VolumeIcon.icns -> System/Volumes/Data/.VolumeIcon.icns
---------- 1 root admin - 0 Jan 15 2025 .file
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .nofollow
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .resolve
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 .vol
drwxrwxr-x 16 root admin sunlnk 512 Sep 5 12:56 Applications
drwxr-xr-x 66 root wheel sunlnk 2112 Sep 3 21:05 Library
drwxr-xr-x@ 10 root wheel restricted 320 Jan 15 2025 System
drwxr-xr-x 5 root admin sunlnk 160 Sep 2 22:41 Users
drwxr-xr-x 6 root wheel hidden 192 Sep 7 11:57 Volumes
drwxr-xr-x@ 39 root wheel restricted,hidden 1248 Jan 15 2025 bin
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 cores
dr-xr-xr-x 4 root wheel hidden 5047 Sep 5 01:14 dev
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 etc -> private/etc
lrwxr-xr-x 1 root wheel hidden 25 Sep 5 01:14 home -> /System/Volumes/Data/home
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 opt
drwxr-xr-x 6 root wheel sunlnk,hidden 192 Sep 5 01:14 private
drwxr-xr-x@ 77 root wheel restricted,hidden 2464 Jan 15 2025 sbin
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 tmp -> private/tmp
drwxr-xr-x@ 11 root wheel restricted,hidden 352 Jan 15 2025 usr
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 var -> private/var
</pre>

kus

* sunlnk - apfs lahendusele iseloomulik nn sünteetline link (teine variatsioon on firmlink)
* /private sisuks on tegelikult volume /System/Volumes/Data
* / on unionfs laadne lahendus, st kokku on kogutud erinevad ressrussid, mõned on read-only, mõned on read-write
* / endale vastav /dev/disk3s1s1 on /dev/disk3s1 read-only apfs snapshot - sedasi on väga madalas kihis tagatud süsteemi osa immutability

ning

<pre>
Imres-MacBook-Air:~ root# diskutil apfs list
APFS Containers (3 found)
|
+-- Container disk3 71D88332-123F-4F15-99AA-FDD26D7118F7
====================================================
APFS Container Reference: disk3
Size (Capacity Ceiling): 245107195904 B (245.1 GB)
Capacity In Use By Volumes: 77898416128 B (77.9 GB) (31.8% used)
Capacity Not Allocated: 167208779776 B (167.2 GB) (68.2% free)
|
+-< Physical Store disk0s2 F202FF0C-8102-4C98-8DEA-BFC6BE9C61B4
| -----------------------------------------------------------
| APFS Physical Store Disk: disk0s2
| Size: 245107195904 B (245.1 GB)
|
+-> Volume disk3s1 9D894F4B-1ADA-47A9-9864-CECA47F5CC54
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s1 (System)
| Name: Macintosh HD (Case-insensitive)
| Mount Point: /System/Volumes/Update/mnt1
| Capacity Consumed: 15970652160 B (16.0 GB)
| Sealed: Broken
| FileVault: Yes (Unlocked)
| Encrypted: No
| |
| Snapshot: E4EE5A50-F503-4DC3-BB9E-6C3EF76A9105
| Snapshot Disk: disk3s1s1
| Snapshot Mount Point: /
| Snapshot Sealed: Yes
|
+-> Volume disk3s2 5C7FF5F7-C059-4568-879D-AEE09DB60CF7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s2 (Preboot)
| Name: Preboot (Case-insensitive)
| Mount Point: /System/Volumes/Preboot
| Capacity Consumed: 13066547200 B (13.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s3 8A6ADAED-7C32-4DFB-8731-005DA53BB3FF
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s3 (Recovery)
| Name: Recovery (Case-insensitive)
| Mount Point: /Volumes/Recovery
| Capacity Consumed: 2082414592 B (2.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s5 53270D80-303A-47F4-83DE-D2B9228E9FC7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s5 (Data)
| Name: Data (Case-insensitive)
| Mount Point: /System/Volumes/Data
| Capacity Consumed: 45915893760 B (45.9 GB)
| Sealed: No
| FileVault: Yes (Unlocked)
|
+-> Volume disk3s6 5B9AA026-E765-4922-BFEA-B48FD11A79C6
---------------------------------------------------
APFS Volume Disk (Role): disk3s6 (VM)
Name: VM (Case-insensitive)
Mount Point: /System/Volumes/VM
Capacity Consumed: 20480 B (20.5 KB)
Sealed: No
FileVault: No
</pre>

iostat esitab ainult füüsiliste seadmete kohta info, huvitaval kombel ka time machine lahendusele vastava seadme (disk4) oma

<pre>
imreoolberg@Imres-MacBook-Air ~ % iostat 5
disk0 disk4 cpu load average
KB/t tps MB/s KB/t tps MB/s us sy id 1m 5m 15m
17.03 37 0.61 52.37 0 0.00 3 1 96 1.12 1.52 1.63
6.17 7 0.04 0.00 0 0.00 2 1 97 1.11 1.51 1.63
4.00 2 0.01 0.00 0 0.00 1 1 98 1.11 1.51 1.63
...
</pre>

Automaatse monteerimise vältimine

<pre>
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored" | grep "Volume UUID"
Volume UUID: CB4A4A81-A9EE-471D-90CA-7A116C740AC6
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored - Data" | grep "Volume UUID"
Volume UUID: 6AB10166-A262-4E22-8FE6-0D5C97C731FB

Imres-MacBook-Air:~ root# vifs

Imres-MacBook-Air:~ root# cat /etc/fstab
#
# Warning - this file should only be modified with vifs(8)
#
# Failure to do so is unsupported and may be destructive.
#

UUID=6AB10166-A262-4E22-8FE6-0D5C97C731FB none apfs rw,noauto
UUID=CB4A4A81-A9EE-471D-90CA-7A116C740AC6 none apfs rw,noauto
</pre>

Vastasel korral süsteem otsib teiselt volume'ilt ka nt Applicationid üles

[[Fail:20250903-spotlight-01.png|600px]]

Kopeerimine failisüsteemis

<pre>
Imres-MacBook-Air:~ root# ditto /Applications/Yubico\ Authenticator.app/ /Users/imreoolberg/Documents/Yubico\ Authenticator.app/
</pre>

Finder GUI liidesega programm.

USB pulk abil apsf opereerimine, volume lisamine

<pre>
Imres-MacBook-Air:~ root# diskutil eraseDisk APFS "USBTEST" /dev/disk4

Imres-MacBook-Air:~ root# diskutil apfs unlockVolume /dev/disk5s4

Imres-MacBook-Air:~ root# diskutil apfs addVolume disk5 APFS volume-05
Will export new APFS Volume "volume-05" from APFS Container Reference disk5
Started APFS operation on disk5
Preparing to add APFS Volume to APFS Container disk5
Creating APFS Volume
Created new APFS Volume disk5s5
Mounting APFS Volume
Setting volume permissions
Disk from APFS operation: disk5s5
Finished APFS operation on disk5

Imres-MacBook-Air:~ root# diskutil unmount /dev/disk5s5
Volume volume-05 on disk5s5 unmounted
Imres-MacBook-Air:~ root# diskutil mount /dev/disk5s5
Volume volume-05 on /dev/disk5s5 mounted

Imres-MacBook-Air:~ root# diskutil apfs deleteVolume /dev/disk5s4
Started APFS operation
Deleting APFS Volume from its APFS Container
Unmounting disk5s4
Erasing any xART session referenced by 9AC9146E-455D-45BA-99EC-3FE32D2CE59B
Deleting Volume
Removing any Preboot and Recovery Directories
Finished APFS operation
</pre>

Konteinerid ja volume'id

<pre>
Imres-MacBook-Air:~ root# df -h | grep part- | sort
/dev/disk5s1 1.9Gi 1.0Mi 1.9Gi 1% 109 19M 0% /Volumes/part-01-volume-01
/dev/disk6s1 3.7Gi 1.0Mi 3.7Gi 1% 109 39M 0% /Volumes/part-02-volume-01
/dev/disk7s1 11Gi 1.0Mi 11Gi 1% 113 119M 0% /Volumes/part-03-volume-01
/dev/disk8s1 12Gi 992Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-01
/dev/disk8s2 12Gi 988Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-02
/dev/disk8s3 12Gi 1.0Mi 11Gi 1% 105 120M 0% /Volumes/part-04-volume-03
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# diskutil list disk4
/dev/disk4 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *30.8 GB disk4
1: EFI EFI 209.7 MB disk4s1
2: Apple_APFS Container disk5 2.0 GB disk4s2
3: Apple_APFS Container disk6 4.0 GB disk4s3
4: Apple_APFS Container disk7 12.2 GB disk4s4
5: Apple_APFS Container disk8 12.4 GB disk4s5
</pre>

kus

* füüsiline ketas on /dev/disk4
* füüsilise ketta partitsioonid on konteinerid /dev/disk5, /dev/disk6 jne
* konteinerite sees on volume'id, nt disk8 sees on kolm tükki, s1, s2 ja s3

ning

[[Fail:20250909-disk-utility-01.png|800px]]

kus

* TODO

Failide arhiveerime ja kopeerimine süsteemist välja

<pre>
imreoolberg@Imres-MacBook-Air ~ % ditto -ck --sequesterRsrc /Users/imreoolberg /Volumes/imre-data-01/users-imreoolberg.zip
</pre>

====TRIM====

<pre>
Imres-MacBook-Air:~ root# system_profiler SPNVMeDataType
NVMExpress:

Apple SSD Controller:

APPLE SSD AP0256Z:

Capacity: 251 GB (251,000,193,024 bytes)
TRIM Support: Yes
Model: APPLE SSD AP0256Z
Revision: 2,077.140
Serial Number: 0ba028eb8328ce39
Detachable Drive: No
BSD Name: disk0
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
iSCPreboot:
Capacity: 524.3 MB (524,288,000 bytes)
BSD Name: disk0s1
Content: Apple_APFS_ISC
Macintosh HD:
Capacity: 245.11 GB (245,107,195,904 bytes)
BSD Name: disk0s2
Content: Apple_APFS
Recovery:
Capacity: 5.37 GB (5,368,664,064 bytes)
BSD Name: disk0s3
Content: Apple_APFS_Recovery

Generic SSD Controller:

WD_BLACK SN850XE 4000GB:

Capacity: 4 TB (4,000,787,030,016 bytes)
TRIM Support: Yes
Model: WD_BLACK SN850XE 4000GB
Revision: 624131EX
Serial Number: 24525S801688
Link Width: x4
Link Speed: 8.0 GT/s
Detachable Drive: No
BSD Name: disk4
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
EFI:
Capacity: 209.7 MB (209,715,200 bytes)
File System: MS-DOS FAT32
BSD Name: disk4s1
Content: EFI
Volume UUID: 0E239BC6-F960-3107-89CF-1C97F78BB46B
PRO-G40:
Capacity: 4 TB (4,000,577,273,856 bytes)
BSD Name: disk4s2
Content: Apple_APFS
</pre>

kus

* TRIM Support: Yes - trim on nendel seadmetel asuvatel apfs failisüsteemidel võimalik ja kohal st sisselülitatud
* apfs trim on ext4 fstab 'discard' sarnane, mitte 'fstrim /' cron jobs abil ütlemise sarnane
* Model: APPLE SSD AP0256Z - '256' väljendab suurust 256 GB, nt teine mudel on AP1024Z ja väljendab suurust 1 TB

===Launchd kasutamine===

<pre>
Imres-MacBook-Air:/ root# cat /Library/LaunchDaemons/com.myname.addroute.plist
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key>
<string>com.myname.addroute</string>
<key>ProgramArguments</key>
<array>
<string>/sbin/route</string>
<string>-n</string>
<string>add</string>
<string>192.0.2.1/32</string>
<string>192.168.64.2</string>
</array>
<key>RunAtLoad</key>
<true/>
</dict>
</plist>
</pre>

käivitamiseks

<pre>
Imres-MacBook-Air:/ root# launchctl load /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

tulemusena

<pre>
Imres-MacBook-Air:/ root# netstat -nr | grep 192.0.
192.0.2.1/32 192.168.64.2 UGSc bridge100
</pre>

Ta on olemas globaalses launched listis

<pre>
Imres-MacBook-Air:/ root# launchctl list | grep myn
- 0 com.myname.addroute
</pre>

Põhimõtteliselt peaks töötama ka unload, aga antud juhul ei oma see toimet selle konkreetse nähtuse one-shot olemuse tõttu

<pre>
Imres-MacBook-Air:/ root# launchctl unload /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

====Cron====

TODO

<pre>
Imres-MacBook-Air:~ root# plutil -p /System/Library/LaunchDaemons/com.apple.tmp_cleaner.plist
{
"Label" => "com.apple.tmp_cleaner"
"LowPriorityIO" => 1
"Nice" => 1
"ProgramArguments" => [
0 => "/usr/libexec/tmp_cleaner"
]
"StartCalendarInterval" => {
"Hour" => 0
}
}
</pre>

===Virtualiseerimine - UTM===

Süsteemis kirjeldatud virtuaalsed arvutid

<pre>
Imres-MacBook-Air:/ root# /System/Volumes/Data/Applications/UTM.app/Contents/MacOS/utmctl list
UUID Status Name
DE2A3E49-B049-40F9-9D79-3C1448B446C9 started vm-deb13-01
</pre>

Virtuaalse arvuti virtuaalne plokkseade

<pre>
Imres-MacBook-Air:/ root# du -sh /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
5.9G /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
</pre>

Virtuaalsele arvutile vastav võrgundus

<pre>
Imres-MacBook-Air:/ root# ifconfig bridge100
bridge100: flags=8a63<UP,BROADCAST,SMART,RUNNING,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
options=3<RXCSUM,TXCSUM>
ether fa:73:df:a0:51:64
inet 192.168.64.1 netmask 0xffffff00 broadcast 192.168.64.255
inet6 fe80::f873:dfff:fea0:5164%bridge100 prefixlen 64 scopeid 0x19
inet6 fda5:2ff0:49ee:6d45:14d7:6e80:6b22:c592 prefixlen 64 autoconf secured
Configuration:
id 0:0:0:0:0:0 priority 0 hellotime 0 fwddelay 0
maxage 0 holdcnt 0 proto stp maxaddr 100 timeout 1200
root id 0:0:0:0:0:0 priority 0 ifcost 0 port 0
ipfilter disabled flags 0x0
member: vmenet0 flags=3<LEARNING,DISCOVER>
ifmaxaddr 0 port 24 priority 0 path cost 0
Address cache:
5e:7f:36:30:6b:51 Vlan1 vmenet0 1161 flags=0<>
nd6 options=201<PERFORMNUD,DAD>
media: autoselect
status: active

Imres-MacBook-Air:/ root# ifconfig vmenet0
vmenet0: flags=8963<UP,BROADCAST,SMART,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
ether b2:7a:48:40:de:47
media: autoselect
status: active
</pre>

===Virtualiseerimine - Virtualization.framework===

TODO

Väited

* Virtualization.framework kasutamine on võimalik UTM lahendusega
* Virtualization.framework'i kasutab Rancher Desktop lahendendus
* Virtualization.framework'i kasutab Claude Desktop lahendendus (Claude Cowork ja Claude Code puhul)

Virtuaalsetele arvutitele vastavad protsessid paistavad sellised

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep Virtuali
imreoolberg 9439 0.9 4.3 439637536 728784 ?? Ss 5:05PM 8:35.18 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
imreoolberg 2439 0.3 0.3 439691712 46720 ?? Ss 10:05AM 4:55.14 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 2439 -P -n | grep claudevm
com.apple 2439 imreoolberg txt REG 1,13 131072 124423025 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/efivars.fd
com.apple 2439 imreoolberg 6u REG 1,13 10737418240 124154442 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/rootfs.img
com.apple 2439 imreoolberg 11u REG 1,13 35880960 124155054 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/sessiondata.img
</pre>

Kasulikud lisamaterjalid

* https://developer.apple.com/documentation/virtualization?language=objc

===Võrk===

Vaikimisi on application firewall välja lülitatud

<pre>
Imres-MacBook-Air:~ root# /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is disabled. (State = 0)
</pre>

ning pfctl olukord

<pre>
Imres-MacBook-Air:~ root# pfctl -si
No ALTQ support in kernel
ALTQ related functions disabled
Status: Enabled for 0 days 00:05:41 Debug: Urgent

State Table Total Rate
current entries 113
searches 11661 34.2/s
inserts 370 1.1/s
removals 257 0.8/s
Counters
match 579 1.7/s
bad-offset 0 0.0/s

Imres-MacBook-Air:~ root# pfctl -ss
No ALTQ support in kernel
ALTQ related functions disabled
ALL tcp 192.168.134.76:57540 -> 192.168.10.77:8291 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61048 <- 104.18.39.21:443 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61225 -> 192.168.10.196:80 ESTABLISHED:ESTABLISHED
ALL udp 192.168.134.76:49898 -> 142.251.151.119:443 MULTIPLE:MULTIPLE
..
</pre>

Parasjagu avatud võrgusoketid

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4TCP -sTCP:LISTEN
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 8u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 12u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 36u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
launchd 1 root 38u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
ControlCe 632 imreoolberg 10u IPv4 0xde3561cefae81e29 0t0 TCP *:7000 (LISTEN)
ControlCe 632 imreoolberg 12u IPv4 0xbbbca5f5375388e5 0t0 TCP *:5000 (LISTEN)
rapportd 633 imreoolberg 10u IPv4 0x7505a25821d3a7df 0t0 TCP *:49152 (LISTEN)
zabbix_ag 6815 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
zabbix_ag 6816 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
...
</pre>

kus

* vaikimisi pfctl ei ole aktiivne, aga nt utm virtuaalse arvuti käivitamine aktiveerib (pfctl teeb utm arvutile src-nat teisendust
* pfctl laseb praktiliselt igasuguse liikluse läbi (nö tavaline brauser -> internet liiklus jms nö registreeritakse pfctl paketifiltriga, aga lubatakse läbi)
* 8021 on pfctl ftp-proxy mooduliga seotud
* 7000 ja 5000 pordid on seotud airdrop ja airport jms osakondadega (airport on vana aja nimetus everything-wifi kohta mac puhul)

Misc

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4UDP
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 7u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 8u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 39u IPv4 0x8d461240652f3ced 0t0 UDP *:138
launchd 1 root 40u IPv4 0xb4b96b1c5de038ec 0t0 UDP *:137
mDNSRespo 441 _mdnsresponder 6u IPv4 0x2d5727fb23b4e854 0t0 UDP *:5353
mDNSRespo 441 _mdnsresponder 14u IPv4 0x1ed59c3cb4235fee 0t0 UDP *:53
airportd 455 root 4u IPv4 0x6e0c4f2c444299c 0t0 UDP *:*
airportd 455 root 9u IPv6 0xea04c0f07ef2ac65 0t0 UDP *:*
airportd 455 root 11u IPv4 0xb4a853f1977e96bf 0t0 UDP *:*
airportd 455 root 12u IPv4 0x6e9d20d0d8a5c95f 0t0 UDP *:*
...
</pre>

====Riistvara====

Võrguliidese MTU muutmiseks

<pre>
imreoolberg@Imres-MacBook-Air ~ % networksetup -listallnetworkservices
An asterisk (*) denotes that a network service is disabled.
USB 10/100/1000 LAN
USB 10/100/1G/2.5G LAN
USB 10/100/1G/2.5G LAN 2
Thunderbolt Bridge
Wi-Fi

imreoolberg@Imres-MacBook-Air ~ % networksetup -getMTU Wi-Fi
Active MTU: 1500 (Current Setting: 1500)

# networksetup -setMTU Wi-Fi 1400
</pre>

====Ruuting====

ipv4 ruutingutabeli esitamine

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet
Routing tables

Internet:
Destination Gateway Flags Netif Expire
default 192.168.134.77 UGScg en0
127 127.0.0.1 UCS lo0
127.0.0.1 127.0.0.1 UH lo0
169.254 link#12 UCS en0 !
192.168.134 link#12 UCS en0 !
192.168.134.2/32 link#12 UCS en0 !
192.168.134.77/32 link#12 UCS en0 !
192.168.134.77 64:d1:54:a7:cc:99 UHLWIir en0 1199
192.168.134.255 ff:ff:ff:ff:ff:ff UHLWbI en0 !
224.0.0/4 link#12 UmCS en0 !
224.0.0.251 1:0:5e:0:0:fb UHmLWI en0
255.255.255.255/32 link#12 UCS en0 !
</pre>

====Võrk - bluetooth====

Kuigi 2025 aastal müüdavate Apple Magic Keyboard puhul paljuski väljendatakse, et nad on kasutatavad wireless režiimis ja jääb mulje, et ainult nii, siis osutub, et tegelikult neil on toiteks mõeldud usb kaabel usb siiski ka andmevahetuseks võimaline. non-radio kasutamiseks

* system setting - bluetooth osakonnas lülitada välja bluetooth terviklikult, näiteks
* klaviatuur jätkab töötamist

====Võrk - wireless====

<pre>
Imres-MacBook-Air:~ root# wdutil info | head -n 44
————————————————————————————————————————————————————————————————————
NETWORK
————————————————————————————————————————————————————————————————————
Primary IPv4 : en0 (Wi-Fi / 9B1345E5-7303-47E8-9C98-5C1D150E7921)
: 192.168.134.74
Primary IPv6 : None
DNS Addresses : 1.1.1.1
Apple : Reachable
————————————————————————————————————————————————————————————————————
WIFI
————————————————————————————————————————————————————————————————————
MAC Address : <redacted> (hw=<redacted>)
Interface Name : en0
Power : On [On]
Op Mode : STA
SSID : <redacted>
BSSID : <redacted>
RSSI : -83 dBm
CCA : 2 %
Noise : -94 dBm
Tx Rate : 65.0 Mbps
Security : WPA2 Personal
PHY Mode : 11ac
MCS Index : 1
Guard Interval : 400
NSS : 1
Channel : 5g36/80
Country Code : EE
Scan Cache Count : 3
NetworkServiceID : 9B1345E5-7303-47E8-9C98-5C1D150E7921
IPv4 Config Method : DHCP
IPv4 Address : 192.168.134.74
IPv4 Router : 192.168.134.77
IPv6 Config Method : Automatic
IPv6 Address : fe80::ccb:dc0f:9b07:4271
IPv6 Router : None
DNS : 1.1.1.1
BTC Mode : Off
Desense :
Chain Ack : []
BTC Profile 2.4GHz : Disabled
BTC Profile 5GHz : Disabled
Sniffer Supported : YES
Supports 6e : Yes
</pre>

kus

* alumiselt pildilt tunneb ära sama info, nt channel 5g36/80
* 11ac tähistab protokolli 802.11ac

Visuaalne kujutis samas olukorras

[[Fail:20260718-macos-wifi-01.png|1000px]]

kus

* TODO

====SSH kaugligipääs====

Eemalt ligipääsu võimaldamiseks, ei pruugi olla hea mõte

[[Fail:20260706-macos-ssh-remote-access-01.png|600px]]

kus

* Remote Login

===Tarkvara haldus===

====Mõisted====

* DMG - disk image

====Sissejuhatus====

Üldiselt tekib tarkvara macos süsteemi kolmest allikast

* süsteemne tarkvara - nö süsteemi enda paigaldamise tagajärel, nt Safari brauser
* App Store - apple.com standardne viis tarkvara levitada, nt Yubico Authenticator
* tootja levitab - igasugused huvilised, ausama ja vähem ausamad levitavad .dmg formaadis tõmmist oma veebikohas/repos/jms - nt BetterTouchTool

Tarkvara paigaldamisel võiks eelistada App Store lahendust võimalusel

* tarkvara on läbinud teatud turvalisuse jms kaanonitega seotud protseduurid
* paigaldamise järgne uuendamine toimub automaatselt, sarnaselt põhisüsteemi tarkvaraga

Rakenduste jaoks on üldiselt kolm asukohta failisüsteemis

* /System/Applications - read only
* /Applications - read write
* ~/Applications ehk nt /Users/imreoolberg/Applications - read write

~/Applications kataloogi on realistlik paigaldada nö lihtsat tarkvara, nt mis ei sisalda kernel extensioneid vms (nt OpenVPN ei saa, aga XCA saab). Paigaldamine toimub Finder gui liideses .dmg sees oleva .app kataloogi vedamise teel ~/Applications kataloogi või käsureal nt

$ ditto /Volumes/XCA/xca.app ~/Applications

====Tarkvara allikad====

TODO

Mitte-ametlikud registrid

* https://www.macupdate.com/
* https://www.apponic.com/mac/

====Tööpõhimõte - drag-and-drop install====

Tundub, et lihtsamal juhul tarkvara paigaldamine seisneb lihtsalt failide kopeerimises .dmg failist arvuti kataloogi /Applications. .dmg faili moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil create -ov -fs "APFS" -size 200m -volname "SimpleCalc" MyDisk.dmg
</pre>

monteerimine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil attach MyDisk.dmg
</pre>

Sisu moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % date > /Volumes/SimpleCalc/testfile.txt
</pre>

lahti ühendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil detach /Volumes/SimpleCalc
</pre>

teisendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil convert MyDisk.dmg -format UDZO -o SimpleCalc-1.0.dmg
</pre>

Kui on soov läbi proovida nö omatehtud .dmg ja elamus, siis sobib

* mingi olemasolev lihtne .app põhine rakendus võtta aluseks - nt xca rakendus
* tema sisu kopeerida omatehtud .dmg sisse
* lõpuks selle abil tarkvara paigaldada

Osutub, et kui Finderis öelda Open siis monteeritaks .dmg nagu virtuaalne failipõhine plokkseade, mille juurkataloogi sisuks on peamiselt kaks sissekannet

* link /Applications kataloogile
* xca.app kataloog rakendusega

Ja Open avab ka nö erilises vaates Finderi, kus on näha nö traditsiooniline hiirega drag-and-drop install vaade, tehniliselt toimub tavaline kataloog-kopeeritakse-kataloogi muudatus.

MacOS sellist drag viisil tehtud tarkvara paigalduse ei registreeri kuskil keskses tarkvara-registris vms. Selline tarkvara paigaldamine on tehniliselt kataloogi kopeerimine, millega kaasneb signatuuri kontroll jms administratiivne element.

====Tööpõhimõte - installer packages====

<pre>
$ pkgutil --packages
$ pkgutil --files paketinimi
</pre>

====Paigaldatud tarkvara nimekirja esitamine====

GUI

<pre>
System Settings -> General -> System report -> Software -> Applications -> not obtained-from Apple
</pre>

käsurealt

<pre>
imreoolberg@Imres-MacBook-Air ~ % system_profiler SPApplicationsDataType | grep -B 3 -A 5 "Identified De" | head -n 20
Google Chrome:

Version: 140.0.7339.81
Obtained from: Identified Developer
Last Modified: 30.08.2025, 01:47
Kind: Universal
Signed by: Developer ID Application: Google LLC (EQHXZ8M8AV), Developer ID Certification Authority, Apple Root CA
Location: /Applications/Google Chrome.app
Get Info String: Google Chrome 140.0.7339.81, Copyright 2025 Google LLC. All rights reserved.
--
iTerm:

Version: 3.5.14
Obtained from: Identified Developer
Last Modified: 16.05.2025, 02:59
Kind: Universal
Signed by: Developer ID Application: GEORGE NACHMAN (H7V7XYVQ7D), Developer ID Certification Authority, Apple Root CA
Location: /Applications/iTerm.app
Get Info String: 3.5.14
--
</pre>

Üks viis on küsida failisüsteemis

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep imreoo
drwxr-xr-x@ 3 imreoolberg staff 96 Sep 3 11:10 /Applications/BetterTouchTool.app
drwxrwxr-x@ 3 imreoolberg admin 96 Aug 30 01:47 /Applications/Google Chrome.app
drwxr-xr-x@ 3 imreoolberg staff 96 May 16 02:59 /Applications/iTerm.app
drwxr-xr-x@ 3 imreoolberg admin 96 Apr 8 08:11 /Applications/UTM.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 25 15:41 /Applications/Visual Studio Code.app

imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep qdigi
drwxr-xr-x@ 3 root wheel 96 Sep 8 16:56 /Applications/qdigidoc4.app
</pre>

kus

* sõltuvalt paigaldusviisist on faili omanik erinev
* põhimõtteliselt tekib sellisest lähenemisest probleeme, nt mis siis kui süsteemil on mitu kasutajat, installinud kasutaja eemaldatakse jne - üks viis on kasutada süsteemis ühte non-personal administraator kasutajat kes tegeleb tarkvara paigaldamisega jms, ja ülejäänud kasutavad tarkvara
* @ tähistab asjaolu, et failiga on seotud apfs failisüsteemi extended attributs omadused, nt registreeritakse sedasi autor

<pre>
imreoolberg@Imres-MacBook-Air ~ % xattr -p com.apple.appstore.vendor_name "/Applications/Yubico Authenticator.app"
Yubico
</pre>

====Paigaldamine - App Store====

TODO

[[Fail:20250908-app-store-yubico-authenticator-01.png|900px]]

kus

* pressida Get -> Install -> Open
* tarkvara 'Obtained from' väärtuseks on 'App store'
* online otsing - https://www.apple.com/us/search/yubico?src=globalnav

====Paigaldamine - tootja juurest kopeerides====

TODO

====Tarkvara uuendamine====

Väited

* tarkvara uuendusi ei väljastata kindlaksmääratud aegadel (nt nagu Ubuntu või OpenBSD puhul)
* tarkvara uuendusi väljastatakse mitmel korral aastas ja vastavalt vajadusele
* tarkvara uuendused jaotuvad: 1. turva-uuendused, 2. vigade parandused, 3. funktsionaalsed muudatused
* tarkvara uuendusi koheldatakse terviklikult, st ei ole eraldi nt süsteemi osas ja rakendustarkvara, või pakettide nimekiri, millest saab teha käesoleva uuenduse korra jaoks valiku

Nt 2025 aastal on olnud selline uuenduste ajalugu

* January 27: macOS Sequoia 15.3, macOS Sonoma 14.7.3, and macOS Ventura 13.7.3 were released with security patches.
* February 10: An urgent security update, macOS Sequoia 15.3.1, was released.
* March 11: macOS Sequoia 15.3.2 was released, addressing security vulnerabilities in WebKit.
* March 31: macOS Sequoia 15.4, macOS Sonoma 14.7.5, and macOS Ventura 13.7.5 were released.
* April 16: macOS Sequoia 15.4.1 was released, providing security patches.
* May 12: macOS Sequoia 15.5, macOS Sonoma 14.7.6, and macOS Ventura 13.7.6 were released.
* July 29: macOS Sequoia 15.6, macOS Sonoma 14.7.7, and macOS Ventura 13.7.7 were released.
* August 20: macOS Sequoia 15.6.1 was released with security updates.

Käsundamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % sw_vers
ProductName: macOS
ProductVersion: 15.3
BuildVersion: 24D2059

imreoolberg@Imres-MacBook-Air ~ % softwareupdate -l
Software Update Tool

Finding available software
Software Update found the following new or updated software:
* Label: macOS Sequoia 15.6.1-24G90
Title: macOS Sequoia 15.6.1, Version: 15.6.1, Size: 6160384KiB, Recommended: YES, Action: restart,
</pre>

====Tarkvara uuendamine - App Store====

App Store rakendus vasakus paneelis on kõige all valik

Updates

[[Fail:20251203-macos-app-store-updates-01.png|800px]]

===Logi===

TODO

Kui klaviatuuri ja hiire kasutamine olid ebastabiilsed, siis soovitas gemini.google midagi sellist küsida, ei tea mis siit järeldada

<pre>
imreoolberg@Imres-MacBook-Air ~ % log show --predicate 'process == "WindowServer"' --style syslog --last 40m| grep -i skyl | tail -n 10
2026-07-06 00:49:00.495406+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:00.600614+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.751674+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.767823+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.824865+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] pid 771 failed to act on a ping it dequeued before timing out.
2026-07-06 00:49:00.847454+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.083920+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.175320+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.498496+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:01.498503+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
</pre>

===Misc===

====Screen Lock====

Tundub, et caffeinate on hästi efektiivne

$ caffeinate -di

====Watchdog====

Väited

* hardware watchdog on paratamatult sisse lülitatud
* software watchdog on seaditatav, vaikimisi on sisse lülitatud

<pre>
TODO
</pre>

====Programm====

Käivitamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % open -a BetterTouchTool
imreoolberg@Imres-MacBook-Air ~ %

imreoolberg@Imres-MacBook-Air ~ % "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
13:09:53.164 [desktop.init] INFO: Logging initialized, outputting to stderr
13:09:53.173 [desktop.init] INFO: Window hidden on startup: false
13:09:53.174 [desktop.init] INFO: Starting Helper subprocess: /Applications/Yubico Authenticator.app/Contents/Resources/helper/authenticator-helper
13:09:53.175 [desktop.init] INFO: Helper process started
13:09:53.176 [main] INFO: Running Yubico Authenticator...
{app_version: 7.2.3, dart: 3.8.1 (stable) (Wed May 28 00:47:25 2025 -0700) on "macos_arm64", os: macos, os_version: Version 15.6.1 (Build 24G90)}
13:09:53.302 [helper.ykman.logging] INFO: Logging at level: INFO
13:09:53.302 [helper.helper.device] INFO: Log level set to: INFO
13:09:53.302 [desktop.init] INFO: Helper log level set
13:09:53.327 [desktop.devices] INFO: USB state change
{"data":{"state":5740354900026072187,"pids":{}},"actions":["get","scan"],"children":{}}
13:09:53.327 [desktop.devices] INFO: USB state updated, unaccounted for: {}
..
</pre>

edasi

<pre>
Imres-MacBook-Air:/ root# file "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator: Mach-O universal binary with 2 architectures: [x86_64:Mach-O 64-bit executable x86_64] [arm64:Mach-O 64-bit executable arm64]
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture x86_64): Mach-O 64-bit executable x86_64
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture arm64): Mach-O 64-bit executable arm64
Imres-MacBook-Air:/ root#
</pre>

<pre>
imreoolberg@Imres-MacBook-Air Documents % cat hello.c
#include <stdio.h>

int main() {
printf("Hello, World!\n");
return 0;
}
</pre>

kompileerimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % clang hello.c -o hello
</pre>

käivitamine

<pre>
imreoolberg@Imres-MacBook-Air Documents % ./hello
Hello, World!
</pre>

otool abil binary uurimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % otool -L hello
hello:
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1351.0.0)
</pre>

yubico authenticator binary uurimine

<pre>
Imres-MacBook-Air:/ root# otool -L "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture x86_64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture arm64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
</pre>

kus

* @rpath viitab rakenduse kapsli sisestele ressurssidele

====dtruss====

<pre>
Imres-MacBook-Air:/ root# dtruss -p 65630 2>&1 | tail -n 1

: probe description syscall:::entry does not match any probes. System Integrity Protection is on

imreoolberg@Imres-MacBook-Air Documents % dtruss ./hello
dtrace: system integrity protection is on, some features will not be available
dtrace: failed to initialize dtrace: DTrace requires additional privileges
</pre>

====Screenshot====

Tähistatud ala

<pre>
Command + Shift + 4
</pre>

Kogu ekraan

<pre>
Command + Shift + 3
</pre>

Screen cast

<pre>
Command + Shift + 5
</pre>

Vaikimisi asub pildistus iseloomuliku nimega failis desktopil.

===Süsteemi taastamine===

====Recovery meedia ettevalmistamine====

<pre>
Imres-MacBook-Air:/ root# diskutil eraseDisk JHFS+ "MyVolume" /dev/disk4
Started erase on disk4
Unmounting disk
Creating the partition map
Waiting for partitions to activate
Formatting disk4s2 as Mac OS Extended (Journaled) with name MyVolume
Initialized /dev/rdisk4s2 as a 28 GB case-insensitive HFS Plus volume with a 8192k journal
Mounting disk
Finished erase on disk4

Imres-MacBook-Air:/ root# /Applications/Install\ macOS\ Sequoia.app/Contents/Resources/createinstallmedia --volume /Volumes/MyVolume
Ready to start.
To continue we need to erase the volume at /Volumes/MyVolume.
If you wish to continue type (Y) then press return: y
Erasing disk: 0%... 10%... 20%... 30%... 100%
Copying essential files...
Copying the macOS RecoveryOS...
Making disk bootable...
Copying to disk: 0%... 10%... 20%... 30%... 40%... 50%... 60%... 70%... 80%... 90%... 100%
Install media now available at "/Volumes/Install macOS Sequoia"
Imres-MacBook-Air:/ root# echo $?
0

# diskutil unmount /Volumes/Install\ macOS\ Sequoia
</pre>

Protseduur

1. Create a New APFS Volume
The first step is to create a new, separate volume on your internal drive where you will restore the backup.

Boot from your USB installer by holding the Option key on startup.

In the macOS Utilities window, select Disk Utility and click Continue.

In Disk Utility, go to the menu bar and select View > Show All Devices.

In the sidebar, select the APFS container (the device, not the volume) that holds your current macOS installation.

Click the + button in the toolbar to add a new APFS volume.

Give the new volume a name (e.g., "macOS Restored") and click Add. This process is very fast as APFS volumes share the same free space.

Once the new volume appears in the sidebar, close Disk Utility.

2. Restore the Backup to the New Volume
Now that the new volume is ready, you can restore your Time Machine backup to it.

From the macOS Utilities window, select Restore From Time Machine Backup and click Continue.

Follow the on-screen instructions, selecting your Time Machine backup drive when prompted.

When the installer asks you to choose a destination disk, you will see your original macOS volume and the new "macOS Restored" volume you just created.

Select the new "macOS Restored" volume as the destination for the restoration. The installer will then proceed to restore the system to that specific volume only.

After the restoration is complete, you can restart your Mac and, by holding down the Option key, you will be able to choose between your original macOS system and the restored system on the second volume.

===homebrew===

<pre>
imre@imre-mac ~ % /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
==> Checking for `sudo` access (which may request your password)...
Password:
==> This script will install:
/opt/homebrew/bin/brew
/opt/homebrew/share/doc/homebrew
/opt/homebrew/share/man/man1/brew.1
/opt/homebrew/share/zsh/site-functions/_brew
/opt/homebrew/etc/bash_completion.d/brew
/opt/homebrew
/etc/paths.d/homebrew
==> The following new directories will be created:
/opt/homebrew/bin
/opt/homebrew/etc
/opt/homebrew/include
/opt/homebrew/lib
/opt/homebrew/sbin
/opt/homebrew/share
/opt/homebrew/var
/opt/homebrew/opt
/opt/homebrew/share/zsh
/opt/homebrew/share/zsh/site-functions
/opt/homebrew/var/homebrew
/opt/homebrew/var/homebrew/linked
/opt/homebrew/Cellar
/opt/homebrew/Caskroom
/opt/homebrew/Frameworks
==> The Xcode Command Line Tools will be installed.

Press RETURN/ENTER to continue or any other key to abort:
==> /usr/bin/sudo /usr/bin/install -d -o root -g wheel -m 0755 /opt/homebrew
==> /usr/bin/sudo /bin/mkdir -p /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod ug=rwx /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod go-w /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions
==> /usr/bin/sudo /usr/sbin/chown imre /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/bin/chgrp admin /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/sbin/chown -R imre:admin /opt/homebrew
==> Searching online for the Command Line Tools
==> /usr/bin/sudo /usr/bin/touch /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Installing Command Line Tools for Xcode-16.4
==> /usr/bin/sudo /usr/sbin/softwareupdate -i Command\ Line\ Tools\ for\ Xcode-16.4
Software Update Tool

Finding available software

Downloading Command Line Tools for Xcode

Downloaded Command Line Tools for Xcode
Installing Command Line Tools for Xcode
Done with Command Line Tools for Xcode
Done.
==> /usr/bin/sudo /usr/bin/xcode-select --switch /Library/Developer/CommandLineTools
Password:
Sorry, try again.
Password:
==> /usr/bin/sudo /bin/rm -f /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Downloading and installing Homebrew...
remote: Enumerating objects: 310493, done.
remote: Counting objects: 100% (16399/16399), done.
remote: Compressing objects: 100% (608/608), done.
remote: Total 310493 (delta 15991), reused 15838 (delta 15791), pack-reused 294094 (from 3)
remote: Enumerating objects: 55, done.
remote: Counting objects: 100% (34/34), done.
remote: Total 55 (delta 33), reused 33 (delta 33), pack-reused 21 (from 1)
==> /usr/bin/sudo /bin/mkdir -p /etc/paths.d
==> /usr/bin/sudo tee /etc/paths.d/homebrew
/opt/homebrew/bin
==> /usr/bin/sudo /usr/sbin/chown root:wheel /etc/paths.d/homebrew
==> /usr/bin/sudo /bin/chmod a+r /etc/paths.d/homebrew
==> Updating Homebrew...
==> Downloading https://ghcr.io/v2/homebrew/portable-ruby/portable-ruby/blobs/sha256:20fa657858e44a4b39171d6e4111f8a9716eb62a78ebbd1491d94f90bb7b830a
################################################################################################################################################################ 100.0%
==> Pouring portable-ruby-3.4.5.arm64_big_sur.bottle.tar.gz
==> Installation successful!

==> Homebrew has enabled anonymous aggregate formulae and cask analytics.
Read the analytics documentation (and how to opt-out) here:
https://docs.brew.sh/Analytics
No analytics data has been sent yet (nor will any be during this install run).

==> Homebrew is run entirely by unpaid volunteers. Please consider donating:
https://github.com/Homebrew/brew#donations

==> Next steps:
- Run these commands in your terminal to add Homebrew to your PATH:
echo >> /Users/imre/.zprofile
echo 'eval "$(/opt/homebrew/bin/brew shellenv)"' >> /Users/imre/.zprofile
eval "$(/opt/homebrew/bin/brew shellenv)"
- Run brew help to get started
- Further documentation:
https://docs.brew.sh

imre@imre-mac ~ %
</pre>

pyhton 3.13

<pre>
imre@imre-mac ti % brew install python@3.13
==> Fetching downloads for: python@3.13
==> Downloading https://ghcr.io/v2/homebrew/core/python/3.13/manifests/3.13.7
#################################################################################################################### 100.0%
==> Fetching dependencies for python@3.13: mpdecimal, ca-certificates, openssl@3, readline, sqlite and xz
==> Downloading https://ghcr.io/v2/homebrew/core/mpdecimal/manifests/4.0.1
#################################################################################################################### 100.0%
==> Fetching mpdecimal
...

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
==> Summary
🍺 /opt/homebrew/Cellar/python@3.13/3.13.7: 3,620 files, 66.6MB
==> Running `brew cleanup python@3.13`...
Disable this behaviour by setting `HOMEBREW_NO_INSTALL_CLEANUP=1`.
Hide these hints with `HOMEBREW_NO_ENV_HINTS=1` (see `man brew`).
==> No outdated dependents to upgrade!
==> Caveats
==> python@3.13
Python is installed as
/opt/homebrew/bin/python3

Unversioned symlinks `python`, `python-config`, `pip` etc. pointing to
`python3`, `python3-config`, `pip3` etc., respectively, are installed into
/opt/homebrew/opt/python@3.13/libexec/bin

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
imre@imre-mac ti %

(py_venv) imre@imre-mac ti % brew tap hashicorp/tap
==> Tapping hashicorp/tap
Cloning into '/opt/homebrew/Library/Taps/hashicorp/homebrew-tap'...
remote: Enumerating objects: 5818, done.
remote: Counting objects: 100% (1132/1132), done.
remote: Compressing objects: 100% (221/221), done.
remote: Total 5818 (delta 1015), reused 913 (delta 911), pack-reused 4686 (from 3)
Receiving objects: 100% (5818/5818), 1.01 MiB | 1.18 MiB/s, done.
Resolving deltas: 100% (4104/4104), done.
Tapped 2 casks and 32 formulae (93 files, 1.3MB).
(py_venv) imre@imre-mac ti % brew install hashicorp/tap/vault
</pre>

===Xcode Command Line Tools===

Xcide CLI koosseisu kuuluvad muu hulgas

* git
* clang
* gcc

Paigaldamiseks sobib öelda

<pre>
# xcode-select --install
</pre>

to check

<pre>
imreoolberg@Imres-MacBook-Air ~ % xcode-select -p
/Library/Developer/CommandLineTools
</pre>

===Spaces===

Väited

* Spaces võimaldab tegeleda macos peal virtuaalsete desktop'idega
* käitumist kontrollib üldiselt 'System Settings -> Desktop & Dock -> Displays have separate Spaces' väärtus (vaikimisi 'On')
* F3 klahv abil saab Spaces riba kuvada monitoride üleosas
* Space'i saab liigutada monitoride vahel hiirega tirides, v.a. aktiivset space'i
* Space'ide vahel saab liikuda Control + left/righ arrow key abil
* Rakendust saab liigutada space'ide vahel minnes nn Mission Control vaatesse ja siis hiirega rakenduse akent lohistades
* Space sulgemisel paigutatakse vastavad aknad eelmisele space'ile

===Kellaaeg===

Süsteemi aeg

<pre>
Imres-MacBook-Air:~ root# date
Sat Sep 13 23:36:17 EEST 2025
</pre>

NTP serverilt kellaaja küsimine

<pre>
Imres-MacBook-Air:~ root# sntp time.apple.com
+0.049514 +/- 0.014280 time.apple.com 17.253.38.35
</pre>

Väärtuse küsimine

<pre>
Imres-MacBook-Air:~ root# systemsetup -getnetworktimeserver
Network Time Server: time.euro.apple.com
</pre>

Väärtuse muutmine

<pre>
Imres-MacBook-Air:~ root# systemsetup -setnetworktimeserver time.euro.apple.com
</pre>

Logist kellaajaga seotud sündmuste kohta küsimine

<pre>
Imres-MacBook-Air:~ root# log stream --predicate 'subsystem == "com.apple.timed"
</pre>

Kas kellaaeg automaatne hoidmine on kasutuses

<pre>
Imres-MacBook-Air:~ root# systemsetup -getusingnetworktime
Network Time: On
</pre>

===BSD pärand===

<pre>
imreoolberg@Imres-MacBook-Air ~ % which openssl
/usr/bin/openssl
imreoolberg@Imres-MacBook-Air ~ % openssl version
LibreSSL 3.3.6

Imres-MacBook-Air:~ root# ssh -V
OpenSSH_9.9p2, LibreSSL 3.3.6

Imres-MacBook-Air:~ root# pfctl -v
No ALTQ support in kernel
ALTQ related functions disabled

Imres-MacBook-Air:~ root# netstat -nr -f inet
</pre>

Süsteemsete kasutajate nimed algavad alakriipsuga (nt sarnaselt toimib OpenBSD), nt timed (ntp local protsess) töötab kasutajana _timed

<pre>
Imres-MacBook-Air:~ root# ps aux | grep timed
_timed 373 0.0 0.0 426967056 4576 ?? Ss Tue02PM 0:03.41 /usr/libexec/timed
</pre>

/etc/passwd failis on palju nö legacy kasutajad mille nimi viitab nö klassikalisele lahendusele

<pre>
Imres-MacBook-Air:~ root# egrep "_postgres|_dovenull|_postfix|_avamis|_clamav|_cyrus|_mailman|_cvs|_mysql|_jabber|_ftp" /etc/passwd
_postfix:*:27:27:Postfix Mail Server:/var/spool/postfix:/usr/bin/false
_cvs:*:72:72:CVS Server:/var/empty:/usr/bin/false
_mysql:*:74:74:MySQL Server:/var/empty:/usr/bin/false
_cyrus:*:77:6:Cyrus Administrator:/var/imap:/usr/bin/false
_mailman:*:78:78:Mailman List Server:/var/empty:/usr/bin/false
_clamav:*:82:82:ClamAV Daemon:/var/virusmails:/usr/bin/false
_jabber:*:84:84:Jabber XMPP Server:/var/empty:/usr/bin/false
_ftp:*:98:-2:FTP Daemon:/var/empty:/usr/bin/false
_postgres:*:216:216:PostgreSQL Server:/var/empty:/usr/bin/false
_dovenull:*:227:227:Dovecot Authentication:/var/empty:/usr/bin/false
</pre>

===Süsteemi paigaldamine===

Eesmärk

* paigaldada töötav töökoha keskkond
* valmituda juhtumiks kui kasutaja parool kaob ja on vaja seda taastada (teha reset)

TODO

===Google Chrome brauser===

TODO

Google Chrome brauseril on lubatud kuvada ssh privaatset võtit, nt

file:///Users/imreoolberg/.ssh/id_ed25519

Analoogliselt on see lubatud Ubuntu 24.04 platvormil, aga nt OpenBSD puhul mitte (tänu unveil tehnoloogiale).

===GateKeeper===

Kui kopeerida internetist tarkvara nt .dmg kujul ja paigaldada, siis esimesel käivitamisel küsib süsteem, et kas ikka käivitada see internetist kopeeritud programm, küsimus ja vastusega tegelemine on seotud xattr parameetriga com.apple.quarantine

<pre>
Imres-MacBook-Air:~ root# xattr -p com.apple.quarantine /Applications/KeePassXC.app
0181;68c6f083;Chrome;AF698614-F806-4A2B-B66C-4B09CB133779
</pre>
ja
<pre>
# spctl
</pre>

ja

<pre>
Imres-MacBook-Air:~ root# sqlite3 /Users/imreoolberg/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2
SQLite version 3.43.2 2023-10-10 13:08:14
Enter ".help" for usage hints.

sqlite> .schema
CREATE TABLE LSQuarantineEvent ( LSQuarantineEventIdentifier TEXT PRIMARY KEY NOT NULL, LSQuarantineTimeStamp REAL, LSQuarantineAgentBundleIdentifier TEXT, LSQuarantineAgentName TEXT, LSQuarantineDataURLString TEXT, LSQuarantineSenderName TEXT, LSQuarantineSenderAddress TEXT, LSQuarantineTypeNumber INTEGER, LSQuarantineOriginTitle TEXT, LSQuarantineOriginURLString TEXT, LSQuarantineOriginAlias BLOB );
CREATE INDEX LSQuarantineEventIndex ON LSQuarantineEvent ( LSQuarantineEventIdentifier );
CREATE INDEX LSQuarantineTimeStampIndex ON LSQuarantineEvent ( LSQuarantineTimeStamp );

sqlite> select * from LSQuarantineEvent;
9446C9BF-45BE-49C7-8EBE-2F15796AC8C8|778543831.0|com.google.Chrome|Chrome||||0|||
BDC2404B-51CD-4561-B50B-97C0C4272BF4|778543831.0|com.google.Chrome|Chrome||||0|||
295142B0-B654-4691-9F45-774441058E9A|778543831.0|com.google.Chrome|Chrome||||0|||
E806F7A8-856B-4A57-ADD6-0FFC2CAEECCB|778543833.0|com.google.Chrome|Chrome||||0|||
</pre>

===Transparency, Consent, and Control (TCC)===

Esmakordsel käivitamisel küsitakse vahel kataloogide ja failide avamise õiguse kohta, sellega tegeleb TCC. Tulemus on paista nt

System Settings -> Privacy & Security -> KeePassXC -> xxx

<pre>
Imres-MacBook-Air:~ root# mdls -name kMDItemCFBundleIdentifier /Applications/KeePassXC.app
kMDItemCFBundleIdentifier = "org.keepassxc.keepassxc"
</pre>

ning eemaldamiseks

<pre>
Imres-MacBook-Air:~ root# tccutil reset All org.keepassxc.keepassxc
Successfully reset All approval status for org.keepassxc.keepassxc
</pre>

===Kasutajate haldamine===

Kasutaja tekitamiseks sobib

System Settings -> Users & Groups -> Add User -> ...

Teise kasutajana lisaks sisse logimiseks sobib kasutada

System Settings -> Control Center -> Fast User Switching -> ...

===Eesti id kaart===

TODO

Peale paigaldamist on

System Settings -> ID-updater

===Finder===

Finder programm on sarnane nö vana-aja Windows Explorer programmile või XFCE4 prorammile Thunar.

Vasaku sidebar ehk paneeli sisu muutmiseks sobib kasutada Finder -> Settings ja nt muuta nähtavaks kasutaja kodukataloog.

===XQuartz===

Väited

* X11 põhiste rakenduste töötamiseks vajalik tarkvara (nö linux traditsiooni juhtumiks)
* X2go töötamise eelduseks

===Locale===

MacOS on väga utf-8 keskne süsteem, graafiliste rakenduste ja käsurea osakonnas

<pre>
imreoolberg@Imres-MacBook-Air ~ % env | grep LANG
LANG=en_US.UTF-8

imreoolberg@Imres-MacBook-Air ~ % locale
LANG="en_US.UTF-8"
LC_COLLATE="en_US.UTF-8"
LC_CTYPE="en_US.UTF-8"
LC_MESSAGES="en_US.UTF-8"
LC_MONETARY="en_US.UTF-8"
LC_NUMERIC="en_US.UTF-8"
LC_TIME="en_US.UTF-8"
LC_ALL=
</pre>

Juhtimiseks sobib kasutada faili ~/.zshrc

===Mälu haldus===

Käesolevat mälukasutust saab jälgida Activity Monitor utiliidi abil

[[Fail:20250918-macos-memory-01.png|900px]]

kus

* physical memory - arvuti riistvaralise mälu hulk
* memory used - mälu hulk mida operatsioonisüteem moel või teisel aktiivsemalt/vähem-aktiivsemalt/jne kasutab
* swap used - plokkseadmele/failisüsteemi salvestatud/puhverdatud mälu sisu

Memory Used koosneb neljast osast

* app memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis on välja swapitav, kokku pakitav jms paindlik
* wired memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis ei ole välja swapitav, kokku pakitav jms paindlik
* cached files - apfs jt failisüsteemide cache, st mällu puhverdatud sisu (tõenäoliselt teeb lugemise oluliselt kiiremaks)
* kokku pakitud mälule vastav maht mis kulub pakitud sisu hoidmiseks (mis on pakitud kujul)

'Compressed' väärtus väljendab, milline kokkupakkimata maht õnnestus kokku pakkida.

Väited

* arvutis on 'available memory' maht 16.00 - 12.84 = 3.16 G mälu - st see on ressurss, mida saab süsteem kohe kasutada täiendavate vajaduste jaoks
* kokku pakitud kujul olevate andmete maht on 12.84 - 5.90 - 2.17 - 3.30 = 1.47
* kokku pakkkimise efektiivsus on 3.96/1.47 = 2.69 st peaaegu 3x
* kuigi süsteemis on vaba mälu, siis on süsteem otsustanud siiski 175.6 MB välja swappida, ju ta teab mis teeb, ja nii on olnud otstarbekas
* cached files maht on selline ressurss, mille saab süsteem kiiresti võtta uude kasutusse, st nt rakenduse koodi jaoks

Swap asub failisüsteemis kataloogis /private/var/vm.

===Yubico Authenticator===

====Tööpõhimõte====

Yubico tootja krüptoseadmed on hästi populaarsed ja korralikud, Eestis on ka nende kasutamine päris levinud

[[Fail:20260718-macos-yubico-01.png|700px]]

Füüsilise seadme haldamiseks on kasutada tarkvara 'Yubico Authenticator'

[[Fail:20260718-macos-yubico-02.png|600px]]

kus

* nime 'Authenticator' viitab justkui TOTP tüüpi rakendusele, tegelikult on see palju funktsionaalsem (FIDO2 saladuste haldamine, PIV saladuste haldamine jne)

====Paigaldamine====

Yubico Authenticator paigaldamine toimub nö tavalisel viisil Apple App Store abil, samuti edasine tarkvara uuendamine.

====Kasulikud lisamaterjalid====

* https://www.auul.pri.ee/wiki/Yubikey

===Yubikey===

TODO

Kui ssh kliendi kasutamisel tekib olukord

<pre>
... sign_and_send_pubkey: signing failed for ECDSA .. from agent: agent refused operation
</pre>

võib abistada

<pre>
% ssh-add -e /usr/local/lib/libykcs11.dylib
Card removed: /usr/local/lib/libykcs11.dylib

% ssh-add -s /usr/local/lib/libykcs11.dylib
Enter passphrase for PKCS#11:
Card added: /usr/local/lib/libykcs11.dylib

%
</pre>

===Apple riistvara-tarkvara ajalugu===

Küsimus chatgpt'le

'what operating system apple computers have used, please give timeline of cpu and operating system with mentioning whether is was single or two-mode privilege separation solution'

Vastus chatgpt'lt - eristatakse 6 ajastut

The Early Days (1976-1984)

* Computer: Apple I, Apple II series.
* CPU: MOS Technology 6502.
* Operating System: Apple DOS, ProDOS.
* Privilege Mode: Single-mode. The CPU and OS lacked a concept of privilege separation. All software, including the operating system, ran with full, unrestricted access to the hardware.

The Early Macintosh (1984-1987)

* Computer: Macintosh 128K, Macintosh Plus, Mac SE.
* CPU: Motorola 68000.
* Operating System: System Software (System 1.0 - 4.0).
* Privilege Mode: The CPU had a two-mode (Supervisor/User) architecture. However, the early Mac OS did not fully use it for memory protection. The OS was based on a cooperative multitasking model, and a buggy program could still crash the entire system.

The 32-bit Transition (1987-1994)

* Computer: Macintosh II series.
* CPU: Motorola 68020, 68030, 68040.
* Operating System: Mac OS (System 5.0 - 7.5).
* Privilege Mode: The CPUs were fully capable of two-mode operation. The OS began to use some of these features, but it was still not a truly protected-mode, preemptive multitasking system.

The PowerPC Era (1994-2006)

* Computer: Power Macintosh series.
* CPU: PowerPC 601, 603, G3, G4.
* Operating System: Mac OS 7.5 - Mac OS 9.
* Privilege Mode: The PowerPC was a modern two-mode RISC architecture with a robust privilege model. Despite the powerful hardware, the underlying Mac OS remained non-preemptive and lacked true memory protection between applications. This was a key reason why Apple chose to adopt a BSD-based foundation for its next-generation OS.

The Intel Era (2006-2020)

* Computer: MacBook, MacBook Pro, iMac, Mac Mini, Mac Pro (Intel models).
* CPU: Intel Core 2 Duo, Core i3/i5/i7/i9, Xeon (x86 architecture).
* Operating System: Mac OS X (versions 10.4 to 10.15), later renamed macOS (from 10.12 onward).
* Privilege Mode: Two-mode (Ring 0 for the kernel, Ring 3 for applications). This was a pivotal time for Apple, as their BSD-based Mac OS X was finally running on a CPU architecture with a robust, industry-standard privilege model. The operating system could now fully leverage preemptive multitasking and true memory protection, making the Mac far more stable and secure than in the previous eras.

The ARM Era (2020-Present)

* Computer: MacBook Air, MacBook Pro, iMac, Mac Mini (Apple Silicon models).
* CPU: Apple Silicon (M1, M2, M3, and so on), which are custom ARM-based processors.
* Operating System: macOS (starting with macOS 11 Big Sur).
* Privilege Mode: The ARM architecture uses a sophisticated multi-level privilege model. The OS runs in EL1 (Kernel Mode), while user applications run in EL0 (User Mode). The system also utilizes EL2 (Hypervisor Mode) for virtualization and security features. The transition to ARM allowed Apple to fully integrate hardware and software, creating a highly efficient platform where the CPU, GPU, and memory are on a single chip. The macOS operating system is built specifically to take advantage of this architecture and its robust privilege model.

===Apple Continuity===

Apple Continuity initsiatiiv võimaldab ühe appleid konto külge kinnitatud seadmete vahel teha koostööd, nt selliste seadmete ja tegevuste osas

* veebikaamera
* Universal Control - clipboard st kopi-paste üle seadmete (Synergy/Barrier/jms sarnane)
* rakenduste kasutamise jätkamine - nt brauser
* Contacts

Kasulikud lisamaterjalid

* https://www.apple.com/macos/continuity/

===Ansible===

export OBJC_DISABLE_INITIALIZE_FORK_SAFETY=YES

===vnc klient===

vnc kliendi kasutamise eelduseks on kuskil võrgus töötav ja ligipääsetav vnc server. MacOS operatsioonisüsteemiga tuleb kaasa vnc klient, kasutamiseks sobib käivitada programm Finder

Finder -> Go -> Go to server

ning sisestada lahtrisse nt

vnc://192.168.10.187:5901

===Mail - IMAP ja SMTP klient===

TODO

===DFU - Device Firmware Update===

====Mõisted====

* Revive - tegevuse tulemusena asendatakse arvuti tava-firmware ja restore partitsioon - macos operatsioonisüsteem ja kasutaja andmed säilivad
* Restore - tegevuse tulemusena asendatakse arvuti tava-firmware, restore partition jne sh macos operatsioonisüsteem - st kõik
* IPSW - iphone software - praktiliselt kõik moodsad seadmed, nt https://ipsw.me/

====Tööpõhimõte====

Väited

* DFU puudutab 'macos all oleva tava-firmware all olevat eri-firmware kihti
* erinevalt nö x86 riistvara lahendustest saab mac riistvara puhul kasutada kahte seadet komplektis - seadmed ühendatakse tavalise thunderbolt vms kaabliga ning seejärel üks seade võimaldab teist ravida kasutades Apple Configurator tarkvara
* Apple Configurator ei võimalda tegeleda selle sama arvuti riistvaraga millel ta töötab, ta võimaldab tegeleda selle arvuti riistvaraga, mis on ühendatud thunderbolt kaabliga

====Apple Configurator tarkvara kasutamine====

* Apple Configurator paigaldatakse tavalisel viisil AppStore platvormi abil

====Kasulikud lisamaterjalid====

* youtube kanal lapfix sisaldab saateid - https://www.youtube.com/@lapfix

===Windows remote desktop klient===

AppStore abil on kasutada tasuta tarkvara 'Windows App'.

[[Fail:20251119-macos-windows-app-01.jpg|700px]]

===WireGuard===

WireGuard vpn klienti saab paigaldada tavalisel viisil App Store keskkonna abil. Peale paigaldamist ja esmast käivitamist valides spotlight otsingus wireguard, tuleks ilmselt kirjaldada vpn ühendus wireguard nö serveriga ning pressides + nuppu

[[Fail:20251215-macos-wireguard-04.png|700px]]

ning

[[Fail:20251215-macos-wireguard-01.png|700px]]

Käivitatud st aktiivse vpn tunneli olek paistab selline

[[Fail:20251215-macos-wireguard-02.png|700px]]

ning üldises vpn ühenduste nimekirjas

[[Fail:20251215-macos-wireguard-03.png|700px]]

<pre>
Imres-MacBook-Air:~ root# ifconfig utun6
utun6: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1420
options=6460<TSO4,TSO6,CHANNEL_IO,PARTIAL_CSUM,ZEROINVERT_CSUM>
inet 10.168.112.68 --> 10.168.112.68 netmask 0xffffff00
</pre>

ning ruuting

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet | grep utun6
default link#22 UCSIg utun6
10.168.10.177/32 link#22 UCS utun6
10.168.112/24 10.168.112.68 UGSc utun6
10.168.112.68 10.168.112.68 UH utun6
192.168.112 link#22 UCS utun6
224.0.0/4 link#22 UmCSI utun6
255.255.255.255/32 link#22 UCSI utun6
</pre>

Tundub, et mingitel hetkedel wireguard klient nö ei allu eriti, siis võib olla abiks protsessi lõpetamine teminali aknas ning käivitamine 'open -a ..' abil

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i wireg
imreoolberg 757 0.0 0.4 435612624 63120 ?? S Wed12PM 0:01.19 /Applications/WireGuard.app/Contents/MacOS/WireGuard
imreoolberg 30026 0.0 0.0 435300208 1344 s014 S+ 5:10AM 0:00.01 grep -i wireg

imreoolberg@Imres-MacBook-Air ~ % killall WireGuard

imreoolberg@Imres-MacBook-Air ~ % open -a WireGuard
</pre>

vpn kasutamisel tuleb arvestada, et kui MacOS tulemüür ei ole sisselülitatud ja ei takista, siis saab vpn serveri poolelt pöörduda ka macos arvuti poole.

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_OpenBSD_kasutamine#Wireguard
* https://www.auul.pri.ee/wiki/MikroTik_RouterOS#WireGuard

===Eesti ID kaardi kasutamine===

Eesti ID kaardi tarkvara paistab esindatud nn System Settings vasakus paneelis

[[Fail:20251216-macos-software-01.png|700px]]

Ning App Store peal

[[Fail:20251203-macos-app-store-updates-02.png|700px]]

ning

System Report -> Software -> Applications

juures

[[Fail:20251216-macos-software-02.png|700px]]

Lisaks Eesti ID kaardi tarkvara paistab nö .pkg osakonnas esindatud

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -v ^com.apple
..
eu.web-eid.web-eid-chrome
ee.ria.open-eid
ee.ria.qdigidoc4
eu.web-eid.web-eid
eu.web-eid.web-eid-safari
ee.ria.ID-updater
...
</pre>

kusjuures konkreetsed versioonid on sellest pkgutil vaatest

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.5.0.1954
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.15.0
volume: /
location: /
install-time: 1757342106
</pre>

Kusjuures siit paistab vastuolu: pkgutil eistab nt paketi ee.ria.qdigidoc4 versiooniks 4.8.2 kuid muud 4.9.1. Kui küsida käsurealt teisiti versiooni

<pre>
Imres-MacBook-Air:~ root# defaults read /Applications/qdigidoc4.app/Contents/Info.plist CFBundleShortVersionString
4.9.1
</pre>

Ning programmi enda gui liides ütleb samuti versiooniks 4.9.1, lisaks tundub, et tegu on siiski sama tarkvara eksemplariga

<pre>
Imres-MacBook-Air:~ root# ps aux | grep qdigidoc4 | grep -v grep
imreoolberg 38841 0.0 0.4 436001936 63600 ?? S 4:19AM 0:01.45 /Applications/qdigidoc4.app/Contents/MacOS/qdigidoc4
</pre>

ning

[[Fail:20251216-macos-software-03.png|700px]]

====System Settings vasaku paneeli ID-updater kasutamine====

Peale System Settings vasaku paneeli ID-update kasutamist ja jaatavat vastamist vaikimisi valikutega

[[Fail:20251216-macos-eid-updater-01.png|700px]]

tessa

[[Fail:20251216-macos-eid-updater-02.png|700px]]

kossa

[[Fail:20251216-macos-eid-updater-03.png|700px]]

nessa

[[Fail:20251216-macos-eid-updater-04.png|700px]]

on tulemuseks

[[Fail:20251216-macos-eid-updater-05.png|700px]]

ning käsurealt küsides, st mõne komponendi versioon uuenes

* eu.web-eid.web-eid-chrome
* ee.ria.open-eid
* eu.web-eid.web-eid
* ee.ria.ID-updater

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.10.0.235
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.18.0
volume: /
location: /
install-time: 1765858910
</pre>

20260630 kogemus

[[Fail:20260630-macos-eid-updater-01.png|900px]]

kus

* tundub, et macos lähenemisele natuke iseloomulikult erinevad kohad kirjutavad versiooni uuenduse kohta erinevat infot

===Mikrotik Winbox===

Paistab, et alates winbox v. 4 on toetatud MacOS

[[Fail:20260330-macos-mikrotik-install-01.png|800px]]

kus

* .dmg on Finder peal 'Open with' -> 'Diskmounter' abil avatud (monteeritud)
* paigaldamiseks tuleb nihutada .dmg sees paistev nö ressurss Applications alla kõrvale avatud Finder programmis (tavaliselt on .dmg avatud image nö ristkülikus kaks ikooni, rakendus ja Application ja tuleb nihutada selle akna sees
* Finder vasakus paneelis on Windbox disk image lahti monteeritud

kasutamine paistab välja nii

[[Fail:20260311-mikrotik-winbox-4-01.png|800px]]

Andmefailid asuvad

<pre>
imreoolberg@Imres-MacBook-Air ~ % find ~/Library/Application\ Support/MikroTik/WinBox -type f -ls
105559824 8 -rw-r--r-- 1 imreoolberg staff 1998 Jun 3 23:34 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.78.cfg.viw2
119606360 16 -rw-r--r-- 1 imreoolberg staff 5126 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.77.cfg.viw2
..

105555588 8 -rw-r--r-- 1 imreoolberg staff 502 Jun 3 23:29 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/Addresses.cdb
119606359 8 -rw-r--r-- 1 imreoolberg staff 383 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/settings.cfg.viw2
</pre>

====WindBox 4.1 -> 4.2 uuendamine====

Winbox uuendamine toimub üsna manuaalselt

[[Fail:20260709-mikrotik-01.png|900px]]

kus

* tootja jagab .dmg faili
* see fail tuleb eraldi liigutusena kopeerida tootja veebikohast
* antud juhtum on hea näide kuidas MacOS Application kataloogi alamkataloogis asendab vana versiooni uuega

Kusjuures paigaldamise ajal midagi ei küsitud st privileegide saamiseks, tundub, et põhjusel kuna kataloog oli juba olemas ja kuulus kasutajale

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/*
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 29 2025 /Applications/balenaEtcher.app
drwxr-xr-x@ 3 imreoolberg staff 96 Jul 3 07:43 /Applications/BetterTouchTool.app
drwxr-xr-x 13 root staff 416 Jul 5 16:07 /Applications/DDPM
..
drwxr-xr-x@ 3 root wheel 96 Dec 3 2025 /Applications/web-eid-safari.app
drwxr-xr-x@ 3 root wheel 96 Jun 30 19:52 /Applications/WhatsApp.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 8 10:25 /Applications/WinBox.app
drwxr-xr-x@ 3 root wheel 96 Jul 4 19:44 /Applications/Windows App.app
drwxr-xr-x@ 3 root wheel 96 Dec 9 2025 /Applications/WireGuard.app
...
</pre>

kus

* sõltuvalt paigalduse viisist on kataloogil omanikuks kasutaja või root
* nt tundub, et app store ja pkgutil puhul on omanikuks root
* niisama kasutajana nö visuaalselt liigutades rakenduse Applications osakonda esmakordsel paigaldusel küsitakse täiendavalt privileegide kohta, ja seejärel enam mitte (st uuendamisel)

===MacOS virtualiseerimine===

TODO

===QR Journal===

TODO

===etcher===

TODO

===Rosetta paigaldamine===

<pre>
$ softwareupdate --install-rosetta
</pre>

===Dell U2725QE monitor===

Kuigi kõik niisamagi töötab, monitori tootja veebikohas on üsna huvitavat tarkvara

[[Fail:20260705-dell-macos-01.png|900px]]

kus

* DDPM - Dell Display and Peripherial Manager
* Monitor Firmware Update Utility

====DDPM====

Mõisted

* DDPM - Dell Display and Peripherial Manager

Peale allkopeerimist paistab .pkg pakenduses tarkvara

[[Fail:20260705-dell-macos-02.png|1100px]]

kus

* TODO

Paigaldamine paistab

[[Fail:20260705-dell-macos-03.png|500px]]

ja kasutamine

[[Fail:20260705-dell-macos-04.png|700px]]

* paistab midagi sellist nagu monitori enda peal füüsiliselt

====Dell U2725QE Monitor Firmware Update Utility====

Väited

* monitori firmware uuendmaine toimub üle arvuti ja monitori vahelise thunderbolt kaabli

Paigaldamine paistab selline .pkg pakett

[[Fail:20260705-dell-macos-05.png|600px]]

Firmware uuendamine toimub üle thunderbolt kaabli

[[Fail:20260705-dell-macos-06.png|700px]]

kus

* oluline mitte lasta monitori screen saverisse, power save'i jms - nt 'caffeinate -di' abil
* firmware versioon muutab M2T101 -> M2T102

====Kahe monitori kasutamine====

Osutub võimalikuks ühe MacBook Air arvutiga ühendada kaks Dell monitori nö tunderbolt mõttes järjestikuliselt

[[Fail:20260718-macos-dell-01.png|800px]]

ning

[[Fail:20260718-macos-dell-02.png|800px]]

kus

* TODO

Tegu ei ole Dell monitor daisy-chain tehnoloogiaga, sest daisy-chain töötab display protocol kihis, antud juhul toimub kontakt thunderbolt kihis.

===character terminal seadme kasutamine===

character teminal seadme kasutamine paistab nii, väga analoogne ubuntu ja debian operatsioonisüsteemiga

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i iterm2
imreoolberg 1112 11.2 1.8 436586496 306448 ?? S 6:11PM 3:08.34 /Applications/iTerm.app/Contents/MacOS/iTerm2
</pre>

ning iterm protsessis on pseudo-terminal master multiplexer seadmed

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1112 -P -n | grep ptmx
iTerm2 1112 imreoolberg 5u CHR 15,0 0t23863949 609 /dev/ptmx
iTerm2 1112 imreoolberg 44u CHR 15,1 0t1199 609 /dev/ptmx
iTerm2 1112 imreoolberg 45u CHR 15,2 0t204098 609 /dev/ptmx
</pre>

zsh shelli avatud terminaliga seotud

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep zsh
imreoolberg 1398 0.0 0.0 435312416 2784 s003 S 6:17PM 0:00.01 -zsh
imreoolberg 1380 0.0 0.0 435313360 3472 s002 S 6:17PM 0:00.11 -zsh
imreoolberg 1376 0.0 0.0 435308624 2672 s001 S 6:17PM 0:00.01 -zsh
imreoolberg 1115 0.0 0.0 435313184 2896 s000 S+ 6:11PM 0:00.06 -zsh
imreoolberg 2434 0.0 0.0 435299552 1392 s002 S+ 7:16PM 0:00.00 grep zsh

imreoolberg@Imres-MacBook-Air ~ % lsof -p 1376 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
zsh 1376 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
zsh 1376 imreoolberg txt REG 1,15 1361216 1152921500312571448 /bin/zsh
zsh 1376 imreoolberg txt REG 1,15 81288 1152921500312585080 /usr/share/locale/en_US.UTF-8/LC_COLLATE
zsh 1376 imreoolberg txt REG 1,15 118896 1152921500312574306 /usr/lib/zsh/5.9/zsh/terminfo.so
zsh 1376 imreoolberg txt REG 1,15 593088 1152921500312574312 /usr/lib/zsh/5.9/zsh/zle.so
zsh 1376 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
zsh 1376 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 1u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 10u CHR 16,1 0t683 733 /dev/ttys001
</pre>

ssh kliendis on

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1437 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
ssh 1437 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
ssh 1437 imreoolberg txt REG 1,15 1555472 1152921500312572845 /usr/bin/ssh
ssh 1437 imreoolberg txt REG 1,15 72984 121429580 /Library/Preferences/Logging/.plist-cache.a1S8PMuK
ssh 1437 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
ssh 1437 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 1u CHR 3,2 0t0 340 /dev/null
ssh 1437 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 3u IPv4 0x79fda12a4e8825b1 0t0 TCP 192.168.134.76:49197->192.168.10.166:22 (ESTABLISHED)
ssh 1437 imreoolberg 4u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 5u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 6u CHR 16,1 0t513 733 /dev/ttys001
</pre>

kus

* ilusti on paista järgnevus iterm2 -> zsh -> ssh

Selline pilt võiks

[[Fail:20260706-macos-char-01.png|800px]]

kus

* ptmx - pseudo-terminal master multiplexer
* ttys - teletypewriter slave
* console - füüsiline laptop graafilisse osakonda sisselogimise kohalolek
* Sun18 - kuna klassikaliselt on see tulp olnud max pikkusega 6 sümbolit, sellest selline notatsioon - kell 18, pühapäev

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_Debian_GNU/Linux_kasutamine#Seadmed_2

===Zabbix agent===

<pre>
imreoolberg@Imres-MacBook-Air ~ % sudo -i
Password:
Imres-MacBook-Air:~ root# file /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg: xar archive compressed TOC: 5108, SHA-1 checksum
</pre>

Misc

<pre>
imreoolberg@Imres-MacBook-Air ~ % installer -volinfo -pkg Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Volumes/PRO-G40
/Volumes/volume-tm-backup-01
/
</pre>

Paigaldamine

<pre>
Imres-MacBook-Air:~ root# installer -pkg /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg -target /
installer: Package name is Zabbix Agent
installer: Installing at base path /
installer: The install was successful.
</pre>

Tulemusena tekib süsteemi

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -i zabbix
com.zabbix.pkg.ZabbixAgent

Imres-MacBook-Air:~ root# pkgutil --files com.zabbix.pkg.ZabbixAgent
Library
Library/LaunchDaemons
Library/LaunchDaemons/com.zabbix.zabbix_agentd.plist
usr
usr/local
usr/local/bin
usr/local/bin/zabbix_get
usr/local/bin/zabbix_sender
usr/local/etc
usr/local/etc/zabbix
usr/local/etc/zabbix/zabbix_agentd
usr/local/etc/zabbix/zabbix_agentd/userparameter_examples.conf.NEW
usr/local/etc/zabbix/zabbix_agentd/userparameter_mysql.conf.NEW
usr/local/etc/zabbix/zabbix_agentd.conf.NEW
usr/local/sbin
usr/local/sbin/zabbix_agentd
</pre>

Seadistused

<pre>
Imres-MacBook-Air:~ root# egrep -v "^$|^#" /usr/local/etc/zabbix/zabbix_agentd.conf
LogFile=/var/log/zabbix/zabbix_agentd.log
Server=192.168.10.196
Hostname=macos-air.auul.pri.ee
</pre>

Tulemusena paistab vaikimisi Zabbix kaasa tuleva template abil selline pilt

[[Fail:20260706-macos-zabbix-01.png|1100px]]

kus

* võrreldes nt vaikimisi top utiliidi väljundiga, mis esitab muu hulgas andmeid cpu interruptide kohta, on zabbix esitus üsna tagasihoidlik

[[Fail:20260706-macos-zabbix-02.png|1400px]]

===scutil===

Osutub, et arvuti dhcp serveriga kohtumisele omandab lisaks ip aadressile jms võrguseadistusele ka uue hostname'i väärtuse, st mida vastab 'hostname' käsk kui kinnitatud uus dünaamiline ip address omab revers teisendust nimesüsteemis

<pre>
imreoolberg@orcl2-vip ~ % scutil --get LocalHostName
Imres-MacBook-Air
imreoolberg@orcl2-vip ~ % scutil --get ComputerName
Imre’s MacBook Air
imreoolberg@orcl2-vip ~ % scutil --get HostName
HostName: not set
</pre>

pinnimiseks sobib öelda

<pre>
orcl2-vip:~ root# scutil --set HostName "Imres-MacBook-Air"
</pre>

===Trash===

<pre>
imreoolberg@Imres-MacBook-Air ~ % du -sh .Trash
18G .Trash
</pre>

graafiliselt

[[Fail:20260729-macos-trash-01.png|600px]]

kus

* TODO

===Kasulikud lisamaterjalid===

* [[:Claude Desktop - MacOS]]
* [[:Rancher Desktop - MacOS]]
* [[:Podman Desktop - MacOS]]
* https://github.com/luchina-gabriel/OSX-PROXMOX
* https://www.apple.com/mac/compare/

MacOS operatsioonisüsteemi kasutamine füüsilise MacBook Air M4 arvutiga

2026-08-01T09:00:53Z

Imre: /* Kasulikud lisamaterjalid */

===Sissejuhatus===

TODO

Apple system level innovations

* XNU hybrid kernel (Mach + BSD + I/O Kit).
* Read-only, sealed root filesystem.
* APFS (snapshots, sealing, native encryption).
* Secure Enclave (separate CPU/resources).
* Cryptographic boot chain (from Boot ROM → kernel → apps).
* System Integrity Protection (SIP).
* Gatekeeper & notarization.
* Launchd (unified service/daemon manager).
* Unified logging & tracing (dtrace, signpost).
* Rosetta + Universal binaries (smooth arch transitions).
* Quartz compositor + Core Animation (graphics pipeline).
* Metal API (low-level GPU abstraction).
* mälu pakkimine käigult (vt Activity Monitor -> Memory -> Bottom)

Misc

* Aqua - desktop visuaal
* Quartz - desktop mootor
* UTM - qemu-based virtulization
* AWDL (Apple Wireless Direct Link) - midagi Wifi-Direct laadset

Väited

* Apple lahendustele on iseloomulik, et sama it shop kontrolli all on nii riistvara kui tarkvara (põhimõtteliselt sarnane olukord nagu kunagi Sun sparc lahendustega)
* macos on pigem threaded orienteeritud lahendus (mitte process-is-single-thread) - märksõnad: Grand Central Dispatch, Operation Queues, Swift Concurrency)
* nn 'giant lock (https://en.wikipedia.org/wiki/Giant_lock)' probleem on macos puhul pigem praktiliselt lahendatud, ju see on sama millest openbsd vabastamisega tegeldakse, nt https://www.openbsd.org/76.html - 'Removed net lock from sysctl(8) net.inet.ip.forwarding, net.inet6.ip6.forwarding, net.inet6.ip6.redirect, net.inet.ip.directed-broadcast.'

===Riistvara===

TODO

* MacBook Air 13" M4 protsessoriga arvuti
* compute resource - 1. cpu (risc arm), 2. gpu, 3. secure enclave, 4. neural engine
* 16 G ddr5 non-ecc memory - kõik compute resource'id kasutavad sama mälu, st ühisest pool'ist võetakse kasutuseks, ja antakse tagasi jne
* kaks Dell U2725QE monitori
* kaks thunderbolt 4 kaablit
* Logitech nö 9 eurone pc hiir
* lai apple magic keyboard
* väline andmekandja - SanDisk PRO-G40, https://www.apple.com/shop/mac/accessories/storage?f=thunderbolt3&fh=3783%2B47f6&page=1
* port saver - https://www.delock.com/produkt/66433/merkmale.html
* arvuti puhul ei ole kohta nagu pc arvuti puhul on 'enter bios' või 'enter setup' - ainuke realistlik sisenemiskoht on hoides alla toite nuppu arvuti käivitumise ajal

Väited

* macbookpro, air jt on non-ecc mäluga; mac pro ja mac studio on ecc mäluga
* arvuti on ühendatud ühe monitoriga TB4 kaabli abil
* esimese monitoriga on ühendatud usb klaviatuur ja hiir
* arvuti võrk töötab wifi abil, aga saaks töötada ka monitori rj45 ethernet kaabliga (arvutisse saabub üle thunderbolt neli nö signaali: 1. usb klaviatuur ja hiir, 2. ethenet, 3. video, 4. toide)
* teine monitor on ühendatud esimesega teise TB4 kaabliga nn daisy-chain ühenduses
* tundub, et monitoride pilt on vastuvõetava kvaliteediga ka non-4k režiimis (nt 3008 x 1692)

<pre>
system_profiler SPHardwareDataType # CPU, memory, model
system_profiler SPDisplaysDataType # GPU / monitor info
system_profiler SPUSBDataType # USB controllers and devices
system_profiler SPThunderboltDataType # Thunderbolt controllers
system_profiler SPNetworkDataType # Network interfaces
</pre>

Näiteks

<pre>
Imres-MacBook-Air:~ root# system_profiler SPHardwareDataType
Hardware:

Hardware Overview:

Model Name: MacBook Air
Model Identifier: Mac16,12
Model Number: MW0W3KS/A
Chip: Apple M4
Total Number of Cores: 10 (4 performance and 6 efficiency)
Memory: 16 GB
System Firmware Version: 11881.81.2
OS Loader Version: 11881.81.2
Serial Number (system): KGHGX652VT
Hardware UUID: 27AE0C7C-DCC6-5F5C-A133-8F10726347EC
Provisioning UDID: 00008132-001A618E0121801C
Activation Lock Status: Enabled

Imres-MacBook-Air:~ root# system_profiler SPDisplaysDataType
Graphics/Displays:

Apple M4:

Chipset Model: Apple M4
Type: GPU
Bus: Built-In
Total Number of Cores: 8
Vendor: Apple (0x106b)
Metal Support: Metal 3
Displays:
Color LCD:
Display Type: Built-in Liquid Retina Display
Resolution: 2560 x 1664 Retina
Main Display: Yes
Mirror: Off
Online: Yes
Automatically Adjust Brightness: Yes
Connection Type: Internal
DELL U2725QE:
Resolution: 6016 x 3384
UI Looks like: 3008 x 1692 @ 120.00Hz
Mirror: Off
Online: Yes
Rotation: Supported
</pre>

====Neural Engine====

TODO

* On-device machine learning
* Siri's voice recognition
* Image analysis in Photos
* Real-time video processing in apps like FaceTime

====Misc OS====

* cpu instructions - toimuvad kernel -> cpu vahel
* syscalls - toimuvad rakendustarkvara -> kernel vahel
* ei ole user-space-syscall'isid - kõik syscallid on nö kernel-space-syscall'd ehk lihtsalt syscall'id
* macos ei ole real-time operating system
* macos puhul on realiseeritud preemtion st ka tundlike kerneli kihi tegevuste puhul on võimalik teha nö katkestusi-tagasipöördumisi
* ei ole sellist storage-io lahenduste mitmekesisust nagu on linux puhul (nt io-uring, libaio) - nimetatakse 'Dispatch I/O'
* ei ole sellist network-io lahenduste mitmekesisust nagu on linux puhul (nt dpdk) - nimetatakse 'Network Framework'
* dpdk, rdma jms puudub kuna macos puhul tegevused käivad läbi kernel selleks, et toimuv oleks maksimaalselt kontrolli all (toimub kernel by-pass)
* tcp-offload jms siiski on kasutusel - kernel kontrollib siis ikkagi toimivat piisavalt
* XNU kernel ei võimalda linux namespace ja cgroup laadseid nö isolatsioone - st naturaalselt ei ole olemas native macos konteinerindust (nagu on linux jaoks olemas docker või freebsd jaoks daemonless) - kui on vajalik conteinerindus, siis on lahenduseks kasutada konteineri ja xnu kerneli vahel lisa kihti - linux-arm64)

Palju on https://www.openbsd.org/innovations.html nimekirjast olemas macos puhul, kas otseselt või siis kontseptuaalselt, aga implementatsioon on macos juhtumile iseloomulik

* OpenBSD: retguard uses a unique XOR-based canary on a function's return address to prevent a specific type of buffer overflow attack (ROP).
* macOS: macOS does not have a feature called retguard. However, the same concept is implemented by Apple's Clang compiler. macOS has used stack canaries (or stack cookies) for years, which are values placed on the stack to detect if the return address has been overwritten. Both systems use different implementations to solve the same problem.
* OpenBSD: pledge is a security mechanism where a program "pledges" to only use a limited set of system calls. If it tries to make a syscall outside of its "pledge," the program is killed.
* macOS: macOS does not have a pledge equivalent. The concept is not present in the same form. Instead, macOS uses sandboxing, which is a more comprehensive and declarative security model. Sandboxing restricts an application's access to files, network connections, and system resources based on a detailed set of rules (called entitlements) defined in a profile, which is part of the application itself. It's a different, but arguably more powerful, approach to the same problem.
* OpenBSD: W^X is a fundamental security policy that ensures a memory page is either writable or executable, but not both.
* macOS: This concept is directly implemented and has been a core security feature of macOS for many years. It is an integral part of the kernel and is enforced on all applications, making it impossible for an attacker to write shellcode to a memory page and then execute it.
* OpenBSD has long been a pioneer in security, and its implementation of ASLR is a core part of its "secure by default" philosophy.
* macOS introduced ASLR in Mac OS X Leopard (10.5) and has since continuously improved and strengthened it with each new release. Today, ASLR on macOS is a mandatory security feature for all modern applications.
* OpenBSD relinking
* Randomizing per-process: Instead of a single, system-wide reordering at boot, dyld randomizes the base addresses of shared libraries for every single process that is launched.
* Using a shared cache: To speed up program loading, macOS bundles commonly used system libraries into a single large file called the dyld_shared_cache. The location of this entire cache in memory is randomized at boot, and all processes then use this randomized location.

====User mode vs Kernel mode====

Väited

* User mode ja Kernel mode on kaks erinevat protsessori olekut
* esimesel puhul käitub arvuti nagu nö loogiline-masin, teisel juhul nagu riistvaraline-masin
* kontseptuaalselt võiks ette kujutada, et arvutis on kaks protsessorit - üks on pidevalt füüsilises ja teine loogilises olekus
* loogilist laadi tegevusteks on nt protsessi mällu laaditud mälu abil andmete sorteerimine, st kõik tegevused on taandatud matemaatikaks
* füüsilist laadi tegevusteks on nt võrku andmete saatmine, või plokkseadmelt andmete lugemine

====Seadme draiver====

Ettekujutuseks on nvme storage seade. Selleks, et andmed jõuaksid füüsilise plokkseadme pealt ühe user-space protsessi mällu nt postgresql andmebaas, liiguvad andmed läbi sellistest lõikudest koosneva teekonna

<pre>
plokkseade
control plain peal toimuv käsu tulemusel -> plokkseadmega seostatud fragment arvuti rom mälust
-> cpu kopeerib andmed oma registrite abil user-space mällu
..
</pre>

====SanDisk PRO-G40====

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Thunderbolt 4 porti ühendatud seade paistab selline

[[Fail:20250916-imre-sandisk-pro-g40-01.png|900px]]

kus

* seadet koheldakse pcie siinile ühendatud nvme seadmena

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Non-Thuderbolt-USB-C porti ühendatud seade paistab selline

TODO

kus

* seadet koheldakse usb-storage ühendatud plokkseadmena

===Kasutajaliides===

====Magic Apple Keyboard====

klahvikombinatsioonid

* command + nool paremale/vasakule - tekstikursori viimine vastavalt rea lõppu või algusse
* command + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt rea lõppu või algusse
* command + shift + suurem/väiksem - mitme aknalise programmi akende vahel liikumine (nt iterm/terminal/chrome/safari)
* option + nool paremale/vasakule - tekstikursori viimine vastavalt järgmise või eelmise sõna juurde
* option + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt sõna edasi või tagasi
* command + tühik - spotlight otsingu avamine
* control + nool paremal/vasakule - järgmise virtuaalse desktop juurde liikumine (spaces)
* control + nool üles/esc - xxx vaate avamine (üleval on virtuaalsete desktopide riba)
* command + nool üles/alla - teksti algusse või lõppu liikumine (nt chrome brauseris)
* option + nool üles/alla - tekstis nö page-up-page-down võtta liikumine (nt chrome brauseris)

====Touchpad====

gestured

* kahe sõrmega üles-alla swipe - hiirega skrollimine
* kolme sõrmega vasakule-paremale swipe - virtuaalsete desktopide vahel liikumine

===alt-grab - BetterTouchTool (BTT)===

====Tööpõhimõte====

Tegevuse eesmärk on alt-grab kasutamine akna asukohta muutmiseks ja akna suuruse muutmiseks. Linux desktop (gnome, xfce4 jt) puhul paistab see olevat tavaline, et akna asukoha muutmiseks ei pea tingimata haarama hiire vasaku nupuga akna tiitelribast ja siis vedama; või akna suuruse muutmiseks haarama hiire vasaku nupuga täpselt nurgast või servast ja siis vedama. Piisab hoida vasakut alt klahvi all ja haarata kuskilt akna seest hiire vasaku nupuga ning vedada; või hoida vasakut alt klahivi all ja haarata akna seest nurga lähedusest hiire parema nupuga ning vedada.

====BTT kopeerimine ja paigaldamine====

Väited

* https://folivora.ai/
* tundub, et BTT on usaldusväärne tarkvara (nt https://www.macworld.com/article/551700/mac-gems-bettertouchtool-review.html)
* BetterTouchTool ei ole tasuta tarkvara
* BetterTouchTool ei ole kõige parem lahendus nn alt-drag jaoks, aga paistab, et paremat ka pole (ja tundub, et ei saa olla kuna MacOS nö sisemiselt eriti ei võimalda alt-drag laadi tegevusi)
* BTT abil saab akna suurust muuta ainult paremas alumises nurgas
* akent ei saa ekraanilt osaliselt välja suruda üles suunas (nt alla saab)
* tundub, et paigaldamisel antakse rakendusele rikkalikult privileege

====Seadistamine====

Tööpõhimõte

* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse down', millele vastab tegevus (action) 'Start Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse up', millele vastab tegevus 'Stop Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse down', millele vastab tegevus 'Start Resizing'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse up', millele vastab tegevus 'Stop Resizing'

alt-drag seadistamine paistab selliselt, rightclick triggeri ja vastava tegevuse (action) kirjeldamine, basic

[[Fail:20250903-btt-rightclick-01.png|1000px]]

kus

* valitud programmid on For All Apps st kirjeldatavad võimed tekivad kõigi programmide akendele
* valitud seade on Normal Mouse (mitte magic mouse)
* on valitud ka modifer - opt (magic keyboard klahv 'option')

ning advanced

[[Fail:20250903-btt-rightclick-02.png|1000px]]

kus

* Trigger Conditions - Trigger on Mouse Down (vaikimisi)

Analoogselt kirjeldatakse ülejäänud triggerid ja tegevused - seejuures tuleb kindlasti valida modifier, vastasel korral võib olla väga halb kasutuskogemus kuna hiire vasaku klahvi nö tavaline töö on häiritud).

====Kasutamine====

Kasutamine paistab välja natuke puudulikumalt kui linux desktop keskkonnas

* suurust saab muuta vaid alumist paremat nurka sisse või väljapoole surudes (linux all saab tegeleda igas nurgas)
* asukohta saab muuta kuid see mõjub fookuses olevale aknale (vahel on see üsna nö eba kogemus, et hiir on mitte fookuses oleva akna kohal ja kõrval oleva akna asukoht muutub)
* tegelemise ajal on aken nö täidetud (linux all saab valida kas aken paistab nö täidetuna või wireframe'ina)

====Kasulikud lisamaterjalid====

* https://community.folivora.ai/t/resize-window-on-modifier-right-mouse-button-press/41430

===iterm2===

iterm2 võimaldab muu hulgas

* akende arrangement ettevalmistusi - st akende avamist komplektidena, seejuures logitakse automaatselt serveritesse ssh abil sisse, näiteks
* profile abil värvikasutust kirjeldada (taust, tekst, esiletoodud (bold), allajoonitud tekst jms)

[[Fail:20260302-iterm2-01.png|700px]]

avades

iTerm2 -> Settings -> Profiles

kus

* esiletoodud tekst esitatakse roheliselt (seda esineb linux puhul nt top, 'systemctl status postfix' ja dmesg väljundis)

aknale kerge ääre näitamine

iTerm2 -> Settings -> Appearence -> Windows -> Aestetics -> Heavy border around windows in light mode

Profiilid

<pre>
imreoolberg@Imres-MacBook-Air ~ % egrep -r wrx "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Command" : "ssh root@pve-wrx90e",
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Name" : "pve-wrx90e",
imreoolberg@Imres-MacBook-Air ~ % egrep -r svc "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
imreoolberg@Imres-MacBook-Air ~ % plutil -p ~/Library/Preferences/com.googlecode.iterm2.plist | grep -i "pve-svc-0"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-02"
</pre>

Tarkvara uuendamine

[[Fail:20260704-macos-01.png|900px]]

* ei toimu app store kaudu
* toimib rakenduse enda menüüst

===timemachine===

====Tööpõhimõte====

TODO

* võrgus failiserver
* võrgus avahi vms server
* macos süsteem

====Ettevalmistamine====

Väited

* tundub, et macos webgui kaudu ei õnnestu samba põhist tm lahendust ära seadistada, tuleb toimetada käsurealt (hüpotees on, et kuna cifs failisüsteemi monteerimisel Finder abil tekib .DS_Store vms faile automaatselt share peale, siis see eksitab tm lahendust

Samba serveri ettevalmistamine, Debian v. 12 (samba v. 4.17)

<pre>
# apt-get install --no-install-recommends samba
# apt-get install samba-vfs-modules

# cat /etc/samba/smb.conf
[global]
client min protocol = SMB3
client max protocol = SMB3
workgroup = MORAALCIFS
dns proxy = no
log file = /var/log/samba/log.%m
max log size = 1000
panic action = /usr/share/samba/panic-action %d
server role = standalone server

[timemachine]
path = /zpool_wdc/timemachine/
browsable =yes
writable = yes
guest ok = no
valid users = timemachine
smb encrypt = required
vfs objects = catia fruit streams_xattr
fruit:metadata = stream
fruit:resource = file
fruit:time machine = yes
fruit:time machine max size = 500G
</pre>

käivitamine

<pre>
# systemctl restart smbd
</pre>

Varundatava arvuti ettevalmistamine

<pre>
Imres-MacBook-Air:~ root# tmutil setdestination "smb://timemachine:parool@192.168.10.168/timemachine"
Imres-MacBook-Air:~ root# tmutil destinationinfo
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : 2E3ED96D-4626-4D55-BDD5-A0ED6CDDF973
</pre>

Varunduse käivitamine

<pre>
Imres-MacBook-Air:~ root# tmutil startbackup --auto
Imres-MacBook-Air:~ root# log stream --predicate 'process == "backupd"' --info
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 157Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 709 0 100% /dev
/dev/disk3s6 228Gi 20Ki 157Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 157Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 157Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 157Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 157Gi 2% 76 1.6G 0% /Volumes/Recovery
//timemachine@192.168.10.168/timemachine 500Gi 20Gi 480Gi 5% 21M 503M 4% /Volumes/.timemachine/192.168.10.168/CEF57214-AE85-44D1-86EB-D0D69E41EA1C/timemachine
/dev/disk5s1 15Ti 20Gi 480Gi 4% 383k 5.0G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
Imres-MacBook-Air:~ root#
</pre>

Tulemusena

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-015533.backup/2025-09-05-015533.backup
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# tmutil listlocalsnapshots /
Snapshots for volume group containing disk /:
com.apple.TimeMachine.2025-09-05-012346.local
com.apple.TimeMachine.2025-09-05-015510.local
com.apple.os.update-35F83766A7728F08A2DF1CFD45DF39CAB4C00F8C1A4A0DBECD314305426E5C549569F373D02B15DDC5C3E22E8E9D0A2F
com.apple.os.update-4278EFCBF37708F6ABE958C2E59447D754411B4697E4891DE3D58BC37F433306
com.apple.os.update-MSUPrepareUpdate
</pre>

====Kasutamine - süsteemi varundamine====

Time machine graafilise liidese peal, kui on kirjeldatud mitu time-machine varunduskohta, saab ühe peal hiire parema klõpsuga avada hüpikmenüü ja öelda, et käivitada varundus

[[Fail:20251109-timemachine-01.png|600px]]

====Kasutamine - üksiku faili taastamine====

TODO

====Kasutamine - süsteemi taastamine====

TODO

====Misc====

tm destinationinfo esitamine

<pre>
Imres-MacBook-Air:~ root# tmutil destinationinfo
> ==================================================
Name : volume-tm-backup-01
Kind : Local
Mount Point : /Volumes/volume-tm-backup-01 1
ID : B23C58B0-C5F1-4FE6-8CCE-B90B5FAA3C7A
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : ECA95A15-3033-460C-B928-46E809CC1C58
</pre>

korra time machine gui utiliidiga läbi browsitud taaste vaates (tundub, et siis ta nö monteerib külge jne), df

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 10Gi 99Gi 10% 427k 1.0G 0% /
devfs 219Ki 219Ki 0Bi 100% 758 0 100% /dev
/dev/disk3s6 228Gi 24Ki 99Gi 1% 0 1.0G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 13Gi 99Gi 12% 2.6k 1.0G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 7.5Mi 99Gi 1% 104 1.0G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 480Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 6.0Mi 480Mi 2% 38 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 3.6Mi 480Mi 1% 100 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 56Gi 99Gi 37% 696k 1.0G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk7s1 3.6Ti 5.9Gi 3.5Ti 1% 24 38G 0% /Volumes/PRO-G40
/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/volume-tm-backup-01
com.apple.TimeMachine.2025-09-19-012830.backup@/dev/disk7s3 3.6Ti 122Gi 3.5Ti 4% 541k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup
com.apple.TimeMachine.2025-11-09-213757.local@/dev/disk3s5 228Gi 55Gi 99Gi 36% 687k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-213757/Data
com.apple.TimeMachine.2025-11-09-213824.backup@/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup
com.apple.TimeMachine.2025-11-09-165402.backup@/dev/disk7s3 3.6Ti 140Gi 3.5Ti 4% 568k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup
com.apple.TimeMachine.2025-11-09-160153.local@/dev/disk3s5 228Gi 50Gi 99Gi 34% 711k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-160153/Data
//timemachine@192.168.10.168/timemachine 500Gi 71Gi 429Gi 15% 74M 450M 14% /Volumes/.timemachine/192.168.10.168/D4D414B7-3607-44F6-8151-4F53ECDEF964/timemachine
/dev/disk5s1 15Ti 44Gi 429Gi 10% 568k 4.5G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-11-09-162452.backup@/dev/disk5s1 15Ti 78Gi 429Gi 16% 568k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup
com.apple.TimeMachine.2025-09-05-014511.backup@/dev/disk5s1 15Ti 23Gi 429Gi 6% 500k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup
</pre>

samal ajal diskutil

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 11.3 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 11.3 GB disk3s1s1
3: APFS Volume Preboot 14.2 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 60.0 GB disk3s5
6: APFS Volume VM 24.6 KB disk3s6
7: APFS Volume macOS Restored - Data 40.1 GB disk3s7
8: APFS Volume macOS Restored 11.3 GB disk3s8

/dev/disk4 (disk image):
#: TYPE NAME SIZE IDENTIFIER
0: +16.0 TB disk4

/dev/disk5 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +16.0 TB disk5
Physical Store disk4
1: APFS Volume Backups of Imre’s Ma... 47.7 GB disk5s1

/dev/disk6 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *4.0 TB disk6
1: EFI EFI 209.7 MB disk6s1
2: Apple_APFS Container disk7 4.0 TB disk6s2

/dev/disk7 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +4.0 TB disk7
Physical Store disk6s2
1: APFS Volume PRO-G40 6.4 GB disk7s1
2: APFS Volume volume-tm-backup-01 152.3 GB disk7s3

Imres-MacBook-Air:~ root#
</pre>

kus

* võrgus samba põhise time-machine varundusele sünteesitakse vastav plokkseade /dev/disk4 ja omakorda /dev/disk5
* lokaalselt külge kinnitatud välisele sandisk-pro-g40 plokkseade on /dev/disk6 ja edasi on seal sünteesitud /dev/disk7 ning eriti /dev/disk7s3
* samba serveris on tm varunduse jaoks üks kataloog välja jagatud 16 TB suuremalt failisüsteemilt, st sellest siin väljundis 16 TB märge

üksiku tm ressursi kohta info küsimine

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/Backups\ of\ Imre’s\ MacBook\ Air
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup/2025-11-09-162452.backup

Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/volume-tm-backup-01
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup/2025-09-19-012830.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup/2025-11-09-165402.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup/2025-11-09-213824.backup
</pre>

===Storage===

Mõisted

* Seal
* Secure Enclave
* FileVault
* Volume Group

Tööpõhimõte

* füüsiline salvestusseade on jaotatud partitsioonideks
* partitsioonile vastab nn konteiner
* konteinerile vastab midagi lvm volume group või zfs pool laadset
* konteineris sisaldub hulk volume'eid
* volumile vastab failisüsteem (apfs - apple file system)
* sama konteineri sees asuvad failisüsteemid opereerivad sama jagatud vaba ruumi tingimustes

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 16.0 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 16.0 GB disk3s1s1
3: APFS Volume Preboot 13.1 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 45.9 GB disk3s5
6: APFS Volume VM 20.5 KB disk3s6
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 156Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 713 0 100% /dev
/dev/disk3s6 228Gi 20Ki 156Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 156Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 156Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 43Gi 156Gi 22% 582k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 156Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 156Gi 2% 76 1.6G 0% /Volumes/Recovery
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
com.apple.TimeMachine.2025-09-05-015510.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-015510/Data
</pre>

Juurika suhtes ressursid

<pre>
Imres-MacBook-Air:/ root# ls -lO /
total 10
lrwxr-xr-x 1 root admin - 36 Jan 15 2025 .VolumeIcon.icns -> System/Volumes/Data/.VolumeIcon.icns
---------- 1 root admin - 0 Jan 15 2025 .file
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .nofollow
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .resolve
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 .vol
drwxrwxr-x 16 root admin sunlnk 512 Sep 5 12:56 Applications
drwxr-xr-x 66 root wheel sunlnk 2112 Sep 3 21:05 Library
drwxr-xr-x@ 10 root wheel restricted 320 Jan 15 2025 System
drwxr-xr-x 5 root admin sunlnk 160 Sep 2 22:41 Users
drwxr-xr-x 6 root wheel hidden 192 Sep 7 11:57 Volumes
drwxr-xr-x@ 39 root wheel restricted,hidden 1248 Jan 15 2025 bin
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 cores
dr-xr-xr-x 4 root wheel hidden 5047 Sep 5 01:14 dev
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 etc -> private/etc
lrwxr-xr-x 1 root wheel hidden 25 Sep 5 01:14 home -> /System/Volumes/Data/home
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 opt
drwxr-xr-x 6 root wheel sunlnk,hidden 192 Sep 5 01:14 private
drwxr-xr-x@ 77 root wheel restricted,hidden 2464 Jan 15 2025 sbin
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 tmp -> private/tmp
drwxr-xr-x@ 11 root wheel restricted,hidden 352 Jan 15 2025 usr
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 var -> private/var
</pre>

kus

* sunlnk - apfs lahendusele iseloomulik nn sünteetline link (teine variatsioon on firmlink)
* /private sisuks on tegelikult volume /System/Volumes/Data
* / on unionfs laadne lahendus, st kokku on kogutud erinevad ressrussid, mõned on read-only, mõned on read-write
* / endale vastav /dev/disk3s1s1 on /dev/disk3s1 read-only apfs snapshot - sedasi on väga madalas kihis tagatud süsteemi osa immutability

ning

<pre>
Imres-MacBook-Air:~ root# diskutil apfs list
APFS Containers (3 found)
|
+-- Container disk3 71D88332-123F-4F15-99AA-FDD26D7118F7
====================================================
APFS Container Reference: disk3
Size (Capacity Ceiling): 245107195904 B (245.1 GB)
Capacity In Use By Volumes: 77898416128 B (77.9 GB) (31.8% used)
Capacity Not Allocated: 167208779776 B (167.2 GB) (68.2% free)
|
+-< Physical Store disk0s2 F202FF0C-8102-4C98-8DEA-BFC6BE9C61B4
| -----------------------------------------------------------
| APFS Physical Store Disk: disk0s2
| Size: 245107195904 B (245.1 GB)
|
+-> Volume disk3s1 9D894F4B-1ADA-47A9-9864-CECA47F5CC54
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s1 (System)
| Name: Macintosh HD (Case-insensitive)
| Mount Point: /System/Volumes/Update/mnt1
| Capacity Consumed: 15970652160 B (16.0 GB)
| Sealed: Broken
| FileVault: Yes (Unlocked)
| Encrypted: No
| |
| Snapshot: E4EE5A50-F503-4DC3-BB9E-6C3EF76A9105
| Snapshot Disk: disk3s1s1
| Snapshot Mount Point: /
| Snapshot Sealed: Yes
|
+-> Volume disk3s2 5C7FF5F7-C059-4568-879D-AEE09DB60CF7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s2 (Preboot)
| Name: Preboot (Case-insensitive)
| Mount Point: /System/Volumes/Preboot
| Capacity Consumed: 13066547200 B (13.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s3 8A6ADAED-7C32-4DFB-8731-005DA53BB3FF
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s3 (Recovery)
| Name: Recovery (Case-insensitive)
| Mount Point: /Volumes/Recovery
| Capacity Consumed: 2082414592 B (2.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s5 53270D80-303A-47F4-83DE-D2B9228E9FC7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s5 (Data)
| Name: Data (Case-insensitive)
| Mount Point: /System/Volumes/Data
| Capacity Consumed: 45915893760 B (45.9 GB)
| Sealed: No
| FileVault: Yes (Unlocked)
|
+-> Volume disk3s6 5B9AA026-E765-4922-BFEA-B48FD11A79C6
---------------------------------------------------
APFS Volume Disk (Role): disk3s6 (VM)
Name: VM (Case-insensitive)
Mount Point: /System/Volumes/VM
Capacity Consumed: 20480 B (20.5 KB)
Sealed: No
FileVault: No
</pre>

iostat esitab ainult füüsiliste seadmete kohta info, huvitaval kombel ka time machine lahendusele vastava seadme (disk4) oma

<pre>
imreoolberg@Imres-MacBook-Air ~ % iostat 5
disk0 disk4 cpu load average
KB/t tps MB/s KB/t tps MB/s us sy id 1m 5m 15m
17.03 37 0.61 52.37 0 0.00 3 1 96 1.12 1.52 1.63
6.17 7 0.04 0.00 0 0.00 2 1 97 1.11 1.51 1.63
4.00 2 0.01 0.00 0 0.00 1 1 98 1.11 1.51 1.63
...
</pre>

Automaatse monteerimise vältimine

<pre>
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored" | grep "Volume UUID"
Volume UUID: CB4A4A81-A9EE-471D-90CA-7A116C740AC6
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored - Data" | grep "Volume UUID"
Volume UUID: 6AB10166-A262-4E22-8FE6-0D5C97C731FB

Imres-MacBook-Air:~ root# vifs

Imres-MacBook-Air:~ root# cat /etc/fstab
#
# Warning - this file should only be modified with vifs(8)
#
# Failure to do so is unsupported and may be destructive.
#

UUID=6AB10166-A262-4E22-8FE6-0D5C97C731FB none apfs rw,noauto
UUID=CB4A4A81-A9EE-471D-90CA-7A116C740AC6 none apfs rw,noauto
</pre>

Vastasel korral süsteem otsib teiselt volume'ilt ka nt Applicationid üles

[[Fail:20250903-spotlight-01.png|600px]]

Kopeerimine failisüsteemis

<pre>
Imres-MacBook-Air:~ root# ditto /Applications/Yubico\ Authenticator.app/ /Users/imreoolberg/Documents/Yubico\ Authenticator.app/
</pre>

Finder GUI liidesega programm.

USB pulk abil apsf opereerimine, volume lisamine

<pre>
Imres-MacBook-Air:~ root# diskutil eraseDisk APFS "USBTEST" /dev/disk4

Imres-MacBook-Air:~ root# diskutil apfs unlockVolume /dev/disk5s4

Imres-MacBook-Air:~ root# diskutil apfs addVolume disk5 APFS volume-05
Will export new APFS Volume "volume-05" from APFS Container Reference disk5
Started APFS operation on disk5
Preparing to add APFS Volume to APFS Container disk5
Creating APFS Volume
Created new APFS Volume disk5s5
Mounting APFS Volume
Setting volume permissions
Disk from APFS operation: disk5s5
Finished APFS operation on disk5

Imres-MacBook-Air:~ root# diskutil unmount /dev/disk5s5
Volume volume-05 on disk5s5 unmounted
Imres-MacBook-Air:~ root# diskutil mount /dev/disk5s5
Volume volume-05 on /dev/disk5s5 mounted

Imres-MacBook-Air:~ root# diskutil apfs deleteVolume /dev/disk5s4
Started APFS operation
Deleting APFS Volume from its APFS Container
Unmounting disk5s4
Erasing any xART session referenced by 9AC9146E-455D-45BA-99EC-3FE32D2CE59B
Deleting Volume
Removing any Preboot and Recovery Directories
Finished APFS operation
</pre>

Konteinerid ja volume'id

<pre>
Imres-MacBook-Air:~ root# df -h | grep part- | sort
/dev/disk5s1 1.9Gi 1.0Mi 1.9Gi 1% 109 19M 0% /Volumes/part-01-volume-01
/dev/disk6s1 3.7Gi 1.0Mi 3.7Gi 1% 109 39M 0% /Volumes/part-02-volume-01
/dev/disk7s1 11Gi 1.0Mi 11Gi 1% 113 119M 0% /Volumes/part-03-volume-01
/dev/disk8s1 12Gi 992Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-01
/dev/disk8s2 12Gi 988Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-02
/dev/disk8s3 12Gi 1.0Mi 11Gi 1% 105 120M 0% /Volumes/part-04-volume-03
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# diskutil list disk4
/dev/disk4 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *30.8 GB disk4
1: EFI EFI 209.7 MB disk4s1
2: Apple_APFS Container disk5 2.0 GB disk4s2
3: Apple_APFS Container disk6 4.0 GB disk4s3
4: Apple_APFS Container disk7 12.2 GB disk4s4
5: Apple_APFS Container disk8 12.4 GB disk4s5
</pre>

kus

* füüsiline ketas on /dev/disk4
* füüsilise ketta partitsioonid on konteinerid /dev/disk5, /dev/disk6 jne
* konteinerite sees on volume'id, nt disk8 sees on kolm tükki, s1, s2 ja s3

ning

[[Fail:20250909-disk-utility-01.png|800px]]

kus

* TODO

Failide arhiveerime ja kopeerimine süsteemist välja

<pre>
imreoolberg@Imres-MacBook-Air ~ % ditto -ck --sequesterRsrc /Users/imreoolberg /Volumes/imre-data-01/users-imreoolberg.zip
</pre>

====TRIM====

<pre>
Imres-MacBook-Air:~ root# system_profiler SPNVMeDataType
NVMExpress:

Apple SSD Controller:

APPLE SSD AP0256Z:

Capacity: 251 GB (251,000,193,024 bytes)
TRIM Support: Yes
Model: APPLE SSD AP0256Z
Revision: 2,077.140
Serial Number: 0ba028eb8328ce39
Detachable Drive: No
BSD Name: disk0
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
iSCPreboot:
Capacity: 524.3 MB (524,288,000 bytes)
BSD Name: disk0s1
Content: Apple_APFS_ISC
Macintosh HD:
Capacity: 245.11 GB (245,107,195,904 bytes)
BSD Name: disk0s2
Content: Apple_APFS
Recovery:
Capacity: 5.37 GB (5,368,664,064 bytes)
BSD Name: disk0s3
Content: Apple_APFS_Recovery

Generic SSD Controller:

WD_BLACK SN850XE 4000GB:

Capacity: 4 TB (4,000,787,030,016 bytes)
TRIM Support: Yes
Model: WD_BLACK SN850XE 4000GB
Revision: 624131EX
Serial Number: 24525S801688
Link Width: x4
Link Speed: 8.0 GT/s
Detachable Drive: No
BSD Name: disk4
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
EFI:
Capacity: 209.7 MB (209,715,200 bytes)
File System: MS-DOS FAT32
BSD Name: disk4s1
Content: EFI
Volume UUID: 0E239BC6-F960-3107-89CF-1C97F78BB46B
PRO-G40:
Capacity: 4 TB (4,000,577,273,856 bytes)
BSD Name: disk4s2
Content: Apple_APFS
</pre>

kus

* TRIM Support: Yes - trim on nendel seadmetel asuvatel apfs failisüsteemidel võimalik ja kohal st sisselülitatud
* apfs trim on ext4 fstab 'discard' sarnane, mitte 'fstrim /' cron jobs abil ütlemise sarnane
* Model: APPLE SSD AP0256Z - '256' väljendab suurust 256 GB, nt teine mudel on AP1024Z ja väljendab suurust 1 TB

===Launchd kasutamine===

<pre>
Imres-MacBook-Air:/ root# cat /Library/LaunchDaemons/com.myname.addroute.plist
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key>
<string>com.myname.addroute</string>
<key>ProgramArguments</key>
<array>
<string>/sbin/route</string>
<string>-n</string>
<string>add</string>
<string>192.0.2.1/32</string>
<string>192.168.64.2</string>
</array>
<key>RunAtLoad</key>
<true/>
</dict>
</plist>
</pre>

käivitamiseks

<pre>
Imres-MacBook-Air:/ root# launchctl load /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

tulemusena

<pre>
Imres-MacBook-Air:/ root# netstat -nr | grep 192.0.
192.0.2.1/32 192.168.64.2 UGSc bridge100
</pre>

Ta on olemas globaalses launched listis

<pre>
Imres-MacBook-Air:/ root# launchctl list | grep myn
- 0 com.myname.addroute
</pre>

Põhimõtteliselt peaks töötama ka unload, aga antud juhul ei oma see toimet selle konkreetse nähtuse one-shot olemuse tõttu

<pre>
Imres-MacBook-Air:/ root# launchctl unload /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

====Cron====

TODO

<pre>
Imres-MacBook-Air:~ root# plutil -p /System/Library/LaunchDaemons/com.apple.tmp_cleaner.plist
{
"Label" => "com.apple.tmp_cleaner"
"LowPriorityIO" => 1
"Nice" => 1
"ProgramArguments" => [
0 => "/usr/libexec/tmp_cleaner"
]
"StartCalendarInterval" => {
"Hour" => 0
}
}
</pre>

===Virtualiseerimine - UTM===

Süsteemis kirjeldatud virtuaalsed arvutid

<pre>
Imres-MacBook-Air:/ root# /System/Volumes/Data/Applications/UTM.app/Contents/MacOS/utmctl list
UUID Status Name
DE2A3E49-B049-40F9-9D79-3C1448B446C9 started vm-deb13-01
</pre>

Virtuaalse arvuti virtuaalne plokkseade

<pre>
Imres-MacBook-Air:/ root# du -sh /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
5.9G /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
</pre>

Virtuaalsele arvutile vastav võrgundus

<pre>
Imres-MacBook-Air:/ root# ifconfig bridge100
bridge100: flags=8a63<UP,BROADCAST,SMART,RUNNING,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
options=3<RXCSUM,TXCSUM>
ether fa:73:df:a0:51:64
inet 192.168.64.1 netmask 0xffffff00 broadcast 192.168.64.255
inet6 fe80::f873:dfff:fea0:5164%bridge100 prefixlen 64 scopeid 0x19
inet6 fda5:2ff0:49ee:6d45:14d7:6e80:6b22:c592 prefixlen 64 autoconf secured
Configuration:
id 0:0:0:0:0:0 priority 0 hellotime 0 fwddelay 0
maxage 0 holdcnt 0 proto stp maxaddr 100 timeout 1200
root id 0:0:0:0:0:0 priority 0 ifcost 0 port 0
ipfilter disabled flags 0x0
member: vmenet0 flags=3<LEARNING,DISCOVER>
ifmaxaddr 0 port 24 priority 0 path cost 0
Address cache:
5e:7f:36:30:6b:51 Vlan1 vmenet0 1161 flags=0<>
nd6 options=201<PERFORMNUD,DAD>
media: autoselect
status: active

Imres-MacBook-Air:/ root# ifconfig vmenet0
vmenet0: flags=8963<UP,BROADCAST,SMART,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
ether b2:7a:48:40:de:47
media: autoselect
status: active
</pre>

===Virtualiseerimine - Virtualization.framework===

TODO

Väited

* Virtualization.framework kasutamine on võimalik UTM lahendusega
* Virtualization.framework'i kasutab Rancher Desktop lahendendus
* Virtualization.framework'i kasutab Claude Desktop lahendendus (Claude Cowork ja Claude Code puhul)

Virtuaalsetele arvutitele vastavad protsessid paistavad sellised

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep Virtuali
imreoolberg 9439 0.9 4.3 439637536 728784 ?? Ss 5:05PM 8:35.18 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
imreoolberg 2439 0.3 0.3 439691712 46720 ?? Ss 10:05AM 4:55.14 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 2439 -P -n | grep claudevm
com.apple 2439 imreoolberg txt REG 1,13 131072 124423025 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/efivars.fd
com.apple 2439 imreoolberg 6u REG 1,13 10737418240 124154442 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/rootfs.img
com.apple 2439 imreoolberg 11u REG 1,13 35880960 124155054 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/sessiondata.img
</pre>

Kasulikud lisamaterjalid

* https://developer.apple.com/documentation/virtualization?language=objc

===Võrk===

Vaikimisi on application firewall välja lülitatud

<pre>
Imres-MacBook-Air:~ root# /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is disabled. (State = 0)
</pre>

ning pfctl olukord

<pre>
Imres-MacBook-Air:~ root# pfctl -si
No ALTQ support in kernel
ALTQ related functions disabled
Status: Enabled for 0 days 00:05:41 Debug: Urgent

State Table Total Rate
current entries 113
searches 11661 34.2/s
inserts 370 1.1/s
removals 257 0.8/s
Counters
match 579 1.7/s
bad-offset 0 0.0/s

Imres-MacBook-Air:~ root# pfctl -ss
No ALTQ support in kernel
ALTQ related functions disabled
ALL tcp 192.168.134.76:57540 -> 192.168.10.77:8291 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61048 <- 104.18.39.21:443 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61225 -> 192.168.10.196:80 ESTABLISHED:ESTABLISHED
ALL udp 192.168.134.76:49898 -> 142.251.151.119:443 MULTIPLE:MULTIPLE
..
</pre>

Parasjagu avatud võrgusoketid

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4TCP -sTCP:LISTEN
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 8u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 12u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 36u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
launchd 1 root 38u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
ControlCe 632 imreoolberg 10u IPv4 0xde3561cefae81e29 0t0 TCP *:7000 (LISTEN)
ControlCe 632 imreoolberg 12u IPv4 0xbbbca5f5375388e5 0t0 TCP *:5000 (LISTEN)
rapportd 633 imreoolberg 10u IPv4 0x7505a25821d3a7df 0t0 TCP *:49152 (LISTEN)
zabbix_ag 6815 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
zabbix_ag 6816 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
...
</pre>

kus

* vaikimisi pfctl ei ole aktiivne, aga nt utm virtuaalse arvuti käivitamine aktiveerib (pfctl teeb utm arvutile src-nat teisendust
* pfctl laseb praktiliselt igasuguse liikluse läbi (nö tavaline brauser -> internet liiklus jms nö registreeritakse pfctl paketifiltriga, aga lubatakse läbi)
* 8021 on pfctl ftp-proxy mooduliga seotud
* 7000 ja 5000 pordid on seotud airdrop ja airport jms osakondadega (airport on vana aja nimetus everything-wifi kohta mac puhul)

Misc

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4UDP
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 7u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 8u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 39u IPv4 0x8d461240652f3ced 0t0 UDP *:138
launchd 1 root 40u IPv4 0xb4b96b1c5de038ec 0t0 UDP *:137
mDNSRespo 441 _mdnsresponder 6u IPv4 0x2d5727fb23b4e854 0t0 UDP *:5353
mDNSRespo 441 _mdnsresponder 14u IPv4 0x1ed59c3cb4235fee 0t0 UDP *:53
airportd 455 root 4u IPv4 0x6e0c4f2c444299c 0t0 UDP *:*
airportd 455 root 9u IPv6 0xea04c0f07ef2ac65 0t0 UDP *:*
airportd 455 root 11u IPv4 0xb4a853f1977e96bf 0t0 UDP *:*
airportd 455 root 12u IPv4 0x6e9d20d0d8a5c95f 0t0 UDP *:*
...
</pre>

====Riistvara====

Võrguliidese MTU muutmiseks

<pre>
imreoolberg@Imres-MacBook-Air ~ % networksetup -listallnetworkservices
An asterisk (*) denotes that a network service is disabled.
USB 10/100/1000 LAN
USB 10/100/1G/2.5G LAN
USB 10/100/1G/2.5G LAN 2
Thunderbolt Bridge
Wi-Fi

imreoolberg@Imres-MacBook-Air ~ % networksetup -getMTU Wi-Fi
Active MTU: 1500 (Current Setting: 1500)

# networksetup -setMTU Wi-Fi 1400
</pre>

====Ruuting====

ipv4 ruutingutabeli esitamine

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet
Routing tables

Internet:
Destination Gateway Flags Netif Expire
default 192.168.134.77 UGScg en0
127 127.0.0.1 UCS lo0
127.0.0.1 127.0.0.1 UH lo0
169.254 link#12 UCS en0 !
192.168.134 link#12 UCS en0 !
192.168.134.2/32 link#12 UCS en0 !
192.168.134.77/32 link#12 UCS en0 !
192.168.134.77 64:d1:54:a7:cc:99 UHLWIir en0 1199
192.168.134.255 ff:ff:ff:ff:ff:ff UHLWbI en0 !
224.0.0/4 link#12 UmCS en0 !
224.0.0.251 1:0:5e:0:0:fb UHmLWI en0
255.255.255.255/32 link#12 UCS en0 !
</pre>

====Võrk - bluetooth====

Kuigi 2025 aastal müüdavate Apple Magic Keyboard puhul paljuski väljendatakse, et nad on kasutatavad wireless režiimis ja jääb mulje, et ainult nii, siis osutub, et tegelikult neil on toiteks mõeldud usb kaabel usb siiski ka andmevahetuseks võimaline. non-radio kasutamiseks

* system setting - bluetooth osakonnas lülitada välja bluetooth terviklikult, näiteks
* klaviatuur jätkab töötamist

====Võrk - wireless====

<pre>
Imres-MacBook-Air:~ root# wdutil info | head -n 44
————————————————————————————————————————————————————————————————————
NETWORK
————————————————————————————————————————————————————————————————————
Primary IPv4 : en0 (Wi-Fi / 9B1345E5-7303-47E8-9C98-5C1D150E7921)
: 192.168.134.74
Primary IPv6 : None
DNS Addresses : 1.1.1.1
Apple : Reachable
————————————————————————————————————————————————————————————————————
WIFI
————————————————————————————————————————————————————————————————————
MAC Address : <redacted> (hw=<redacted>)
Interface Name : en0
Power : On [On]
Op Mode : STA
SSID : <redacted>
BSSID : <redacted>
RSSI : -83 dBm
CCA : 2 %
Noise : -94 dBm
Tx Rate : 65.0 Mbps
Security : WPA2 Personal
PHY Mode : 11ac
MCS Index : 1
Guard Interval : 400
NSS : 1
Channel : 5g36/80
Country Code : EE
Scan Cache Count : 3
NetworkServiceID : 9B1345E5-7303-47E8-9C98-5C1D150E7921
IPv4 Config Method : DHCP
IPv4 Address : 192.168.134.74
IPv4 Router : 192.168.134.77
IPv6 Config Method : Automatic
IPv6 Address : fe80::ccb:dc0f:9b07:4271
IPv6 Router : None
DNS : 1.1.1.1
BTC Mode : Off
Desense :
Chain Ack : []
BTC Profile 2.4GHz : Disabled
BTC Profile 5GHz : Disabled
Sniffer Supported : YES
Supports 6e : Yes
</pre>

kus

* alumiselt pildilt tunneb ära sama info, nt channel 5g36/80
* 11ac tähistab protokolli 802.11ac

Visuaalne kujutis samas olukorras

[[Fail:20260718-macos-wifi-01.png|1000px]]

kus

* TODO

====SSH kaugligipääs====

Eemalt ligipääsu võimaldamiseks, ei pruugi olla hea mõte

[[Fail:20260706-macos-ssh-remote-access-01.png|600px]]

kus

* Remote Login

===Tarkvara haldus===

====Mõisted====

* DMG - disk image

====Sissejuhatus====

Üldiselt tekib tarkvara macos süsteemi kolmest allikast

* süsteemne tarkvara - nö süsteemi enda paigaldamise tagajärel, nt Safari brauser
* App Store - apple.com standardne viis tarkvara levitada, nt Yubico Authenticator
* tootja levitab - igasugused huvilised, ausama ja vähem ausamad levitavad .dmg formaadis tõmmist oma veebikohas/repos/jms - nt BetterTouchTool

Tarkvara paigaldamisel võiks eelistada App Store lahendust võimalusel

* tarkvara on läbinud teatud turvalisuse jms kaanonitega seotud protseduurid
* paigaldamise järgne uuendamine toimub automaatselt, sarnaselt põhisüsteemi tarkvaraga

Rakenduste jaoks on üldiselt kolm asukohta failisüsteemis

* /System/Applications - read only
* /Applications - read write
* ~/Applications ehk nt /Users/imreoolberg/Applications - read write

~/Applications kataloogi on realistlik paigaldada nö lihtsat tarkvara, nt mis ei sisalda kernel extensioneid vms (nt OpenVPN ei saa, aga XCA saab). Paigaldamine toimub Finder gui liideses .dmg sees oleva .app kataloogi vedamise teel ~/Applications kataloogi või käsureal nt

$ ditto /Volumes/XCA/xca.app ~/Applications

====Tarkvara allikad====

TODO

Mitte-ametlikud registrid

* https://www.macupdate.com/
* https://www.apponic.com/mac/

====Tööpõhimõte - drag-and-drop install====

Tundub, et lihtsamal juhul tarkvara paigaldamine seisneb lihtsalt failide kopeerimises .dmg failist arvuti kataloogi /Applications. .dmg faili moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil create -ov -fs "APFS" -size 200m -volname "SimpleCalc" MyDisk.dmg
</pre>

monteerimine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil attach MyDisk.dmg
</pre>

Sisu moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % date > /Volumes/SimpleCalc/testfile.txt
</pre>

lahti ühendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil detach /Volumes/SimpleCalc
</pre>

teisendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil convert MyDisk.dmg -format UDZO -o SimpleCalc-1.0.dmg
</pre>

Kui on soov läbi proovida nö omatehtud .dmg ja elamus, siis sobib

* mingi olemasolev lihtne .app põhine rakendus võtta aluseks - nt xca rakendus
* tema sisu kopeerida omatehtud .dmg sisse
* lõpuks selle abil tarkvara paigaldada

Osutub, et kui Finderis öelda Open siis monteeritaks .dmg nagu virtuaalne failipõhine plokkseade, mille juurkataloogi sisuks on peamiselt kaks sissekannet

* link /Applications kataloogile
* xca.app kataloog rakendusega

Ja Open avab ka nö erilises vaates Finderi, kus on näha nö traditsiooniline hiirega drag-and-drop install vaade, tehniliselt toimub tavaline kataloog-kopeeritakse-kataloogi muudatus.

MacOS sellist drag viisil tehtud tarkvara paigalduse ei registreeri kuskil keskses tarkvara-registris vms. Selline tarkvara paigaldamine on tehniliselt kataloogi kopeerimine, millega kaasneb signatuuri kontroll jms administratiivne element.

====Tööpõhimõte - installer packages====

<pre>
$ pkgutil --packages
$ pkgutil --files paketinimi
</pre>

====Paigaldatud tarkvara nimekirja esitamine====

GUI

<pre>
System Settings -> General -> System report -> Software -> Applications -> not obtained-from Apple
</pre>

käsurealt

<pre>
imreoolberg@Imres-MacBook-Air ~ % system_profiler SPApplicationsDataType | grep -B 3 -A 5 "Identified De" | head -n 20
Google Chrome:

Version: 140.0.7339.81
Obtained from: Identified Developer
Last Modified: 30.08.2025, 01:47
Kind: Universal
Signed by: Developer ID Application: Google LLC (EQHXZ8M8AV), Developer ID Certification Authority, Apple Root CA
Location: /Applications/Google Chrome.app
Get Info String: Google Chrome 140.0.7339.81, Copyright 2025 Google LLC. All rights reserved.
--
iTerm:

Version: 3.5.14
Obtained from: Identified Developer
Last Modified: 16.05.2025, 02:59
Kind: Universal
Signed by: Developer ID Application: GEORGE NACHMAN (H7V7XYVQ7D), Developer ID Certification Authority, Apple Root CA
Location: /Applications/iTerm.app
Get Info String: 3.5.14
--
</pre>

Üks viis on küsida failisüsteemis

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep imreoo
drwxr-xr-x@ 3 imreoolberg staff 96 Sep 3 11:10 /Applications/BetterTouchTool.app
drwxrwxr-x@ 3 imreoolberg admin 96 Aug 30 01:47 /Applications/Google Chrome.app
drwxr-xr-x@ 3 imreoolberg staff 96 May 16 02:59 /Applications/iTerm.app
drwxr-xr-x@ 3 imreoolberg admin 96 Apr 8 08:11 /Applications/UTM.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 25 15:41 /Applications/Visual Studio Code.app

imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep qdigi
drwxr-xr-x@ 3 root wheel 96 Sep 8 16:56 /Applications/qdigidoc4.app
</pre>

kus

* sõltuvalt paigaldusviisist on faili omanik erinev
* põhimõtteliselt tekib sellisest lähenemisest probleeme, nt mis siis kui süsteemil on mitu kasutajat, installinud kasutaja eemaldatakse jne - üks viis on kasutada süsteemis ühte non-personal administraator kasutajat kes tegeleb tarkvara paigaldamisega jms, ja ülejäänud kasutavad tarkvara
* @ tähistab asjaolu, et failiga on seotud apfs failisüsteemi extended attributs omadused, nt registreeritakse sedasi autor

<pre>
imreoolberg@Imres-MacBook-Air ~ % xattr -p com.apple.appstore.vendor_name "/Applications/Yubico Authenticator.app"
Yubico
</pre>

====Paigaldamine - App Store====

TODO

[[Fail:20250908-app-store-yubico-authenticator-01.png|900px]]

kus

* pressida Get -> Install -> Open
* tarkvara 'Obtained from' väärtuseks on 'App store'
* online otsing - https://www.apple.com/us/search/yubico?src=globalnav

====Paigaldamine - tootja juurest kopeerides====

TODO

====Tarkvara uuendamine====

Väited

* tarkvara uuendusi ei väljastata kindlaksmääratud aegadel (nt nagu Ubuntu või OpenBSD puhul)
* tarkvara uuendusi väljastatakse mitmel korral aastas ja vastavalt vajadusele
* tarkvara uuendused jaotuvad: 1. turva-uuendused, 2. vigade parandused, 3. funktsionaalsed muudatused
* tarkvara uuendusi koheldatakse terviklikult, st ei ole eraldi nt süsteemi osas ja rakendustarkvara, või pakettide nimekiri, millest saab teha käesoleva uuenduse korra jaoks valiku

Nt 2025 aastal on olnud selline uuenduste ajalugu

* January 27: macOS Sequoia 15.3, macOS Sonoma 14.7.3, and macOS Ventura 13.7.3 were released with security patches.
* February 10: An urgent security update, macOS Sequoia 15.3.1, was released.
* March 11: macOS Sequoia 15.3.2 was released, addressing security vulnerabilities in WebKit.
* March 31: macOS Sequoia 15.4, macOS Sonoma 14.7.5, and macOS Ventura 13.7.5 were released.
* April 16: macOS Sequoia 15.4.1 was released, providing security patches.
* May 12: macOS Sequoia 15.5, macOS Sonoma 14.7.6, and macOS Ventura 13.7.6 were released.
* July 29: macOS Sequoia 15.6, macOS Sonoma 14.7.7, and macOS Ventura 13.7.7 were released.
* August 20: macOS Sequoia 15.6.1 was released with security updates.

Käsundamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % sw_vers
ProductName: macOS
ProductVersion: 15.3
BuildVersion: 24D2059

imreoolberg@Imres-MacBook-Air ~ % softwareupdate -l
Software Update Tool

Finding available software
Software Update found the following new or updated software:
* Label: macOS Sequoia 15.6.1-24G90
Title: macOS Sequoia 15.6.1, Version: 15.6.1, Size: 6160384KiB, Recommended: YES, Action: restart,
</pre>

====Tarkvara uuendamine - App Store====

App Store rakendus vasakus paneelis on kõige all valik

Updates

[[Fail:20251203-macos-app-store-updates-01.png|800px]]

===Logi===

TODO

Kui klaviatuuri ja hiire kasutamine olid ebastabiilsed, siis soovitas gemini.google midagi sellist küsida, ei tea mis siit järeldada

<pre>
imreoolberg@Imres-MacBook-Air ~ % log show --predicate 'process == "WindowServer"' --style syslog --last 40m| grep -i skyl | tail -n 10
2026-07-06 00:49:00.495406+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:00.600614+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.751674+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.767823+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.824865+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] pid 771 failed to act on a ping it dequeued before timing out.
2026-07-06 00:49:00.847454+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.083920+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.175320+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.498496+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:01.498503+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
</pre>

===Misc===

====Screen Lock====

Tundub, et caffeinate on hästi efektiivne

$ caffeinate -di

====Watchdog====

Väited

* hardware watchdog on paratamatult sisse lülitatud
* software watchdog on seaditatav, vaikimisi on sisse lülitatud

<pre>
TODO
</pre>

====Programm====

Käivitamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % open -a BetterTouchTool
imreoolberg@Imres-MacBook-Air ~ %

imreoolberg@Imres-MacBook-Air ~ % "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
13:09:53.164 [desktop.init] INFO: Logging initialized, outputting to stderr
13:09:53.173 [desktop.init] INFO: Window hidden on startup: false
13:09:53.174 [desktop.init] INFO: Starting Helper subprocess: /Applications/Yubico Authenticator.app/Contents/Resources/helper/authenticator-helper
13:09:53.175 [desktop.init] INFO: Helper process started
13:09:53.176 [main] INFO: Running Yubico Authenticator...
{app_version: 7.2.3, dart: 3.8.1 (stable) (Wed May 28 00:47:25 2025 -0700) on "macos_arm64", os: macos, os_version: Version 15.6.1 (Build 24G90)}
13:09:53.302 [helper.ykman.logging] INFO: Logging at level: INFO
13:09:53.302 [helper.helper.device] INFO: Log level set to: INFO
13:09:53.302 [desktop.init] INFO: Helper log level set
13:09:53.327 [desktop.devices] INFO: USB state change
{"data":{"state":5740354900026072187,"pids":{}},"actions":["get","scan"],"children":{}}
13:09:53.327 [desktop.devices] INFO: USB state updated, unaccounted for: {}
..
</pre>

edasi

<pre>
Imres-MacBook-Air:/ root# file "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator: Mach-O universal binary with 2 architectures: [x86_64:Mach-O 64-bit executable x86_64] [arm64:Mach-O 64-bit executable arm64]
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture x86_64): Mach-O 64-bit executable x86_64
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture arm64): Mach-O 64-bit executable arm64
Imres-MacBook-Air:/ root#
</pre>

<pre>
imreoolberg@Imres-MacBook-Air Documents % cat hello.c
#include <stdio.h>

int main() {
printf("Hello, World!\n");
return 0;
}
</pre>

kompileerimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % clang hello.c -o hello
</pre>

käivitamine

<pre>
imreoolberg@Imres-MacBook-Air Documents % ./hello
Hello, World!
</pre>

otool abil binary uurimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % otool -L hello
hello:
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1351.0.0)
</pre>

yubico authenticator binary uurimine

<pre>
Imres-MacBook-Air:/ root# otool -L "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture x86_64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture arm64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
</pre>

kus

* @rpath viitab rakenduse kapsli sisestele ressurssidele

====dtruss====

<pre>
Imres-MacBook-Air:/ root# dtruss -p 65630 2>&1 | tail -n 1

: probe description syscall:::entry does not match any probes. System Integrity Protection is on

imreoolberg@Imres-MacBook-Air Documents % dtruss ./hello
dtrace: system integrity protection is on, some features will not be available
dtrace: failed to initialize dtrace: DTrace requires additional privileges
</pre>

====Screenshot====

Tähistatud ala

<pre>
Command + Shift + 4
</pre>

Kogu ekraan

<pre>
Command + Shift + 3
</pre>

Screen cast

<pre>
Command + Shift + 5
</pre>

Vaikimisi asub pildistus iseloomuliku nimega failis desktopil.

===Süsteemi taastamine===

====Recovery meedia ettevalmistamine====

<pre>
Imres-MacBook-Air:/ root# diskutil eraseDisk JHFS+ "MyVolume" /dev/disk4
Started erase on disk4
Unmounting disk
Creating the partition map
Waiting for partitions to activate
Formatting disk4s2 as Mac OS Extended (Journaled) with name MyVolume
Initialized /dev/rdisk4s2 as a 28 GB case-insensitive HFS Plus volume with a 8192k journal
Mounting disk
Finished erase on disk4

Imres-MacBook-Air:/ root# /Applications/Install\ macOS\ Sequoia.app/Contents/Resources/createinstallmedia --volume /Volumes/MyVolume
Ready to start.
To continue we need to erase the volume at /Volumes/MyVolume.
If you wish to continue type (Y) then press return: y
Erasing disk: 0%... 10%... 20%... 30%... 100%
Copying essential files...
Copying the macOS RecoveryOS...
Making disk bootable...
Copying to disk: 0%... 10%... 20%... 30%... 40%... 50%... 60%... 70%... 80%... 90%... 100%
Install media now available at "/Volumes/Install macOS Sequoia"
Imres-MacBook-Air:/ root# echo $?
0

# diskutil unmount /Volumes/Install\ macOS\ Sequoia
</pre>

Protseduur

1. Create a New APFS Volume
The first step is to create a new, separate volume on your internal drive where you will restore the backup.

Boot from your USB installer by holding the Option key on startup.

In the macOS Utilities window, select Disk Utility and click Continue.

In Disk Utility, go to the menu bar and select View > Show All Devices.

In the sidebar, select the APFS container (the device, not the volume) that holds your current macOS installation.

Click the + button in the toolbar to add a new APFS volume.

Give the new volume a name (e.g., "macOS Restored") and click Add. This process is very fast as APFS volumes share the same free space.

Once the new volume appears in the sidebar, close Disk Utility.

2. Restore the Backup to the New Volume
Now that the new volume is ready, you can restore your Time Machine backup to it.

From the macOS Utilities window, select Restore From Time Machine Backup and click Continue.

Follow the on-screen instructions, selecting your Time Machine backup drive when prompted.

When the installer asks you to choose a destination disk, you will see your original macOS volume and the new "macOS Restored" volume you just created.

Select the new "macOS Restored" volume as the destination for the restoration. The installer will then proceed to restore the system to that specific volume only.

After the restoration is complete, you can restart your Mac and, by holding down the Option key, you will be able to choose between your original macOS system and the restored system on the second volume.

===homebrew===

<pre>
imre@imre-mac ~ % /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
==> Checking for `sudo` access (which may request your password)...
Password:
==> This script will install:
/opt/homebrew/bin/brew
/opt/homebrew/share/doc/homebrew
/opt/homebrew/share/man/man1/brew.1
/opt/homebrew/share/zsh/site-functions/_brew
/opt/homebrew/etc/bash_completion.d/brew
/opt/homebrew
/etc/paths.d/homebrew
==> The following new directories will be created:
/opt/homebrew/bin
/opt/homebrew/etc
/opt/homebrew/include
/opt/homebrew/lib
/opt/homebrew/sbin
/opt/homebrew/share
/opt/homebrew/var
/opt/homebrew/opt
/opt/homebrew/share/zsh
/opt/homebrew/share/zsh/site-functions
/opt/homebrew/var/homebrew
/opt/homebrew/var/homebrew/linked
/opt/homebrew/Cellar
/opt/homebrew/Caskroom
/opt/homebrew/Frameworks
==> The Xcode Command Line Tools will be installed.

Press RETURN/ENTER to continue or any other key to abort:
==> /usr/bin/sudo /usr/bin/install -d -o root -g wheel -m 0755 /opt/homebrew
==> /usr/bin/sudo /bin/mkdir -p /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod ug=rwx /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod go-w /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions
==> /usr/bin/sudo /usr/sbin/chown imre /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/bin/chgrp admin /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/sbin/chown -R imre:admin /opt/homebrew
==> Searching online for the Command Line Tools
==> /usr/bin/sudo /usr/bin/touch /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Installing Command Line Tools for Xcode-16.4
==> /usr/bin/sudo /usr/sbin/softwareupdate -i Command\ Line\ Tools\ for\ Xcode-16.4
Software Update Tool

Finding available software

Downloading Command Line Tools for Xcode

Downloaded Command Line Tools for Xcode
Installing Command Line Tools for Xcode
Done with Command Line Tools for Xcode
Done.
==> /usr/bin/sudo /usr/bin/xcode-select --switch /Library/Developer/CommandLineTools
Password:
Sorry, try again.
Password:
==> /usr/bin/sudo /bin/rm -f /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Downloading and installing Homebrew...
remote: Enumerating objects: 310493, done.
remote: Counting objects: 100% (16399/16399), done.
remote: Compressing objects: 100% (608/608), done.
remote: Total 310493 (delta 15991), reused 15838 (delta 15791), pack-reused 294094 (from 3)
remote: Enumerating objects: 55, done.
remote: Counting objects: 100% (34/34), done.
remote: Total 55 (delta 33), reused 33 (delta 33), pack-reused 21 (from 1)
==> /usr/bin/sudo /bin/mkdir -p /etc/paths.d
==> /usr/bin/sudo tee /etc/paths.d/homebrew
/opt/homebrew/bin
==> /usr/bin/sudo /usr/sbin/chown root:wheel /etc/paths.d/homebrew
==> /usr/bin/sudo /bin/chmod a+r /etc/paths.d/homebrew
==> Updating Homebrew...
==> Downloading https://ghcr.io/v2/homebrew/portable-ruby/portable-ruby/blobs/sha256:20fa657858e44a4b39171d6e4111f8a9716eb62a78ebbd1491d94f90bb7b830a
################################################################################################################################################################ 100.0%
==> Pouring portable-ruby-3.4.5.arm64_big_sur.bottle.tar.gz
==> Installation successful!

==> Homebrew has enabled anonymous aggregate formulae and cask analytics.
Read the analytics documentation (and how to opt-out) here:
https://docs.brew.sh/Analytics
No analytics data has been sent yet (nor will any be during this install run).

==> Homebrew is run entirely by unpaid volunteers. Please consider donating:
https://github.com/Homebrew/brew#donations

==> Next steps:
- Run these commands in your terminal to add Homebrew to your PATH:
echo >> /Users/imre/.zprofile
echo 'eval "$(/opt/homebrew/bin/brew shellenv)"' >> /Users/imre/.zprofile
eval "$(/opt/homebrew/bin/brew shellenv)"
- Run brew help to get started
- Further documentation:
https://docs.brew.sh

imre@imre-mac ~ %
</pre>

pyhton 3.13

<pre>
imre@imre-mac ti % brew install python@3.13
==> Fetching downloads for: python@3.13
==> Downloading https://ghcr.io/v2/homebrew/core/python/3.13/manifests/3.13.7
#################################################################################################################### 100.0%
==> Fetching dependencies for python@3.13: mpdecimal, ca-certificates, openssl@3, readline, sqlite and xz
==> Downloading https://ghcr.io/v2/homebrew/core/mpdecimal/manifests/4.0.1
#################################################################################################################### 100.0%
==> Fetching mpdecimal
...

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
==> Summary
🍺 /opt/homebrew/Cellar/python@3.13/3.13.7: 3,620 files, 66.6MB
==> Running `brew cleanup python@3.13`...
Disable this behaviour by setting `HOMEBREW_NO_INSTALL_CLEANUP=1`.
Hide these hints with `HOMEBREW_NO_ENV_HINTS=1` (see `man brew`).
==> No outdated dependents to upgrade!
==> Caveats
==> python@3.13
Python is installed as
/opt/homebrew/bin/python3

Unversioned symlinks `python`, `python-config`, `pip` etc. pointing to
`python3`, `python3-config`, `pip3` etc., respectively, are installed into
/opt/homebrew/opt/python@3.13/libexec/bin

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
imre@imre-mac ti %

(py_venv) imre@imre-mac ti % brew tap hashicorp/tap
==> Tapping hashicorp/tap
Cloning into '/opt/homebrew/Library/Taps/hashicorp/homebrew-tap'...
remote: Enumerating objects: 5818, done.
remote: Counting objects: 100% (1132/1132), done.
remote: Compressing objects: 100% (221/221), done.
remote: Total 5818 (delta 1015), reused 913 (delta 911), pack-reused 4686 (from 3)
Receiving objects: 100% (5818/5818), 1.01 MiB | 1.18 MiB/s, done.
Resolving deltas: 100% (4104/4104), done.
Tapped 2 casks and 32 formulae (93 files, 1.3MB).
(py_venv) imre@imre-mac ti % brew install hashicorp/tap/vault
</pre>

===Xcode Command Line Tools===

Xcide CLI koosseisu kuuluvad muu hulgas

* git
* clang
* gcc

Paigaldamiseks sobib öelda

<pre>
# xcode-select --install
</pre>

to check

<pre>
imreoolberg@Imres-MacBook-Air ~ % xcode-select -p
/Library/Developer/CommandLineTools
</pre>

===Spaces===

Väited

* Spaces võimaldab tegeleda macos peal virtuaalsete desktop'idega
* käitumist kontrollib üldiselt 'System Settings -> Desktop & Dock -> Displays have separate Spaces' väärtus (vaikimisi 'On')
* F3 klahv abil saab Spaces riba kuvada monitoride üleosas
* Space'i saab liigutada monitoride vahel hiirega tirides, v.a. aktiivset space'i
* Space'ide vahel saab liikuda Control + left/righ arrow key abil
* Rakendust saab liigutada space'ide vahel minnes nn Mission Control vaatesse ja siis hiirega rakenduse akent lohistades
* Space sulgemisel paigutatakse vastavad aknad eelmisele space'ile

===Kellaaeg===

Süsteemi aeg

<pre>
Imres-MacBook-Air:~ root# date
Sat Sep 13 23:36:17 EEST 2025
</pre>

NTP serverilt kellaaja küsimine

<pre>
Imres-MacBook-Air:~ root# sntp time.apple.com
+0.049514 +/- 0.014280 time.apple.com 17.253.38.35
</pre>

Väärtuse küsimine

<pre>
Imres-MacBook-Air:~ root# systemsetup -getnetworktimeserver
Network Time Server: time.euro.apple.com
</pre>

Väärtuse muutmine

<pre>
Imres-MacBook-Air:~ root# systemsetup -setnetworktimeserver time.euro.apple.com
</pre>

Logist kellaajaga seotud sündmuste kohta küsimine

<pre>
Imres-MacBook-Air:~ root# log stream --predicate 'subsystem == "com.apple.timed"
</pre>

Kas kellaaeg automaatne hoidmine on kasutuses

<pre>
Imres-MacBook-Air:~ root# systemsetup -getusingnetworktime
Network Time: On
</pre>

===BSD pärand===

<pre>
imreoolberg@Imres-MacBook-Air ~ % which openssl
/usr/bin/openssl
imreoolberg@Imres-MacBook-Air ~ % openssl version
LibreSSL 3.3.6

Imres-MacBook-Air:~ root# ssh -V
OpenSSH_9.9p2, LibreSSL 3.3.6

Imres-MacBook-Air:~ root# pfctl -v
No ALTQ support in kernel
ALTQ related functions disabled

Imres-MacBook-Air:~ root# netstat -nr -f inet
</pre>

Süsteemsete kasutajate nimed algavad alakriipsuga (nt sarnaselt toimib OpenBSD), nt timed (ntp local protsess) töötab kasutajana _timed

<pre>
Imres-MacBook-Air:~ root# ps aux | grep timed
_timed 373 0.0 0.0 426967056 4576 ?? Ss Tue02PM 0:03.41 /usr/libexec/timed
</pre>

/etc/passwd failis on palju nö legacy kasutajad mille nimi viitab nö klassikalisele lahendusele

<pre>
Imres-MacBook-Air:~ root# egrep "_postgres|_dovenull|_postfix|_avamis|_clamav|_cyrus|_mailman|_cvs|_mysql|_jabber|_ftp" /etc/passwd
_postfix:*:27:27:Postfix Mail Server:/var/spool/postfix:/usr/bin/false
_cvs:*:72:72:CVS Server:/var/empty:/usr/bin/false
_mysql:*:74:74:MySQL Server:/var/empty:/usr/bin/false
_cyrus:*:77:6:Cyrus Administrator:/var/imap:/usr/bin/false
_mailman:*:78:78:Mailman List Server:/var/empty:/usr/bin/false
_clamav:*:82:82:ClamAV Daemon:/var/virusmails:/usr/bin/false
_jabber:*:84:84:Jabber XMPP Server:/var/empty:/usr/bin/false
_ftp:*:98:-2:FTP Daemon:/var/empty:/usr/bin/false
_postgres:*:216:216:PostgreSQL Server:/var/empty:/usr/bin/false
_dovenull:*:227:227:Dovecot Authentication:/var/empty:/usr/bin/false
</pre>

===Süsteemi paigaldamine===

Eesmärk

* paigaldada töötav töökoha keskkond
* valmituda juhtumiks kui kasutaja parool kaob ja on vaja seda taastada (teha reset)

TODO

===Google Chrome brauser===

TODO

Google Chrome brauseril on lubatud kuvada ssh privaatset võtit, nt

file:///Users/imreoolberg/.ssh/id_ed25519

Analoogliselt on see lubatud Ubuntu 24.04 platvormil, aga nt OpenBSD puhul mitte (tänu unveil tehnoloogiale).

===GateKeeper===

Kui kopeerida internetist tarkvara nt .dmg kujul ja paigaldada, siis esimesel käivitamisel küsib süsteem, et kas ikka käivitada see internetist kopeeritud programm, küsimus ja vastusega tegelemine on seotud xattr parameetriga com.apple.quarantine

<pre>
Imres-MacBook-Air:~ root# xattr -p com.apple.quarantine /Applications/KeePassXC.app
0181;68c6f083;Chrome;AF698614-F806-4A2B-B66C-4B09CB133779
</pre>
ja
<pre>
# spctl
</pre>

ja

<pre>
Imres-MacBook-Air:~ root# sqlite3 /Users/imreoolberg/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2
SQLite version 3.43.2 2023-10-10 13:08:14
Enter ".help" for usage hints.

sqlite> .schema
CREATE TABLE LSQuarantineEvent ( LSQuarantineEventIdentifier TEXT PRIMARY KEY NOT NULL, LSQuarantineTimeStamp REAL, LSQuarantineAgentBundleIdentifier TEXT, LSQuarantineAgentName TEXT, LSQuarantineDataURLString TEXT, LSQuarantineSenderName TEXT, LSQuarantineSenderAddress TEXT, LSQuarantineTypeNumber INTEGER, LSQuarantineOriginTitle TEXT, LSQuarantineOriginURLString TEXT, LSQuarantineOriginAlias BLOB );
CREATE INDEX LSQuarantineEventIndex ON LSQuarantineEvent ( LSQuarantineEventIdentifier );
CREATE INDEX LSQuarantineTimeStampIndex ON LSQuarantineEvent ( LSQuarantineTimeStamp );

sqlite> select * from LSQuarantineEvent;
9446C9BF-45BE-49C7-8EBE-2F15796AC8C8|778543831.0|com.google.Chrome|Chrome||||0|||
BDC2404B-51CD-4561-B50B-97C0C4272BF4|778543831.0|com.google.Chrome|Chrome||||0|||
295142B0-B654-4691-9F45-774441058E9A|778543831.0|com.google.Chrome|Chrome||||0|||
E806F7A8-856B-4A57-ADD6-0FFC2CAEECCB|778543833.0|com.google.Chrome|Chrome||||0|||
</pre>

===Transparency, Consent, and Control (TCC)===

Esmakordsel käivitamisel küsitakse vahel kataloogide ja failide avamise õiguse kohta, sellega tegeleb TCC. Tulemus on paista nt

System Settings -> Privacy & Security -> KeePassXC -> xxx

<pre>
Imres-MacBook-Air:~ root# mdls -name kMDItemCFBundleIdentifier /Applications/KeePassXC.app
kMDItemCFBundleIdentifier = "org.keepassxc.keepassxc"
</pre>

ning eemaldamiseks

<pre>
Imres-MacBook-Air:~ root# tccutil reset All org.keepassxc.keepassxc
Successfully reset All approval status for org.keepassxc.keepassxc
</pre>

===Kasutajate haldamine===

Kasutaja tekitamiseks sobib

System Settings -> Users & Groups -> Add User -> ...

Teise kasutajana lisaks sisse logimiseks sobib kasutada

System Settings -> Control Center -> Fast User Switching -> ...

===Eesti id kaart===

TODO

Peale paigaldamist on

System Settings -> ID-updater

===Finder===

Finder programm on sarnane nö vana-aja Windows Explorer programmile või XFCE4 prorammile Thunar.

Vasaku sidebar ehk paneeli sisu muutmiseks sobib kasutada Finder -> Settings ja nt muuta nähtavaks kasutaja kodukataloog.

===XQuartz===

Väited

* X11 põhiste rakenduste töötamiseks vajalik tarkvara (nö linux traditsiooni juhtumiks)
* X2go töötamise eelduseks

===Locale===

MacOS on väga utf-8 keskne süsteem, graafiliste rakenduste ja käsurea osakonnas

<pre>
imreoolberg@Imres-MacBook-Air ~ % env | grep LANG
LANG=en_US.UTF-8

imreoolberg@Imres-MacBook-Air ~ % locale
LANG="en_US.UTF-8"
LC_COLLATE="en_US.UTF-8"
LC_CTYPE="en_US.UTF-8"
LC_MESSAGES="en_US.UTF-8"
LC_MONETARY="en_US.UTF-8"
LC_NUMERIC="en_US.UTF-8"
LC_TIME="en_US.UTF-8"
LC_ALL=
</pre>

Juhtimiseks sobib kasutada faili ~/.zshrc

===Mälu haldus===

Käesolevat mälukasutust saab jälgida Activity Monitor utiliidi abil

[[Fail:20250918-macos-memory-01.png|900px]]

kus

* physical memory - arvuti riistvaralise mälu hulk
* memory used - mälu hulk mida operatsioonisüteem moel või teisel aktiivsemalt/vähem-aktiivsemalt/jne kasutab
* swap used - plokkseadmele/failisüsteemi salvestatud/puhverdatud mälu sisu

Memory Used koosneb neljast osast

* app memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis on välja swapitav, kokku pakitav jms paindlik
* wired memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis ei ole välja swapitav, kokku pakitav jms paindlik
* cached files - apfs jt failisüsteemide cache, st mällu puhverdatud sisu (tõenäoliselt teeb lugemise oluliselt kiiremaks)
* kokku pakitud mälule vastav maht mis kulub pakitud sisu hoidmiseks (mis on pakitud kujul)

'Compressed' väärtus väljendab, milline kokkupakkimata maht õnnestus kokku pakkida.

Väited

* arvutis on 'available memory' maht 16.00 - 12.84 = 3.16 G mälu - st see on ressurss, mida saab süsteem kohe kasutada täiendavate vajaduste jaoks
* kokku pakitud kujul olevate andmete maht on 12.84 - 5.90 - 2.17 - 3.30 = 1.47
* kokku pakkkimise efektiivsus on 3.96/1.47 = 2.69 st peaaegu 3x
* kuigi süsteemis on vaba mälu, siis on süsteem otsustanud siiski 175.6 MB välja swappida, ju ta teab mis teeb, ja nii on olnud otstarbekas
* cached files maht on selline ressurss, mille saab süsteem kiiresti võtta uude kasutusse, st nt rakenduse koodi jaoks

Swap asub failisüsteemis kataloogis /private/var/vm.

===Yubico Authenticator===

====Tööpõhimõte====

Yubico tootja krüptoseadmed on hästi populaarsed ja korralikud, Eestis on ka nende kasutamine päris levinud

[[Fail:20260718-macos-yubico-01.png|700px]]

Füüsilise seadme haldamiseks on kasutada tarkvara 'Yubico Authenticator'

[[Fail:20260718-macos-yubico-02.png|600px]]

kus

* nime 'Authenticator' viitab justkui TOTP tüüpi rakendusele, tegelikult on see palju funktsionaalsem (FIDO2 saladuste haldamine, PIV saladuste haldamine jne)

====Paigaldamine====

Yubico Authenticator paigaldamine toimub nö tavalisel viisil Apple App Store abil, samuti edasine tarkvara uuendamine.

====Kasulikud lisamaterjalid====

* https://www.auul.pri.ee/wiki/Yubikey

===Yubikey===

TODO

Kui ssh kliendi kasutamisel tekib olukord

<pre>
... sign_and_send_pubkey: signing failed for ECDSA .. from agent: agent refused operation
</pre>

võib abistada

<pre>
% ssh-add -e /usr/local/lib/libykcs11.dylib
Card removed: /usr/local/lib/libykcs11.dylib

% ssh-add -s /usr/local/lib/libykcs11.dylib
Enter passphrase for PKCS#11:
Card added: /usr/local/lib/libykcs11.dylib

%
</pre>

===Apple riistvara-tarkvara ajalugu===

Küsimus chatgpt'le

'what operating system apple computers have used, please give timeline of cpu and operating system with mentioning whether is was single or two-mode privilege separation solution'

Vastus chatgpt'lt - eristatakse 6 ajastut

The Early Days (1976-1984)

* Computer: Apple I, Apple II series.
* CPU: MOS Technology 6502.
* Operating System: Apple DOS, ProDOS.
* Privilege Mode: Single-mode. The CPU and OS lacked a concept of privilege separation. All software, including the operating system, ran with full, unrestricted access to the hardware.

The Early Macintosh (1984-1987)

* Computer: Macintosh 128K, Macintosh Plus, Mac SE.
* CPU: Motorola 68000.
* Operating System: System Software (System 1.0 - 4.0).
* Privilege Mode: The CPU had a two-mode (Supervisor/User) architecture. However, the early Mac OS did not fully use it for memory protection. The OS was based on a cooperative multitasking model, and a buggy program could still crash the entire system.

The 32-bit Transition (1987-1994)

* Computer: Macintosh II series.
* CPU: Motorola 68020, 68030, 68040.
* Operating System: Mac OS (System 5.0 - 7.5).
* Privilege Mode: The CPUs were fully capable of two-mode operation. The OS began to use some of these features, but it was still not a truly protected-mode, preemptive multitasking system.

The PowerPC Era (1994-2006)

* Computer: Power Macintosh series.
* CPU: PowerPC 601, 603, G3, G4.
* Operating System: Mac OS 7.5 - Mac OS 9.
* Privilege Mode: The PowerPC was a modern two-mode RISC architecture with a robust privilege model. Despite the powerful hardware, the underlying Mac OS remained non-preemptive and lacked true memory protection between applications. This was a key reason why Apple chose to adopt a BSD-based foundation for its next-generation OS.

The Intel Era (2006-2020)

* Computer: MacBook, MacBook Pro, iMac, Mac Mini, Mac Pro (Intel models).
* CPU: Intel Core 2 Duo, Core i3/i5/i7/i9, Xeon (x86 architecture).
* Operating System: Mac OS X (versions 10.4 to 10.15), later renamed macOS (from 10.12 onward).
* Privilege Mode: Two-mode (Ring 0 for the kernel, Ring 3 for applications). This was a pivotal time for Apple, as their BSD-based Mac OS X was finally running on a CPU architecture with a robust, industry-standard privilege model. The operating system could now fully leverage preemptive multitasking and true memory protection, making the Mac far more stable and secure than in the previous eras.

The ARM Era (2020-Present)

* Computer: MacBook Air, MacBook Pro, iMac, Mac Mini (Apple Silicon models).
* CPU: Apple Silicon (M1, M2, M3, and so on), which are custom ARM-based processors.
* Operating System: macOS (starting with macOS 11 Big Sur).
* Privilege Mode: The ARM architecture uses a sophisticated multi-level privilege model. The OS runs in EL1 (Kernel Mode), while user applications run in EL0 (User Mode). The system also utilizes EL2 (Hypervisor Mode) for virtualization and security features. The transition to ARM allowed Apple to fully integrate hardware and software, creating a highly efficient platform where the CPU, GPU, and memory are on a single chip. The macOS operating system is built specifically to take advantage of this architecture and its robust privilege model.

===Apple Continuity===

Apple Continuity initsiatiiv võimaldab ühe appleid konto külge kinnitatud seadmete vahel teha koostööd, nt selliste seadmete ja tegevuste osas

* veebikaamera
* Universal Control - clipboard st kopi-paste üle seadmete (Synergy/Barrier/jms sarnane)
* rakenduste kasutamise jätkamine - nt brauser
* Contacts

Kasulikud lisamaterjalid

* https://www.apple.com/macos/continuity/

===Ansible===

export OBJC_DISABLE_INITIALIZE_FORK_SAFETY=YES

===vnc klient===

vnc kliendi kasutamise eelduseks on kuskil võrgus töötav ja ligipääsetav vnc server. MacOS operatsioonisüsteemiga tuleb kaasa vnc klient, kasutamiseks sobib käivitada programm Finder

Finder -> Go -> Go to server

ning sisestada lahtrisse nt

vnc://192.168.10.187:5901

===Mail - IMAP ja SMTP klient===

TODO

===DFU - Device Firmware Update===

====Mõisted====

* Revive - tegevuse tulemusena asendatakse arvuti tava-firmware ja restore partitsioon - macos operatsioonisüsteem ja kasutaja andmed säilivad
* Restore - tegevuse tulemusena asendatakse arvuti tava-firmware, restore partition jne sh macos operatsioonisüsteem - st kõik
* IPSW - iphone software - praktiliselt kõik moodsad seadmed, nt https://ipsw.me/

====Tööpõhimõte====

Väited

* DFU puudutab 'macos all oleva tava-firmware all olevat eri-firmware kihti
* erinevalt nö x86 riistvara lahendustest saab mac riistvara puhul kasutada kahte seadet komplektis - seadmed ühendatakse tavalise thunderbolt vms kaabliga ning seejärel üks seade võimaldab teist ravida kasutades Apple Configurator tarkvara
* Apple Configurator ei võimalda tegeleda selle sama arvuti riistvaraga millel ta töötab, ta võimaldab tegeleda selle arvuti riistvaraga, mis on ühendatud thunderbolt kaabliga

====Apple Configurator tarkvara kasutamine====

* Apple Configurator paigaldatakse tavalisel viisil AppStore platvormi abil

====Kasulikud lisamaterjalid====

* youtube kanal lapfix sisaldab saateid - https://www.youtube.com/@lapfix

===Windows remote desktop klient===

AppStore abil on kasutada tasuta tarkvara 'Windows App'.

[[Fail:20251119-macos-windows-app-01.jpg|700px]]

===WireGuard===

WireGuard vpn klienti saab paigaldada tavalisel viisil App Store keskkonna abil. Peale paigaldamist ja esmast käivitamist valides spotlight otsingus wireguard, tuleks ilmselt kirjaldada vpn ühendus wireguard nö serveriga ning pressides + nuppu

[[Fail:20251215-macos-wireguard-04.png|700px]]

ning

[[Fail:20251215-macos-wireguard-01.png|700px]]

Käivitatud st aktiivse vpn tunneli olek paistab selline

[[Fail:20251215-macos-wireguard-02.png|700px]]

ning üldises vpn ühenduste nimekirjas

[[Fail:20251215-macos-wireguard-03.png|700px]]

<pre>
Imres-MacBook-Air:~ root# ifconfig utun6
utun6: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1420
options=6460<TSO4,TSO6,CHANNEL_IO,PARTIAL_CSUM,ZEROINVERT_CSUM>
inet 10.168.112.68 --> 10.168.112.68 netmask 0xffffff00
</pre>

ning ruuting

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet | grep utun6
default link#22 UCSIg utun6
10.168.10.177/32 link#22 UCS utun6
10.168.112/24 10.168.112.68 UGSc utun6
10.168.112.68 10.168.112.68 UH utun6
192.168.112 link#22 UCS utun6
224.0.0/4 link#22 UmCSI utun6
255.255.255.255/32 link#22 UCSI utun6
</pre>

Tundub, et mingitel hetkedel wireguard klient nö ei allu eriti, siis võib olla abiks protsessi lõpetamine teminali aknas ning käivitamine 'open -a ..' abil

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i wireg
imreoolberg 757 0.0 0.4 435612624 63120 ?? S Wed12PM 0:01.19 /Applications/WireGuard.app/Contents/MacOS/WireGuard
imreoolberg 30026 0.0 0.0 435300208 1344 s014 S+ 5:10AM 0:00.01 grep -i wireg

imreoolberg@Imres-MacBook-Air ~ % killall WireGuard

imreoolberg@Imres-MacBook-Air ~ % open -a WireGuard
</pre>

vpn kasutamisel tuleb arvestada, et kui MacOS tulemüür ei ole sisselülitatud ja ei takista, siis saab vpn serveri poolelt pöörduda ka macos arvuti poole.

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_OpenBSD_kasutamine#Wireguard
* https://www.auul.pri.ee/wiki/MikroTik_RouterOS#WireGuard

===Eesti ID kaardi kasutamine===

Eesti ID kaardi tarkvara paistab esindatud nn System Settings vasakus paneelis

[[Fail:20251216-macos-software-01.png|700px]]

Ning App Store peal

[[Fail:20251203-macos-app-store-updates-02.png|700px]]

ning

System Report -> Software -> Applications

juures

[[Fail:20251216-macos-software-02.png|700px]]

Lisaks Eesti ID kaardi tarkvara paistab nö .pkg osakonnas esindatud

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -v ^com.apple
..
eu.web-eid.web-eid-chrome
ee.ria.open-eid
ee.ria.qdigidoc4
eu.web-eid.web-eid
eu.web-eid.web-eid-safari
ee.ria.ID-updater
...
</pre>

kusjuures konkreetsed versioonid on sellest pkgutil vaatest

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.5.0.1954
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.15.0
volume: /
location: /
install-time: 1757342106
</pre>

Kusjuures siit paistab vastuolu: pkgutil eistab nt paketi ee.ria.qdigidoc4 versiooniks 4.8.2 kuid muud 4.9.1. Kui küsida käsurealt teisiti versiooni

<pre>
Imres-MacBook-Air:~ root# defaults read /Applications/qdigidoc4.app/Contents/Info.plist CFBundleShortVersionString
4.9.1
</pre>

Ning programmi enda gui liides ütleb samuti versiooniks 4.9.1, lisaks tundub, et tegu on siiski sama tarkvara eksemplariga

<pre>
Imres-MacBook-Air:~ root# ps aux | grep qdigidoc4 | grep -v grep
imreoolberg 38841 0.0 0.4 436001936 63600 ?? S 4:19AM 0:01.45 /Applications/qdigidoc4.app/Contents/MacOS/qdigidoc4
</pre>

ning

[[Fail:20251216-macos-software-03.png|700px]]

====System Settings vasaku paneeli ID-updater kasutamine====

Peale System Settings vasaku paneeli ID-update kasutamist ja jaatavat vastamist vaikimisi valikutega

[[Fail:20251216-macos-eid-updater-01.png|700px]]

tessa

[[Fail:20251216-macos-eid-updater-02.png|700px]]

kossa

[[Fail:20251216-macos-eid-updater-03.png|700px]]

nessa

[[Fail:20251216-macos-eid-updater-04.png|700px]]

on tulemuseks

[[Fail:20251216-macos-eid-updater-05.png|700px]]

ning käsurealt küsides, st mõne komponendi versioon uuenes

* eu.web-eid.web-eid-chrome
* ee.ria.open-eid
* eu.web-eid.web-eid
* ee.ria.ID-updater

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.10.0.235
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.18.0
volume: /
location: /
install-time: 1765858910
</pre>

20260630 kogemus

[[Fail:20260630-macos-eid-updater-01.png|900px]]

kus

* tundub, et macos lähenemisele natuke iseloomulikult erinevad kohad kirjutavad versiooni uuenduse kohta erinevat infot

===Mikrotik Winbox===

Paistab, et alates winbox v. 4 on toetatud MacOS

[[Fail:20260330-macos-mikrotik-install-01.png|800px]]

kus

* .dmg on Finder peal 'Open with' -> 'Diskmounter' abil avatud (monteeritud)
* paigaldamiseks tuleb nihutada .dmg sees paistev nö ressurss Applications alla kõrvale avatud Finder programmis (tavaliselt on .dmg avatud image nö ristkülikus kaks ikooni, rakendus ja Application ja tuleb nihutada selle akna sees
* Finder vasakus paneelis on Windbox disk image lahti monteeritud

kasutamine paistab välja nii

[[Fail:20260311-mikrotik-winbox-4-01.png|800px]]

Andmefailid asuvad

<pre>
imreoolberg@Imres-MacBook-Air ~ % find ~/Library/Application\ Support/MikroTik/WinBox -type f -ls
105559824 8 -rw-r--r-- 1 imreoolberg staff 1998 Jun 3 23:34 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.78.cfg.viw2
119606360 16 -rw-r--r-- 1 imreoolberg staff 5126 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.77.cfg.viw2
..

105555588 8 -rw-r--r-- 1 imreoolberg staff 502 Jun 3 23:29 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/Addresses.cdb
119606359 8 -rw-r--r-- 1 imreoolberg staff 383 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/settings.cfg.viw2
</pre>

====WindBox 4.1 -> 4.2 uuendamine====

Winbox uuendamine toimub üsna manuaalselt

[[Fail:20260709-mikrotik-01.png|900px]]

kus

* tootja jagab .dmg faili
* see fail tuleb eraldi liigutusena kopeerida tootja veebikohast
* antud juhtum on hea näide kuidas MacOS Application kataloogi alamkataloogis asendab vana versiooni uuega

Kusjuures paigaldamise ajal midagi ei küsitud st privileegide saamiseks, tundub, et põhjusel kuna kataloog oli juba olemas ja kuulus kasutajale

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/*
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 29 2025 /Applications/balenaEtcher.app
drwxr-xr-x@ 3 imreoolberg staff 96 Jul 3 07:43 /Applications/BetterTouchTool.app
drwxr-xr-x 13 root staff 416 Jul 5 16:07 /Applications/DDPM
..
drwxr-xr-x@ 3 root wheel 96 Dec 3 2025 /Applications/web-eid-safari.app
drwxr-xr-x@ 3 root wheel 96 Jun 30 19:52 /Applications/WhatsApp.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 8 10:25 /Applications/WinBox.app
drwxr-xr-x@ 3 root wheel 96 Jul 4 19:44 /Applications/Windows App.app
drwxr-xr-x@ 3 root wheel 96 Dec 9 2025 /Applications/WireGuard.app
...
</pre>

kus

* sõltuvalt paigalduse viisist on kataloogil omanikuks kasutaja või root
* nt tundub, et app store ja pkgutil puhul on omanikuks root
* niisama kasutajana nö visuaalselt liigutades rakenduse Applications osakonda esmakordsel paigaldusel küsitakse täiendavalt privileegide kohta, ja seejärel enam mitte (st uuendamisel)

===MacOS virtualiseerimine===

TODO

===QR Journal===

TODO

===etcher===

TODO

===Rosetta paigaldamine===

<pre>
$ softwareupdate --install-rosetta
</pre>

===Dell U2725QE monitor===

Kuigi kõik niisamagi töötab, monitori tootja veebikohas on üsna huvitavat tarkvara

[[Fail:20260705-dell-macos-01.png|900px]]

kus

* DDPM - Dell Display and Peripherial Manager
* Monitor Firmware Update Utility

====DDPM====

Mõisted

* DDPM - Dell Display and Peripherial Manager

Peale allkopeerimist paistab .pkg pakenduses tarkvara

[[Fail:20260705-dell-macos-02.png|1100px]]

kus

* TODO

Paigaldamine paistab

[[Fail:20260705-dell-macos-03.png|500px]]

ja kasutamine

[[Fail:20260705-dell-macos-04.png|700px]]

* paistab midagi sellist nagu monitori enda peal füüsiliselt

====Dell U2725QE Monitor Firmware Update Utility====

Väited

* monitori firmware uuendmaine toimub üle arvuti ja monitori vahelise thunderbolt kaabli

Paigaldamine paistab selline .pkg pakett

[[Fail:20260705-dell-macos-05.png|600px]]

Firmware uuendamine toimub üle thunderbolt kaabli

[[Fail:20260705-dell-macos-06.png|700px]]

kus

* oluline mitte lasta monitori screen saverisse, power save'i jms - nt 'caffeinate -di' abil
* firmware versioon muutab M2T101 -> M2T102

====Kahe monitori kasutamine====

Osutub võimalikuks ühe MacBook Air arvutiga ühendada kaks Dell monitori nö tunderbolt mõttes järjestikuliselt

[[Fail:20260718-macos-dell-01.png|800px]]

ning

[[Fail:20260718-macos-dell-02.png|800px]]

kus

* TODO

Tegu ei ole Dell monitor daisy-chain tehnoloogiaga, sest daisy-chain töötab display protocol kihis, antud juhul toimub kontakt thunderbolt kihis.

===character terminal seadme kasutamine===

character teminal seadme kasutamine paistab nii, väga analoogne ubuntu ja debian operatsioonisüsteemiga

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i iterm2
imreoolberg 1112 11.2 1.8 436586496 306448 ?? S 6:11PM 3:08.34 /Applications/iTerm.app/Contents/MacOS/iTerm2
</pre>

ning iterm protsessis on pseudo-terminal master multiplexer seadmed

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1112 -P -n | grep ptmx
iTerm2 1112 imreoolberg 5u CHR 15,0 0t23863949 609 /dev/ptmx
iTerm2 1112 imreoolberg 44u CHR 15,1 0t1199 609 /dev/ptmx
iTerm2 1112 imreoolberg 45u CHR 15,2 0t204098 609 /dev/ptmx
</pre>

zsh shelli avatud terminaliga seotud

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep zsh
imreoolberg 1398 0.0 0.0 435312416 2784 s003 S 6:17PM 0:00.01 -zsh
imreoolberg 1380 0.0 0.0 435313360 3472 s002 S 6:17PM 0:00.11 -zsh
imreoolberg 1376 0.0 0.0 435308624 2672 s001 S 6:17PM 0:00.01 -zsh
imreoolberg 1115 0.0 0.0 435313184 2896 s000 S+ 6:11PM 0:00.06 -zsh
imreoolberg 2434 0.0 0.0 435299552 1392 s002 S+ 7:16PM 0:00.00 grep zsh

imreoolberg@Imres-MacBook-Air ~ % lsof -p 1376 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
zsh 1376 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
zsh 1376 imreoolberg txt REG 1,15 1361216 1152921500312571448 /bin/zsh
zsh 1376 imreoolberg txt REG 1,15 81288 1152921500312585080 /usr/share/locale/en_US.UTF-8/LC_COLLATE
zsh 1376 imreoolberg txt REG 1,15 118896 1152921500312574306 /usr/lib/zsh/5.9/zsh/terminfo.so
zsh 1376 imreoolberg txt REG 1,15 593088 1152921500312574312 /usr/lib/zsh/5.9/zsh/zle.so
zsh 1376 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
zsh 1376 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 1u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 10u CHR 16,1 0t683 733 /dev/ttys001
</pre>

ssh kliendis on

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1437 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
ssh 1437 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
ssh 1437 imreoolberg txt REG 1,15 1555472 1152921500312572845 /usr/bin/ssh
ssh 1437 imreoolberg txt REG 1,15 72984 121429580 /Library/Preferences/Logging/.plist-cache.a1S8PMuK
ssh 1437 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
ssh 1437 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 1u CHR 3,2 0t0 340 /dev/null
ssh 1437 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 3u IPv4 0x79fda12a4e8825b1 0t0 TCP 192.168.134.76:49197->192.168.10.166:22 (ESTABLISHED)
ssh 1437 imreoolberg 4u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 5u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 6u CHR 16,1 0t513 733 /dev/ttys001
</pre>

kus

* ilusti on paista järgnevus iterm2 -> zsh -> ssh

Selline pilt võiks

[[Fail:20260706-macos-char-01.png|800px]]

kus

* ptmx - pseudo-terminal master multiplexer
* ttys - teletypewriter slave
* console - füüsiline laptop graafilisse osakonda sisselogimise kohalolek
* Sun18 - kuna klassikaliselt on see tulp olnud max pikkusega 6 sümbolit, sellest selline notatsioon - kell 18, pühapäev

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_Debian_GNU/Linux_kasutamine#Seadmed_2

===Zabbix agent===

<pre>
imreoolberg@Imres-MacBook-Air ~ % sudo -i
Password:
Imres-MacBook-Air:~ root# file /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg: xar archive compressed TOC: 5108, SHA-1 checksum
</pre>

Misc

<pre>
imreoolberg@Imres-MacBook-Air ~ % installer -volinfo -pkg Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Volumes/PRO-G40
/Volumes/volume-tm-backup-01
/
</pre>

Paigaldamine

<pre>
Imres-MacBook-Air:~ root# installer -pkg /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg -target /
installer: Package name is Zabbix Agent
installer: Installing at base path /
installer: The install was successful.
</pre>

Tulemusena tekib süsteemi

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -i zabbix
com.zabbix.pkg.ZabbixAgent

Imres-MacBook-Air:~ root# pkgutil --files com.zabbix.pkg.ZabbixAgent
Library
Library/LaunchDaemons
Library/LaunchDaemons/com.zabbix.zabbix_agentd.plist
usr
usr/local
usr/local/bin
usr/local/bin/zabbix_get
usr/local/bin/zabbix_sender
usr/local/etc
usr/local/etc/zabbix
usr/local/etc/zabbix/zabbix_agentd
usr/local/etc/zabbix/zabbix_agentd/userparameter_examples.conf.NEW
usr/local/etc/zabbix/zabbix_agentd/userparameter_mysql.conf.NEW
usr/local/etc/zabbix/zabbix_agentd.conf.NEW
usr/local/sbin
usr/local/sbin/zabbix_agentd
</pre>

Seadistused

<pre>
Imres-MacBook-Air:~ root# egrep -v "^$|^#" /usr/local/etc/zabbix/zabbix_agentd.conf
LogFile=/var/log/zabbix/zabbix_agentd.log
Server=192.168.10.196
Hostname=macos-air.auul.pri.ee
</pre>

Tulemusena paistab vaikimisi Zabbix kaasa tuleva template abil selline pilt

[[Fail:20260706-macos-zabbix-01.png|1100px]]

kus

* võrreldes nt vaikimisi top utiliidi väljundiga, mis esitab muu hulgas andmeid cpu interruptide kohta, on zabbix esitus üsna tagasihoidlik

[[Fail:20260706-macos-zabbix-02.png|1400px]]

===scutil===

Osutub, et arvuti dhcp serveriga kohtumisele omandab lisaks ip aadressile jms võrguseadistusele ka uue hostname'i väärtuse, st mida vastab 'hostname' käsk kui kinnitatud uus dünaamiline ip address omab revers teisendust nimesüsteemis

<pre>
imreoolberg@orcl2-vip ~ % scutil --get LocalHostName
Imres-MacBook-Air
imreoolberg@orcl2-vip ~ % scutil --get ComputerName
Imre’s MacBook Air
imreoolberg@orcl2-vip ~ % scutil --get HostName
HostName: not set
</pre>

pinnimiseks sobib öelda

<pre>
orcl2-vip:~ root# scutil --set HostName "Imres-MacBook-Air"
</pre>

===Trash===

<pre>
imreoolberg@Imres-MacBook-Air ~ % du -sh .Trash
18G .Trash
</pre>

graafiliselt

[[Fail:20260729-macos-trash-01.png|600px]]

kus

* TODO

===Kasulikud lisamaterjalid===

* [[:Claude Desktop - MacOS]]
* [[:Rancher Desktop - MacOS]]
* [[:Podman Desktop - MacOS]]
* https://github.com/luchina-gabriel/OSX-PROXMOX
* https://www.apple.com/mac/compare/

MacOS operatsioonisüsteemi kasutamine füüsilise MacBook Air M4 arvutiga

2026-08-01T09:00:24Z

Imre: /* Kasulikud lisamaterjalid */

===Sissejuhatus===

TODO

Apple system level innovations

* XNU hybrid kernel (Mach + BSD + I/O Kit).
* Read-only, sealed root filesystem.
* APFS (snapshots, sealing, native encryption).
* Secure Enclave (separate CPU/resources).
* Cryptographic boot chain (from Boot ROM → kernel → apps).
* System Integrity Protection (SIP).
* Gatekeeper & notarization.
* Launchd (unified service/daemon manager).
* Unified logging & tracing (dtrace, signpost).
* Rosetta + Universal binaries (smooth arch transitions).
* Quartz compositor + Core Animation (graphics pipeline).
* Metal API (low-level GPU abstraction).
* mälu pakkimine käigult (vt Activity Monitor -> Memory -> Bottom)

Misc

* Aqua - desktop visuaal
* Quartz - desktop mootor
* UTM - qemu-based virtulization
* AWDL (Apple Wireless Direct Link) - midagi Wifi-Direct laadset

Väited

* Apple lahendustele on iseloomulik, et sama it shop kontrolli all on nii riistvara kui tarkvara (põhimõtteliselt sarnane olukord nagu kunagi Sun sparc lahendustega)
* macos on pigem threaded orienteeritud lahendus (mitte process-is-single-thread) - märksõnad: Grand Central Dispatch, Operation Queues, Swift Concurrency)
* nn 'giant lock (https://en.wikipedia.org/wiki/Giant_lock)' probleem on macos puhul pigem praktiliselt lahendatud, ju see on sama millest openbsd vabastamisega tegeldakse, nt https://www.openbsd.org/76.html - 'Removed net lock from sysctl(8) net.inet.ip.forwarding, net.inet6.ip6.forwarding, net.inet6.ip6.redirect, net.inet.ip.directed-broadcast.'

===Riistvara===

TODO

* MacBook Air 13" M4 protsessoriga arvuti
* compute resource - 1. cpu (risc arm), 2. gpu, 3. secure enclave, 4. neural engine
* 16 G ddr5 non-ecc memory - kõik compute resource'id kasutavad sama mälu, st ühisest pool'ist võetakse kasutuseks, ja antakse tagasi jne
* kaks Dell U2725QE monitori
* kaks thunderbolt 4 kaablit
* Logitech nö 9 eurone pc hiir
* lai apple magic keyboard
* väline andmekandja - SanDisk PRO-G40, https://www.apple.com/shop/mac/accessories/storage?f=thunderbolt3&fh=3783%2B47f6&page=1
* port saver - https://www.delock.com/produkt/66433/merkmale.html
* arvuti puhul ei ole kohta nagu pc arvuti puhul on 'enter bios' või 'enter setup' - ainuke realistlik sisenemiskoht on hoides alla toite nuppu arvuti käivitumise ajal

Väited

* macbookpro, air jt on non-ecc mäluga; mac pro ja mac studio on ecc mäluga
* arvuti on ühendatud ühe monitoriga TB4 kaabli abil
* esimese monitoriga on ühendatud usb klaviatuur ja hiir
* arvuti võrk töötab wifi abil, aga saaks töötada ka monitori rj45 ethernet kaabliga (arvutisse saabub üle thunderbolt neli nö signaali: 1. usb klaviatuur ja hiir, 2. ethenet, 3. video, 4. toide)
* teine monitor on ühendatud esimesega teise TB4 kaabliga nn daisy-chain ühenduses
* tundub, et monitoride pilt on vastuvõetava kvaliteediga ka non-4k režiimis (nt 3008 x 1692)

<pre>
system_profiler SPHardwareDataType # CPU, memory, model
system_profiler SPDisplaysDataType # GPU / monitor info
system_profiler SPUSBDataType # USB controllers and devices
system_profiler SPThunderboltDataType # Thunderbolt controllers
system_profiler SPNetworkDataType # Network interfaces
</pre>

Näiteks

<pre>
Imres-MacBook-Air:~ root# system_profiler SPHardwareDataType
Hardware:

Hardware Overview:

Model Name: MacBook Air
Model Identifier: Mac16,12
Model Number: MW0W3KS/A
Chip: Apple M4
Total Number of Cores: 10 (4 performance and 6 efficiency)
Memory: 16 GB
System Firmware Version: 11881.81.2
OS Loader Version: 11881.81.2
Serial Number (system): KGHGX652VT
Hardware UUID: 27AE0C7C-DCC6-5F5C-A133-8F10726347EC
Provisioning UDID: 00008132-001A618E0121801C
Activation Lock Status: Enabled

Imres-MacBook-Air:~ root# system_profiler SPDisplaysDataType
Graphics/Displays:

Apple M4:

Chipset Model: Apple M4
Type: GPU
Bus: Built-In
Total Number of Cores: 8
Vendor: Apple (0x106b)
Metal Support: Metal 3
Displays:
Color LCD:
Display Type: Built-in Liquid Retina Display
Resolution: 2560 x 1664 Retina
Main Display: Yes
Mirror: Off
Online: Yes
Automatically Adjust Brightness: Yes
Connection Type: Internal
DELL U2725QE:
Resolution: 6016 x 3384
UI Looks like: 3008 x 1692 @ 120.00Hz
Mirror: Off
Online: Yes
Rotation: Supported
</pre>

====Neural Engine====

TODO

* On-device machine learning
* Siri's voice recognition
* Image analysis in Photos
* Real-time video processing in apps like FaceTime

====Misc OS====

* cpu instructions - toimuvad kernel -> cpu vahel
* syscalls - toimuvad rakendustarkvara -> kernel vahel
* ei ole user-space-syscall'isid - kõik syscallid on nö kernel-space-syscall'd ehk lihtsalt syscall'id
* macos ei ole real-time operating system
* macos puhul on realiseeritud preemtion st ka tundlike kerneli kihi tegevuste puhul on võimalik teha nö katkestusi-tagasipöördumisi
* ei ole sellist storage-io lahenduste mitmekesisust nagu on linux puhul (nt io-uring, libaio) - nimetatakse 'Dispatch I/O'
* ei ole sellist network-io lahenduste mitmekesisust nagu on linux puhul (nt dpdk) - nimetatakse 'Network Framework'
* dpdk, rdma jms puudub kuna macos puhul tegevused käivad läbi kernel selleks, et toimuv oleks maksimaalselt kontrolli all (toimub kernel by-pass)
* tcp-offload jms siiski on kasutusel - kernel kontrollib siis ikkagi toimivat piisavalt
* XNU kernel ei võimalda linux namespace ja cgroup laadseid nö isolatsioone - st naturaalselt ei ole olemas native macos konteinerindust (nagu on linux jaoks olemas docker või freebsd jaoks daemonless) - kui on vajalik conteinerindus, siis on lahenduseks kasutada konteineri ja xnu kerneli vahel lisa kihti - linux-arm64)

Palju on https://www.openbsd.org/innovations.html nimekirjast olemas macos puhul, kas otseselt või siis kontseptuaalselt, aga implementatsioon on macos juhtumile iseloomulik

* OpenBSD: retguard uses a unique XOR-based canary on a function's return address to prevent a specific type of buffer overflow attack (ROP).
* macOS: macOS does not have a feature called retguard. However, the same concept is implemented by Apple's Clang compiler. macOS has used stack canaries (or stack cookies) for years, which are values placed on the stack to detect if the return address has been overwritten. Both systems use different implementations to solve the same problem.
* OpenBSD: pledge is a security mechanism where a program "pledges" to only use a limited set of system calls. If it tries to make a syscall outside of its "pledge," the program is killed.
* macOS: macOS does not have a pledge equivalent. The concept is not present in the same form. Instead, macOS uses sandboxing, which is a more comprehensive and declarative security model. Sandboxing restricts an application's access to files, network connections, and system resources based on a detailed set of rules (called entitlements) defined in a profile, which is part of the application itself. It's a different, but arguably more powerful, approach to the same problem.
* OpenBSD: W^X is a fundamental security policy that ensures a memory page is either writable or executable, but not both.
* macOS: This concept is directly implemented and has been a core security feature of macOS for many years. It is an integral part of the kernel and is enforced on all applications, making it impossible for an attacker to write shellcode to a memory page and then execute it.
* OpenBSD has long been a pioneer in security, and its implementation of ASLR is a core part of its "secure by default" philosophy.
* macOS introduced ASLR in Mac OS X Leopard (10.5) and has since continuously improved and strengthened it with each new release. Today, ASLR on macOS is a mandatory security feature for all modern applications.
* OpenBSD relinking
* Randomizing per-process: Instead of a single, system-wide reordering at boot, dyld randomizes the base addresses of shared libraries for every single process that is launched.
* Using a shared cache: To speed up program loading, macOS bundles commonly used system libraries into a single large file called the dyld_shared_cache. The location of this entire cache in memory is randomized at boot, and all processes then use this randomized location.

====User mode vs Kernel mode====

Väited

* User mode ja Kernel mode on kaks erinevat protsessori olekut
* esimesel puhul käitub arvuti nagu nö loogiline-masin, teisel juhul nagu riistvaraline-masin
* kontseptuaalselt võiks ette kujutada, et arvutis on kaks protsessorit - üks on pidevalt füüsilises ja teine loogilises olekus
* loogilist laadi tegevusteks on nt protsessi mällu laaditud mälu abil andmete sorteerimine, st kõik tegevused on taandatud matemaatikaks
* füüsilist laadi tegevusteks on nt võrku andmete saatmine, või plokkseadmelt andmete lugemine

====Seadme draiver====

Ettekujutuseks on nvme storage seade. Selleks, et andmed jõuaksid füüsilise plokkseadme pealt ühe user-space protsessi mällu nt postgresql andmebaas, liiguvad andmed läbi sellistest lõikudest koosneva teekonna

<pre>
plokkseade
control plain peal toimuv käsu tulemusel -> plokkseadmega seostatud fragment arvuti rom mälust
-> cpu kopeerib andmed oma registrite abil user-space mällu
..
</pre>

====SanDisk PRO-G40====

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Thunderbolt 4 porti ühendatud seade paistab selline

[[Fail:20250916-imre-sandisk-pro-g40-01.png|900px]]

kus

* seadet koheldakse pcie siinile ühendatud nvme seadmena

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Non-Thuderbolt-USB-C porti ühendatud seade paistab selline

TODO

kus

* seadet koheldakse usb-storage ühendatud plokkseadmena

===Kasutajaliides===

====Magic Apple Keyboard====

klahvikombinatsioonid

* command + nool paremale/vasakule - tekstikursori viimine vastavalt rea lõppu või algusse
* command + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt rea lõppu või algusse
* command + shift + suurem/väiksem - mitme aknalise programmi akende vahel liikumine (nt iterm/terminal/chrome/safari)
* option + nool paremale/vasakule - tekstikursori viimine vastavalt järgmise või eelmise sõna juurde
* option + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt sõna edasi või tagasi
* command + tühik - spotlight otsingu avamine
* control + nool paremal/vasakule - järgmise virtuaalse desktop juurde liikumine (spaces)
* control + nool üles/esc - xxx vaate avamine (üleval on virtuaalsete desktopide riba)
* command + nool üles/alla - teksti algusse või lõppu liikumine (nt chrome brauseris)
* option + nool üles/alla - tekstis nö page-up-page-down võtta liikumine (nt chrome brauseris)

====Touchpad====

gestured

* kahe sõrmega üles-alla swipe - hiirega skrollimine
* kolme sõrmega vasakule-paremale swipe - virtuaalsete desktopide vahel liikumine

===alt-grab - BetterTouchTool (BTT)===

====Tööpõhimõte====

Tegevuse eesmärk on alt-grab kasutamine akna asukohta muutmiseks ja akna suuruse muutmiseks. Linux desktop (gnome, xfce4 jt) puhul paistab see olevat tavaline, et akna asukoha muutmiseks ei pea tingimata haarama hiire vasaku nupuga akna tiitelribast ja siis vedama; või akna suuruse muutmiseks haarama hiire vasaku nupuga täpselt nurgast või servast ja siis vedama. Piisab hoida vasakut alt klahvi all ja haarata kuskilt akna seest hiire vasaku nupuga ning vedada; või hoida vasakut alt klahivi all ja haarata akna seest nurga lähedusest hiire parema nupuga ning vedada.

====BTT kopeerimine ja paigaldamine====

Väited

* https://folivora.ai/
* tundub, et BTT on usaldusväärne tarkvara (nt https://www.macworld.com/article/551700/mac-gems-bettertouchtool-review.html)
* BetterTouchTool ei ole tasuta tarkvara
* BetterTouchTool ei ole kõige parem lahendus nn alt-drag jaoks, aga paistab, et paremat ka pole (ja tundub, et ei saa olla kuna MacOS nö sisemiselt eriti ei võimalda alt-drag laadi tegevusi)
* BTT abil saab akna suurust muuta ainult paremas alumises nurgas
* akent ei saa ekraanilt osaliselt välja suruda üles suunas (nt alla saab)
* tundub, et paigaldamisel antakse rakendusele rikkalikult privileege

====Seadistamine====

Tööpõhimõte

* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse down', millele vastab tegevus (action) 'Start Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse up', millele vastab tegevus 'Stop Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse down', millele vastab tegevus 'Start Resizing'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse up', millele vastab tegevus 'Stop Resizing'

alt-drag seadistamine paistab selliselt, rightclick triggeri ja vastava tegevuse (action) kirjeldamine, basic

[[Fail:20250903-btt-rightclick-01.png|1000px]]

kus

* valitud programmid on For All Apps st kirjeldatavad võimed tekivad kõigi programmide akendele
* valitud seade on Normal Mouse (mitte magic mouse)
* on valitud ka modifer - opt (magic keyboard klahv 'option')

ning advanced

[[Fail:20250903-btt-rightclick-02.png|1000px]]

kus

* Trigger Conditions - Trigger on Mouse Down (vaikimisi)

Analoogselt kirjeldatakse ülejäänud triggerid ja tegevused - seejuures tuleb kindlasti valida modifier, vastasel korral võib olla väga halb kasutuskogemus kuna hiire vasaku klahvi nö tavaline töö on häiritud).

====Kasutamine====

Kasutamine paistab välja natuke puudulikumalt kui linux desktop keskkonnas

* suurust saab muuta vaid alumist paremat nurka sisse või väljapoole surudes (linux all saab tegeleda igas nurgas)
* asukohta saab muuta kuid see mõjub fookuses olevale aknale (vahel on see üsna nö eba kogemus, et hiir on mitte fookuses oleva akna kohal ja kõrval oleva akna asukoht muutub)
* tegelemise ajal on aken nö täidetud (linux all saab valida kas aken paistab nö täidetuna või wireframe'ina)

====Kasulikud lisamaterjalid====

* https://community.folivora.ai/t/resize-window-on-modifier-right-mouse-button-press/41430

===iterm2===

iterm2 võimaldab muu hulgas

* akende arrangement ettevalmistusi - st akende avamist komplektidena, seejuures logitakse automaatselt serveritesse ssh abil sisse, näiteks
* profile abil värvikasutust kirjeldada (taust, tekst, esiletoodud (bold), allajoonitud tekst jms)

[[Fail:20260302-iterm2-01.png|700px]]

avades

iTerm2 -> Settings -> Profiles

kus

* esiletoodud tekst esitatakse roheliselt (seda esineb linux puhul nt top, 'systemctl status postfix' ja dmesg väljundis)

aknale kerge ääre näitamine

iTerm2 -> Settings -> Appearence -> Windows -> Aestetics -> Heavy border around windows in light mode

Profiilid

<pre>
imreoolberg@Imres-MacBook-Air ~ % egrep -r wrx "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Command" : "ssh root@pve-wrx90e",
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Name" : "pve-wrx90e",
imreoolberg@Imres-MacBook-Air ~ % egrep -r svc "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
imreoolberg@Imres-MacBook-Air ~ % plutil -p ~/Library/Preferences/com.googlecode.iterm2.plist | grep -i "pve-svc-0"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-02"
</pre>

Tarkvara uuendamine

[[Fail:20260704-macos-01.png|900px]]

* ei toimu app store kaudu
* toimib rakenduse enda menüüst

===timemachine===

====Tööpõhimõte====

TODO

* võrgus failiserver
* võrgus avahi vms server
* macos süsteem

====Ettevalmistamine====

Väited

* tundub, et macos webgui kaudu ei õnnestu samba põhist tm lahendust ära seadistada, tuleb toimetada käsurealt (hüpotees on, et kuna cifs failisüsteemi monteerimisel Finder abil tekib .DS_Store vms faile automaatselt share peale, siis see eksitab tm lahendust

Samba serveri ettevalmistamine, Debian v. 12 (samba v. 4.17)

<pre>
# apt-get install --no-install-recommends samba
# apt-get install samba-vfs-modules

# cat /etc/samba/smb.conf
[global]
client min protocol = SMB3
client max protocol = SMB3
workgroup = MORAALCIFS
dns proxy = no
log file = /var/log/samba/log.%m
max log size = 1000
panic action = /usr/share/samba/panic-action %d
server role = standalone server

[timemachine]
path = /zpool_wdc/timemachine/
browsable =yes
writable = yes
guest ok = no
valid users = timemachine
smb encrypt = required
vfs objects = catia fruit streams_xattr
fruit:metadata = stream
fruit:resource = file
fruit:time machine = yes
fruit:time machine max size = 500G
</pre>

käivitamine

<pre>
# systemctl restart smbd
</pre>

Varundatava arvuti ettevalmistamine

<pre>
Imres-MacBook-Air:~ root# tmutil setdestination "smb://timemachine:parool@192.168.10.168/timemachine"
Imres-MacBook-Air:~ root# tmutil destinationinfo
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : 2E3ED96D-4626-4D55-BDD5-A0ED6CDDF973
</pre>

Varunduse käivitamine

<pre>
Imres-MacBook-Air:~ root# tmutil startbackup --auto
Imres-MacBook-Air:~ root# log stream --predicate 'process == "backupd"' --info
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 157Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 709 0 100% /dev
/dev/disk3s6 228Gi 20Ki 157Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 157Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 157Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 157Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 157Gi 2% 76 1.6G 0% /Volumes/Recovery
//timemachine@192.168.10.168/timemachine 500Gi 20Gi 480Gi 5% 21M 503M 4% /Volumes/.timemachine/192.168.10.168/CEF57214-AE85-44D1-86EB-D0D69E41EA1C/timemachine
/dev/disk5s1 15Ti 20Gi 480Gi 4% 383k 5.0G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
Imres-MacBook-Air:~ root#
</pre>

Tulemusena

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-015533.backup/2025-09-05-015533.backup
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# tmutil listlocalsnapshots /
Snapshots for volume group containing disk /:
com.apple.TimeMachine.2025-09-05-012346.local
com.apple.TimeMachine.2025-09-05-015510.local
com.apple.os.update-35F83766A7728F08A2DF1CFD45DF39CAB4C00F8C1A4A0DBECD314305426E5C549569F373D02B15DDC5C3E22E8E9D0A2F
com.apple.os.update-4278EFCBF37708F6ABE958C2E59447D754411B4697E4891DE3D58BC37F433306
com.apple.os.update-MSUPrepareUpdate
</pre>

====Kasutamine - süsteemi varundamine====

Time machine graafilise liidese peal, kui on kirjeldatud mitu time-machine varunduskohta, saab ühe peal hiire parema klõpsuga avada hüpikmenüü ja öelda, et käivitada varundus

[[Fail:20251109-timemachine-01.png|600px]]

====Kasutamine - üksiku faili taastamine====

TODO

====Kasutamine - süsteemi taastamine====

TODO

====Misc====

tm destinationinfo esitamine

<pre>
Imres-MacBook-Air:~ root# tmutil destinationinfo
> ==================================================
Name : volume-tm-backup-01
Kind : Local
Mount Point : /Volumes/volume-tm-backup-01 1
ID : B23C58B0-C5F1-4FE6-8CCE-B90B5FAA3C7A
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : ECA95A15-3033-460C-B928-46E809CC1C58
</pre>

korra time machine gui utiliidiga läbi browsitud taaste vaates (tundub, et siis ta nö monteerib külge jne), df

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 10Gi 99Gi 10% 427k 1.0G 0% /
devfs 219Ki 219Ki 0Bi 100% 758 0 100% /dev
/dev/disk3s6 228Gi 24Ki 99Gi 1% 0 1.0G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 13Gi 99Gi 12% 2.6k 1.0G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 7.5Mi 99Gi 1% 104 1.0G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 480Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 6.0Mi 480Mi 2% 38 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 3.6Mi 480Mi 1% 100 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 56Gi 99Gi 37% 696k 1.0G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk7s1 3.6Ti 5.9Gi 3.5Ti 1% 24 38G 0% /Volumes/PRO-G40
/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/volume-tm-backup-01
com.apple.TimeMachine.2025-09-19-012830.backup@/dev/disk7s3 3.6Ti 122Gi 3.5Ti 4% 541k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup
com.apple.TimeMachine.2025-11-09-213757.local@/dev/disk3s5 228Gi 55Gi 99Gi 36% 687k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-213757/Data
com.apple.TimeMachine.2025-11-09-213824.backup@/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup
com.apple.TimeMachine.2025-11-09-165402.backup@/dev/disk7s3 3.6Ti 140Gi 3.5Ti 4% 568k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup
com.apple.TimeMachine.2025-11-09-160153.local@/dev/disk3s5 228Gi 50Gi 99Gi 34% 711k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-160153/Data
//timemachine@192.168.10.168/timemachine 500Gi 71Gi 429Gi 15% 74M 450M 14% /Volumes/.timemachine/192.168.10.168/D4D414B7-3607-44F6-8151-4F53ECDEF964/timemachine
/dev/disk5s1 15Ti 44Gi 429Gi 10% 568k 4.5G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-11-09-162452.backup@/dev/disk5s1 15Ti 78Gi 429Gi 16% 568k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup
com.apple.TimeMachine.2025-09-05-014511.backup@/dev/disk5s1 15Ti 23Gi 429Gi 6% 500k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup
</pre>

samal ajal diskutil

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 11.3 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 11.3 GB disk3s1s1
3: APFS Volume Preboot 14.2 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 60.0 GB disk3s5
6: APFS Volume VM 24.6 KB disk3s6
7: APFS Volume macOS Restored - Data 40.1 GB disk3s7
8: APFS Volume macOS Restored 11.3 GB disk3s8

/dev/disk4 (disk image):
#: TYPE NAME SIZE IDENTIFIER
0: +16.0 TB disk4

/dev/disk5 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +16.0 TB disk5
Physical Store disk4
1: APFS Volume Backups of Imre’s Ma... 47.7 GB disk5s1

/dev/disk6 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *4.0 TB disk6
1: EFI EFI 209.7 MB disk6s1
2: Apple_APFS Container disk7 4.0 TB disk6s2

/dev/disk7 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +4.0 TB disk7
Physical Store disk6s2
1: APFS Volume PRO-G40 6.4 GB disk7s1
2: APFS Volume volume-tm-backup-01 152.3 GB disk7s3

Imres-MacBook-Air:~ root#
</pre>

kus

* võrgus samba põhise time-machine varundusele sünteesitakse vastav plokkseade /dev/disk4 ja omakorda /dev/disk5
* lokaalselt külge kinnitatud välisele sandisk-pro-g40 plokkseade on /dev/disk6 ja edasi on seal sünteesitud /dev/disk7 ning eriti /dev/disk7s3
* samba serveris on tm varunduse jaoks üks kataloog välja jagatud 16 TB suuremalt failisüsteemilt, st sellest siin väljundis 16 TB märge

üksiku tm ressursi kohta info küsimine

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/Backups\ of\ Imre’s\ MacBook\ Air
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup/2025-11-09-162452.backup

Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/volume-tm-backup-01
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup/2025-09-19-012830.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup/2025-11-09-165402.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup/2025-11-09-213824.backup
</pre>

===Storage===

Mõisted

* Seal
* Secure Enclave
* FileVault
* Volume Group

Tööpõhimõte

* füüsiline salvestusseade on jaotatud partitsioonideks
* partitsioonile vastab nn konteiner
* konteinerile vastab midagi lvm volume group või zfs pool laadset
* konteineris sisaldub hulk volume'eid
* volumile vastab failisüsteem (apfs - apple file system)
* sama konteineri sees asuvad failisüsteemid opereerivad sama jagatud vaba ruumi tingimustes

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 16.0 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 16.0 GB disk3s1s1
3: APFS Volume Preboot 13.1 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 45.9 GB disk3s5
6: APFS Volume VM 20.5 KB disk3s6
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 156Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 713 0 100% /dev
/dev/disk3s6 228Gi 20Ki 156Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 156Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 156Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 43Gi 156Gi 22% 582k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 156Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 156Gi 2% 76 1.6G 0% /Volumes/Recovery
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
com.apple.TimeMachine.2025-09-05-015510.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-015510/Data
</pre>

Juurika suhtes ressursid

<pre>
Imres-MacBook-Air:/ root# ls -lO /
total 10
lrwxr-xr-x 1 root admin - 36 Jan 15 2025 .VolumeIcon.icns -> System/Volumes/Data/.VolumeIcon.icns
---------- 1 root admin - 0 Jan 15 2025 .file
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .nofollow
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .resolve
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 .vol
drwxrwxr-x 16 root admin sunlnk 512 Sep 5 12:56 Applications
drwxr-xr-x 66 root wheel sunlnk 2112 Sep 3 21:05 Library
drwxr-xr-x@ 10 root wheel restricted 320 Jan 15 2025 System
drwxr-xr-x 5 root admin sunlnk 160 Sep 2 22:41 Users
drwxr-xr-x 6 root wheel hidden 192 Sep 7 11:57 Volumes
drwxr-xr-x@ 39 root wheel restricted,hidden 1248 Jan 15 2025 bin
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 cores
dr-xr-xr-x 4 root wheel hidden 5047 Sep 5 01:14 dev
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 etc -> private/etc
lrwxr-xr-x 1 root wheel hidden 25 Sep 5 01:14 home -> /System/Volumes/Data/home
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 opt
drwxr-xr-x 6 root wheel sunlnk,hidden 192 Sep 5 01:14 private
drwxr-xr-x@ 77 root wheel restricted,hidden 2464 Jan 15 2025 sbin
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 tmp -> private/tmp
drwxr-xr-x@ 11 root wheel restricted,hidden 352 Jan 15 2025 usr
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 var -> private/var
</pre>

kus

* sunlnk - apfs lahendusele iseloomulik nn sünteetline link (teine variatsioon on firmlink)
* /private sisuks on tegelikult volume /System/Volumes/Data
* / on unionfs laadne lahendus, st kokku on kogutud erinevad ressrussid, mõned on read-only, mõned on read-write
* / endale vastav /dev/disk3s1s1 on /dev/disk3s1 read-only apfs snapshot - sedasi on väga madalas kihis tagatud süsteemi osa immutability

ning

<pre>
Imres-MacBook-Air:~ root# diskutil apfs list
APFS Containers (3 found)
|
+-- Container disk3 71D88332-123F-4F15-99AA-FDD26D7118F7
====================================================
APFS Container Reference: disk3
Size (Capacity Ceiling): 245107195904 B (245.1 GB)
Capacity In Use By Volumes: 77898416128 B (77.9 GB) (31.8% used)
Capacity Not Allocated: 167208779776 B (167.2 GB) (68.2% free)
|
+-< Physical Store disk0s2 F202FF0C-8102-4C98-8DEA-BFC6BE9C61B4
| -----------------------------------------------------------
| APFS Physical Store Disk: disk0s2
| Size: 245107195904 B (245.1 GB)
|
+-> Volume disk3s1 9D894F4B-1ADA-47A9-9864-CECA47F5CC54
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s1 (System)
| Name: Macintosh HD (Case-insensitive)
| Mount Point: /System/Volumes/Update/mnt1
| Capacity Consumed: 15970652160 B (16.0 GB)
| Sealed: Broken
| FileVault: Yes (Unlocked)
| Encrypted: No
| |
| Snapshot: E4EE5A50-F503-4DC3-BB9E-6C3EF76A9105
| Snapshot Disk: disk3s1s1
| Snapshot Mount Point: /
| Snapshot Sealed: Yes
|
+-> Volume disk3s2 5C7FF5F7-C059-4568-879D-AEE09DB60CF7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s2 (Preboot)
| Name: Preboot (Case-insensitive)
| Mount Point: /System/Volumes/Preboot
| Capacity Consumed: 13066547200 B (13.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s3 8A6ADAED-7C32-4DFB-8731-005DA53BB3FF
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s3 (Recovery)
| Name: Recovery (Case-insensitive)
| Mount Point: /Volumes/Recovery
| Capacity Consumed: 2082414592 B (2.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s5 53270D80-303A-47F4-83DE-D2B9228E9FC7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s5 (Data)
| Name: Data (Case-insensitive)
| Mount Point: /System/Volumes/Data
| Capacity Consumed: 45915893760 B (45.9 GB)
| Sealed: No
| FileVault: Yes (Unlocked)
|
+-> Volume disk3s6 5B9AA026-E765-4922-BFEA-B48FD11A79C6
---------------------------------------------------
APFS Volume Disk (Role): disk3s6 (VM)
Name: VM (Case-insensitive)
Mount Point: /System/Volumes/VM
Capacity Consumed: 20480 B (20.5 KB)
Sealed: No
FileVault: No
</pre>

iostat esitab ainult füüsiliste seadmete kohta info, huvitaval kombel ka time machine lahendusele vastava seadme (disk4) oma

<pre>
imreoolberg@Imres-MacBook-Air ~ % iostat 5
disk0 disk4 cpu load average
KB/t tps MB/s KB/t tps MB/s us sy id 1m 5m 15m
17.03 37 0.61 52.37 0 0.00 3 1 96 1.12 1.52 1.63
6.17 7 0.04 0.00 0 0.00 2 1 97 1.11 1.51 1.63
4.00 2 0.01 0.00 0 0.00 1 1 98 1.11 1.51 1.63
...
</pre>

Automaatse monteerimise vältimine

<pre>
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored" | grep "Volume UUID"
Volume UUID: CB4A4A81-A9EE-471D-90CA-7A116C740AC6
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored - Data" | grep "Volume UUID"
Volume UUID: 6AB10166-A262-4E22-8FE6-0D5C97C731FB

Imres-MacBook-Air:~ root# vifs

Imres-MacBook-Air:~ root# cat /etc/fstab
#
# Warning - this file should only be modified with vifs(8)
#
# Failure to do so is unsupported and may be destructive.
#

UUID=6AB10166-A262-4E22-8FE6-0D5C97C731FB none apfs rw,noauto
UUID=CB4A4A81-A9EE-471D-90CA-7A116C740AC6 none apfs rw,noauto
</pre>

Vastasel korral süsteem otsib teiselt volume'ilt ka nt Applicationid üles

[[Fail:20250903-spotlight-01.png|600px]]

Kopeerimine failisüsteemis

<pre>
Imres-MacBook-Air:~ root# ditto /Applications/Yubico\ Authenticator.app/ /Users/imreoolberg/Documents/Yubico\ Authenticator.app/
</pre>

Finder GUI liidesega programm.

USB pulk abil apsf opereerimine, volume lisamine

<pre>
Imres-MacBook-Air:~ root# diskutil eraseDisk APFS "USBTEST" /dev/disk4

Imres-MacBook-Air:~ root# diskutil apfs unlockVolume /dev/disk5s4

Imres-MacBook-Air:~ root# diskutil apfs addVolume disk5 APFS volume-05
Will export new APFS Volume "volume-05" from APFS Container Reference disk5
Started APFS operation on disk5
Preparing to add APFS Volume to APFS Container disk5
Creating APFS Volume
Created new APFS Volume disk5s5
Mounting APFS Volume
Setting volume permissions
Disk from APFS operation: disk5s5
Finished APFS operation on disk5

Imres-MacBook-Air:~ root# diskutil unmount /dev/disk5s5
Volume volume-05 on disk5s5 unmounted
Imres-MacBook-Air:~ root# diskutil mount /dev/disk5s5
Volume volume-05 on /dev/disk5s5 mounted

Imres-MacBook-Air:~ root# diskutil apfs deleteVolume /dev/disk5s4
Started APFS operation
Deleting APFS Volume from its APFS Container
Unmounting disk5s4
Erasing any xART session referenced by 9AC9146E-455D-45BA-99EC-3FE32D2CE59B
Deleting Volume
Removing any Preboot and Recovery Directories
Finished APFS operation
</pre>

Konteinerid ja volume'id

<pre>
Imres-MacBook-Air:~ root# df -h | grep part- | sort
/dev/disk5s1 1.9Gi 1.0Mi 1.9Gi 1% 109 19M 0% /Volumes/part-01-volume-01
/dev/disk6s1 3.7Gi 1.0Mi 3.7Gi 1% 109 39M 0% /Volumes/part-02-volume-01
/dev/disk7s1 11Gi 1.0Mi 11Gi 1% 113 119M 0% /Volumes/part-03-volume-01
/dev/disk8s1 12Gi 992Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-01
/dev/disk8s2 12Gi 988Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-02
/dev/disk8s3 12Gi 1.0Mi 11Gi 1% 105 120M 0% /Volumes/part-04-volume-03
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# diskutil list disk4
/dev/disk4 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *30.8 GB disk4
1: EFI EFI 209.7 MB disk4s1
2: Apple_APFS Container disk5 2.0 GB disk4s2
3: Apple_APFS Container disk6 4.0 GB disk4s3
4: Apple_APFS Container disk7 12.2 GB disk4s4
5: Apple_APFS Container disk8 12.4 GB disk4s5
</pre>

kus

* füüsiline ketas on /dev/disk4
* füüsilise ketta partitsioonid on konteinerid /dev/disk5, /dev/disk6 jne
* konteinerite sees on volume'id, nt disk8 sees on kolm tükki, s1, s2 ja s3

ning

[[Fail:20250909-disk-utility-01.png|800px]]

kus

* TODO

Failide arhiveerime ja kopeerimine süsteemist välja

<pre>
imreoolberg@Imres-MacBook-Air ~ % ditto -ck --sequesterRsrc /Users/imreoolberg /Volumes/imre-data-01/users-imreoolberg.zip
</pre>

====TRIM====

<pre>
Imres-MacBook-Air:~ root# system_profiler SPNVMeDataType
NVMExpress:

Apple SSD Controller:

APPLE SSD AP0256Z:

Capacity: 251 GB (251,000,193,024 bytes)
TRIM Support: Yes
Model: APPLE SSD AP0256Z
Revision: 2,077.140
Serial Number: 0ba028eb8328ce39
Detachable Drive: No
BSD Name: disk0
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
iSCPreboot:
Capacity: 524.3 MB (524,288,000 bytes)
BSD Name: disk0s1
Content: Apple_APFS_ISC
Macintosh HD:
Capacity: 245.11 GB (245,107,195,904 bytes)
BSD Name: disk0s2
Content: Apple_APFS
Recovery:
Capacity: 5.37 GB (5,368,664,064 bytes)
BSD Name: disk0s3
Content: Apple_APFS_Recovery

Generic SSD Controller:

WD_BLACK SN850XE 4000GB:

Capacity: 4 TB (4,000,787,030,016 bytes)
TRIM Support: Yes
Model: WD_BLACK SN850XE 4000GB
Revision: 624131EX
Serial Number: 24525S801688
Link Width: x4
Link Speed: 8.0 GT/s
Detachable Drive: No
BSD Name: disk4
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
EFI:
Capacity: 209.7 MB (209,715,200 bytes)
File System: MS-DOS FAT32
BSD Name: disk4s1
Content: EFI
Volume UUID: 0E239BC6-F960-3107-89CF-1C97F78BB46B
PRO-G40:
Capacity: 4 TB (4,000,577,273,856 bytes)
BSD Name: disk4s2
Content: Apple_APFS
</pre>

kus

* TRIM Support: Yes - trim on nendel seadmetel asuvatel apfs failisüsteemidel võimalik ja kohal st sisselülitatud
* apfs trim on ext4 fstab 'discard' sarnane, mitte 'fstrim /' cron jobs abil ütlemise sarnane
* Model: APPLE SSD AP0256Z - '256' väljendab suurust 256 GB, nt teine mudel on AP1024Z ja väljendab suurust 1 TB

===Launchd kasutamine===

<pre>
Imres-MacBook-Air:/ root# cat /Library/LaunchDaemons/com.myname.addroute.plist
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key>
<string>com.myname.addroute</string>
<key>ProgramArguments</key>
<array>
<string>/sbin/route</string>
<string>-n</string>
<string>add</string>
<string>192.0.2.1/32</string>
<string>192.168.64.2</string>
</array>
<key>RunAtLoad</key>
<true/>
</dict>
</plist>
</pre>

käivitamiseks

<pre>
Imres-MacBook-Air:/ root# launchctl load /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

tulemusena

<pre>
Imres-MacBook-Air:/ root# netstat -nr | grep 192.0.
192.0.2.1/32 192.168.64.2 UGSc bridge100
</pre>

Ta on olemas globaalses launched listis

<pre>
Imres-MacBook-Air:/ root# launchctl list | grep myn
- 0 com.myname.addroute
</pre>

Põhimõtteliselt peaks töötama ka unload, aga antud juhul ei oma see toimet selle konkreetse nähtuse one-shot olemuse tõttu

<pre>
Imres-MacBook-Air:/ root# launchctl unload /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

====Cron====

TODO

<pre>
Imres-MacBook-Air:~ root# plutil -p /System/Library/LaunchDaemons/com.apple.tmp_cleaner.plist
{
"Label" => "com.apple.tmp_cleaner"
"LowPriorityIO" => 1
"Nice" => 1
"ProgramArguments" => [
0 => "/usr/libexec/tmp_cleaner"
]
"StartCalendarInterval" => {
"Hour" => 0
}
}
</pre>

===Virtualiseerimine - UTM===

Süsteemis kirjeldatud virtuaalsed arvutid

<pre>
Imres-MacBook-Air:/ root# /System/Volumes/Data/Applications/UTM.app/Contents/MacOS/utmctl list
UUID Status Name
DE2A3E49-B049-40F9-9D79-3C1448B446C9 started vm-deb13-01
</pre>

Virtuaalse arvuti virtuaalne plokkseade

<pre>
Imres-MacBook-Air:/ root# du -sh /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
5.9G /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
</pre>

Virtuaalsele arvutile vastav võrgundus

<pre>
Imres-MacBook-Air:/ root# ifconfig bridge100
bridge100: flags=8a63<UP,BROADCAST,SMART,RUNNING,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
options=3<RXCSUM,TXCSUM>
ether fa:73:df:a0:51:64
inet 192.168.64.1 netmask 0xffffff00 broadcast 192.168.64.255
inet6 fe80::f873:dfff:fea0:5164%bridge100 prefixlen 64 scopeid 0x19
inet6 fda5:2ff0:49ee:6d45:14d7:6e80:6b22:c592 prefixlen 64 autoconf secured
Configuration:
id 0:0:0:0:0:0 priority 0 hellotime 0 fwddelay 0
maxage 0 holdcnt 0 proto stp maxaddr 100 timeout 1200
root id 0:0:0:0:0:0 priority 0 ifcost 0 port 0
ipfilter disabled flags 0x0
member: vmenet0 flags=3<LEARNING,DISCOVER>
ifmaxaddr 0 port 24 priority 0 path cost 0
Address cache:
5e:7f:36:30:6b:51 Vlan1 vmenet0 1161 flags=0<>
nd6 options=201<PERFORMNUD,DAD>
media: autoselect
status: active

Imres-MacBook-Air:/ root# ifconfig vmenet0
vmenet0: flags=8963<UP,BROADCAST,SMART,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
ether b2:7a:48:40:de:47
media: autoselect
status: active
</pre>

===Virtualiseerimine - Virtualization.framework===

TODO

Väited

* Virtualization.framework kasutamine on võimalik UTM lahendusega
* Virtualization.framework'i kasutab Rancher Desktop lahendendus
* Virtualization.framework'i kasutab Claude Desktop lahendendus (Claude Cowork ja Claude Code puhul)

Virtuaalsetele arvutitele vastavad protsessid paistavad sellised

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep Virtuali
imreoolberg 9439 0.9 4.3 439637536 728784 ?? Ss 5:05PM 8:35.18 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
imreoolberg 2439 0.3 0.3 439691712 46720 ?? Ss 10:05AM 4:55.14 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 2439 -P -n | grep claudevm
com.apple 2439 imreoolberg txt REG 1,13 131072 124423025 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/efivars.fd
com.apple 2439 imreoolberg 6u REG 1,13 10737418240 124154442 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/rootfs.img
com.apple 2439 imreoolberg 11u REG 1,13 35880960 124155054 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/sessiondata.img
</pre>

Kasulikud lisamaterjalid

* https://developer.apple.com/documentation/virtualization?language=objc

===Võrk===

Vaikimisi on application firewall välja lülitatud

<pre>
Imres-MacBook-Air:~ root# /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is disabled. (State = 0)
</pre>

ning pfctl olukord

<pre>
Imres-MacBook-Air:~ root# pfctl -si
No ALTQ support in kernel
ALTQ related functions disabled
Status: Enabled for 0 days 00:05:41 Debug: Urgent

State Table Total Rate
current entries 113
searches 11661 34.2/s
inserts 370 1.1/s
removals 257 0.8/s
Counters
match 579 1.7/s
bad-offset 0 0.0/s

Imres-MacBook-Air:~ root# pfctl -ss
No ALTQ support in kernel
ALTQ related functions disabled
ALL tcp 192.168.134.76:57540 -> 192.168.10.77:8291 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61048 <- 104.18.39.21:443 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61225 -> 192.168.10.196:80 ESTABLISHED:ESTABLISHED
ALL udp 192.168.134.76:49898 -> 142.251.151.119:443 MULTIPLE:MULTIPLE
..
</pre>

Parasjagu avatud võrgusoketid

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4TCP -sTCP:LISTEN
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 8u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 12u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 36u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
launchd 1 root 38u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
ControlCe 632 imreoolberg 10u IPv4 0xde3561cefae81e29 0t0 TCP *:7000 (LISTEN)
ControlCe 632 imreoolberg 12u IPv4 0xbbbca5f5375388e5 0t0 TCP *:5000 (LISTEN)
rapportd 633 imreoolberg 10u IPv4 0x7505a25821d3a7df 0t0 TCP *:49152 (LISTEN)
zabbix_ag 6815 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
zabbix_ag 6816 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
...
</pre>

kus

* vaikimisi pfctl ei ole aktiivne, aga nt utm virtuaalse arvuti käivitamine aktiveerib (pfctl teeb utm arvutile src-nat teisendust
* pfctl laseb praktiliselt igasuguse liikluse läbi (nö tavaline brauser -> internet liiklus jms nö registreeritakse pfctl paketifiltriga, aga lubatakse läbi)
* 8021 on pfctl ftp-proxy mooduliga seotud
* 7000 ja 5000 pordid on seotud airdrop ja airport jms osakondadega (airport on vana aja nimetus everything-wifi kohta mac puhul)

Misc

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4UDP
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 7u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 8u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 39u IPv4 0x8d461240652f3ced 0t0 UDP *:138
launchd 1 root 40u IPv4 0xb4b96b1c5de038ec 0t0 UDP *:137
mDNSRespo 441 _mdnsresponder 6u IPv4 0x2d5727fb23b4e854 0t0 UDP *:5353
mDNSRespo 441 _mdnsresponder 14u IPv4 0x1ed59c3cb4235fee 0t0 UDP *:53
airportd 455 root 4u IPv4 0x6e0c4f2c444299c 0t0 UDP *:*
airportd 455 root 9u IPv6 0xea04c0f07ef2ac65 0t0 UDP *:*
airportd 455 root 11u IPv4 0xb4a853f1977e96bf 0t0 UDP *:*
airportd 455 root 12u IPv4 0x6e9d20d0d8a5c95f 0t0 UDP *:*
...
</pre>

====Riistvara====

Võrguliidese MTU muutmiseks

<pre>
imreoolberg@Imres-MacBook-Air ~ % networksetup -listallnetworkservices
An asterisk (*) denotes that a network service is disabled.
USB 10/100/1000 LAN
USB 10/100/1G/2.5G LAN
USB 10/100/1G/2.5G LAN 2
Thunderbolt Bridge
Wi-Fi

imreoolberg@Imres-MacBook-Air ~ % networksetup -getMTU Wi-Fi
Active MTU: 1500 (Current Setting: 1500)

# networksetup -setMTU Wi-Fi 1400
</pre>

====Ruuting====

ipv4 ruutingutabeli esitamine

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet
Routing tables

Internet:
Destination Gateway Flags Netif Expire
default 192.168.134.77 UGScg en0
127 127.0.0.1 UCS lo0
127.0.0.1 127.0.0.1 UH lo0
169.254 link#12 UCS en0 !
192.168.134 link#12 UCS en0 !
192.168.134.2/32 link#12 UCS en0 !
192.168.134.77/32 link#12 UCS en0 !
192.168.134.77 64:d1:54:a7:cc:99 UHLWIir en0 1199
192.168.134.255 ff:ff:ff:ff:ff:ff UHLWbI en0 !
224.0.0/4 link#12 UmCS en0 !
224.0.0.251 1:0:5e:0:0:fb UHmLWI en0
255.255.255.255/32 link#12 UCS en0 !
</pre>

====Võrk - bluetooth====

Kuigi 2025 aastal müüdavate Apple Magic Keyboard puhul paljuski väljendatakse, et nad on kasutatavad wireless režiimis ja jääb mulje, et ainult nii, siis osutub, et tegelikult neil on toiteks mõeldud usb kaabel usb siiski ka andmevahetuseks võimaline. non-radio kasutamiseks

* system setting - bluetooth osakonnas lülitada välja bluetooth terviklikult, näiteks
* klaviatuur jätkab töötamist

====Võrk - wireless====

<pre>
Imres-MacBook-Air:~ root# wdutil info | head -n 44
————————————————————————————————————————————————————————————————————
NETWORK
————————————————————————————————————————————————————————————————————
Primary IPv4 : en0 (Wi-Fi / 9B1345E5-7303-47E8-9C98-5C1D150E7921)
: 192.168.134.74
Primary IPv6 : None
DNS Addresses : 1.1.1.1
Apple : Reachable
————————————————————————————————————————————————————————————————————
WIFI
————————————————————————————————————————————————————————————————————
MAC Address : <redacted> (hw=<redacted>)
Interface Name : en0
Power : On [On]
Op Mode : STA
SSID : <redacted>
BSSID : <redacted>
RSSI : -83 dBm
CCA : 2 %
Noise : -94 dBm
Tx Rate : 65.0 Mbps
Security : WPA2 Personal
PHY Mode : 11ac
MCS Index : 1
Guard Interval : 400
NSS : 1
Channel : 5g36/80
Country Code : EE
Scan Cache Count : 3
NetworkServiceID : 9B1345E5-7303-47E8-9C98-5C1D150E7921
IPv4 Config Method : DHCP
IPv4 Address : 192.168.134.74
IPv4 Router : 192.168.134.77
IPv6 Config Method : Automatic
IPv6 Address : fe80::ccb:dc0f:9b07:4271
IPv6 Router : None
DNS : 1.1.1.1
BTC Mode : Off
Desense :
Chain Ack : []
BTC Profile 2.4GHz : Disabled
BTC Profile 5GHz : Disabled
Sniffer Supported : YES
Supports 6e : Yes
</pre>

kus

* alumiselt pildilt tunneb ära sama info, nt channel 5g36/80
* 11ac tähistab protokolli 802.11ac

Visuaalne kujutis samas olukorras

[[Fail:20260718-macos-wifi-01.png|1000px]]

kus

* TODO

====SSH kaugligipääs====

Eemalt ligipääsu võimaldamiseks, ei pruugi olla hea mõte

[[Fail:20260706-macos-ssh-remote-access-01.png|600px]]

kus

* Remote Login

===Tarkvara haldus===

====Mõisted====

* DMG - disk image

====Sissejuhatus====

Üldiselt tekib tarkvara macos süsteemi kolmest allikast

* süsteemne tarkvara - nö süsteemi enda paigaldamise tagajärel, nt Safari brauser
* App Store - apple.com standardne viis tarkvara levitada, nt Yubico Authenticator
* tootja levitab - igasugused huvilised, ausama ja vähem ausamad levitavad .dmg formaadis tõmmist oma veebikohas/repos/jms - nt BetterTouchTool

Tarkvara paigaldamisel võiks eelistada App Store lahendust võimalusel

* tarkvara on läbinud teatud turvalisuse jms kaanonitega seotud protseduurid
* paigaldamise järgne uuendamine toimub automaatselt, sarnaselt põhisüsteemi tarkvaraga

Rakenduste jaoks on üldiselt kolm asukohta failisüsteemis

* /System/Applications - read only
* /Applications - read write
* ~/Applications ehk nt /Users/imreoolberg/Applications - read write

~/Applications kataloogi on realistlik paigaldada nö lihtsat tarkvara, nt mis ei sisalda kernel extensioneid vms (nt OpenVPN ei saa, aga XCA saab). Paigaldamine toimub Finder gui liideses .dmg sees oleva .app kataloogi vedamise teel ~/Applications kataloogi või käsureal nt

$ ditto /Volumes/XCA/xca.app ~/Applications

====Tarkvara allikad====

TODO

Mitte-ametlikud registrid

* https://www.macupdate.com/
* https://www.apponic.com/mac/

====Tööpõhimõte - drag-and-drop install====

Tundub, et lihtsamal juhul tarkvara paigaldamine seisneb lihtsalt failide kopeerimises .dmg failist arvuti kataloogi /Applications. .dmg faili moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil create -ov -fs "APFS" -size 200m -volname "SimpleCalc" MyDisk.dmg
</pre>

monteerimine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil attach MyDisk.dmg
</pre>

Sisu moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % date > /Volumes/SimpleCalc/testfile.txt
</pre>

lahti ühendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil detach /Volumes/SimpleCalc
</pre>

teisendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil convert MyDisk.dmg -format UDZO -o SimpleCalc-1.0.dmg
</pre>

Kui on soov läbi proovida nö omatehtud .dmg ja elamus, siis sobib

* mingi olemasolev lihtne .app põhine rakendus võtta aluseks - nt xca rakendus
* tema sisu kopeerida omatehtud .dmg sisse
* lõpuks selle abil tarkvara paigaldada

Osutub, et kui Finderis öelda Open siis monteeritaks .dmg nagu virtuaalne failipõhine plokkseade, mille juurkataloogi sisuks on peamiselt kaks sissekannet

* link /Applications kataloogile
* xca.app kataloog rakendusega

Ja Open avab ka nö erilises vaates Finderi, kus on näha nö traditsiooniline hiirega drag-and-drop install vaade, tehniliselt toimub tavaline kataloog-kopeeritakse-kataloogi muudatus.

MacOS sellist drag viisil tehtud tarkvara paigalduse ei registreeri kuskil keskses tarkvara-registris vms. Selline tarkvara paigaldamine on tehniliselt kataloogi kopeerimine, millega kaasneb signatuuri kontroll jms administratiivne element.

====Tööpõhimõte - installer packages====

<pre>
$ pkgutil --packages
$ pkgutil --files paketinimi
</pre>

====Paigaldatud tarkvara nimekirja esitamine====

GUI

<pre>
System Settings -> General -> System report -> Software -> Applications -> not obtained-from Apple
</pre>

käsurealt

<pre>
imreoolberg@Imres-MacBook-Air ~ % system_profiler SPApplicationsDataType | grep -B 3 -A 5 "Identified De" | head -n 20
Google Chrome:

Version: 140.0.7339.81
Obtained from: Identified Developer
Last Modified: 30.08.2025, 01:47
Kind: Universal
Signed by: Developer ID Application: Google LLC (EQHXZ8M8AV), Developer ID Certification Authority, Apple Root CA
Location: /Applications/Google Chrome.app
Get Info String: Google Chrome 140.0.7339.81, Copyright 2025 Google LLC. All rights reserved.
--
iTerm:

Version: 3.5.14
Obtained from: Identified Developer
Last Modified: 16.05.2025, 02:59
Kind: Universal
Signed by: Developer ID Application: GEORGE NACHMAN (H7V7XYVQ7D), Developer ID Certification Authority, Apple Root CA
Location: /Applications/iTerm.app
Get Info String: 3.5.14
--
</pre>

Üks viis on küsida failisüsteemis

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep imreoo
drwxr-xr-x@ 3 imreoolberg staff 96 Sep 3 11:10 /Applications/BetterTouchTool.app
drwxrwxr-x@ 3 imreoolberg admin 96 Aug 30 01:47 /Applications/Google Chrome.app
drwxr-xr-x@ 3 imreoolberg staff 96 May 16 02:59 /Applications/iTerm.app
drwxr-xr-x@ 3 imreoolberg admin 96 Apr 8 08:11 /Applications/UTM.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 25 15:41 /Applications/Visual Studio Code.app

imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep qdigi
drwxr-xr-x@ 3 root wheel 96 Sep 8 16:56 /Applications/qdigidoc4.app
</pre>

kus

* sõltuvalt paigaldusviisist on faili omanik erinev
* põhimõtteliselt tekib sellisest lähenemisest probleeme, nt mis siis kui süsteemil on mitu kasutajat, installinud kasutaja eemaldatakse jne - üks viis on kasutada süsteemis ühte non-personal administraator kasutajat kes tegeleb tarkvara paigaldamisega jms, ja ülejäänud kasutavad tarkvara
* @ tähistab asjaolu, et failiga on seotud apfs failisüsteemi extended attributs omadused, nt registreeritakse sedasi autor

<pre>
imreoolberg@Imres-MacBook-Air ~ % xattr -p com.apple.appstore.vendor_name "/Applications/Yubico Authenticator.app"
Yubico
</pre>

====Paigaldamine - App Store====

TODO

[[Fail:20250908-app-store-yubico-authenticator-01.png|900px]]

kus

* pressida Get -> Install -> Open
* tarkvara 'Obtained from' väärtuseks on 'App store'
* online otsing - https://www.apple.com/us/search/yubico?src=globalnav

====Paigaldamine - tootja juurest kopeerides====

TODO

====Tarkvara uuendamine====

Väited

* tarkvara uuendusi ei väljastata kindlaksmääratud aegadel (nt nagu Ubuntu või OpenBSD puhul)
* tarkvara uuendusi väljastatakse mitmel korral aastas ja vastavalt vajadusele
* tarkvara uuendused jaotuvad: 1. turva-uuendused, 2. vigade parandused, 3. funktsionaalsed muudatused
* tarkvara uuendusi koheldatakse terviklikult, st ei ole eraldi nt süsteemi osas ja rakendustarkvara, või pakettide nimekiri, millest saab teha käesoleva uuenduse korra jaoks valiku

Nt 2025 aastal on olnud selline uuenduste ajalugu

* January 27: macOS Sequoia 15.3, macOS Sonoma 14.7.3, and macOS Ventura 13.7.3 were released with security patches.
* February 10: An urgent security update, macOS Sequoia 15.3.1, was released.
* March 11: macOS Sequoia 15.3.2 was released, addressing security vulnerabilities in WebKit.
* March 31: macOS Sequoia 15.4, macOS Sonoma 14.7.5, and macOS Ventura 13.7.5 were released.
* April 16: macOS Sequoia 15.4.1 was released, providing security patches.
* May 12: macOS Sequoia 15.5, macOS Sonoma 14.7.6, and macOS Ventura 13.7.6 were released.
* July 29: macOS Sequoia 15.6, macOS Sonoma 14.7.7, and macOS Ventura 13.7.7 were released.
* August 20: macOS Sequoia 15.6.1 was released with security updates.

Käsundamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % sw_vers
ProductName: macOS
ProductVersion: 15.3
BuildVersion: 24D2059

imreoolberg@Imres-MacBook-Air ~ % softwareupdate -l
Software Update Tool

Finding available software
Software Update found the following new or updated software:
* Label: macOS Sequoia 15.6.1-24G90
Title: macOS Sequoia 15.6.1, Version: 15.6.1, Size: 6160384KiB, Recommended: YES, Action: restart,
</pre>

====Tarkvara uuendamine - App Store====

App Store rakendus vasakus paneelis on kõige all valik

Updates

[[Fail:20251203-macos-app-store-updates-01.png|800px]]

===Logi===

TODO

Kui klaviatuuri ja hiire kasutamine olid ebastabiilsed, siis soovitas gemini.google midagi sellist küsida, ei tea mis siit järeldada

<pre>
imreoolberg@Imres-MacBook-Air ~ % log show --predicate 'process == "WindowServer"' --style syslog --last 40m| grep -i skyl | tail -n 10
2026-07-06 00:49:00.495406+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:00.600614+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.751674+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.767823+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.824865+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] pid 771 failed to act on a ping it dequeued before timing out.
2026-07-06 00:49:00.847454+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.083920+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.175320+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.498496+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:01.498503+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
</pre>

===Misc===

====Screen Lock====

Tundub, et caffeinate on hästi efektiivne

$ caffeinate -di

====Watchdog====

Väited

* hardware watchdog on paratamatult sisse lülitatud
* software watchdog on seaditatav, vaikimisi on sisse lülitatud

<pre>
TODO
</pre>

====Programm====

Käivitamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % open -a BetterTouchTool
imreoolberg@Imres-MacBook-Air ~ %

imreoolberg@Imres-MacBook-Air ~ % "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
13:09:53.164 [desktop.init] INFO: Logging initialized, outputting to stderr
13:09:53.173 [desktop.init] INFO: Window hidden on startup: false
13:09:53.174 [desktop.init] INFO: Starting Helper subprocess: /Applications/Yubico Authenticator.app/Contents/Resources/helper/authenticator-helper
13:09:53.175 [desktop.init] INFO: Helper process started
13:09:53.176 [main] INFO: Running Yubico Authenticator...
{app_version: 7.2.3, dart: 3.8.1 (stable) (Wed May 28 00:47:25 2025 -0700) on "macos_arm64", os: macos, os_version: Version 15.6.1 (Build 24G90)}
13:09:53.302 [helper.ykman.logging] INFO: Logging at level: INFO
13:09:53.302 [helper.helper.device] INFO: Log level set to: INFO
13:09:53.302 [desktop.init] INFO: Helper log level set
13:09:53.327 [desktop.devices] INFO: USB state change
{"data":{"state":5740354900026072187,"pids":{}},"actions":["get","scan"],"children":{}}
13:09:53.327 [desktop.devices] INFO: USB state updated, unaccounted for: {}
..
</pre>

edasi

<pre>
Imres-MacBook-Air:/ root# file "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator: Mach-O universal binary with 2 architectures: [x86_64:Mach-O 64-bit executable x86_64] [arm64:Mach-O 64-bit executable arm64]
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture x86_64): Mach-O 64-bit executable x86_64
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture arm64): Mach-O 64-bit executable arm64
Imres-MacBook-Air:/ root#
</pre>

<pre>
imreoolberg@Imres-MacBook-Air Documents % cat hello.c
#include <stdio.h>

int main() {
printf("Hello, World!\n");
return 0;
}
</pre>

kompileerimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % clang hello.c -o hello
</pre>

käivitamine

<pre>
imreoolberg@Imres-MacBook-Air Documents % ./hello
Hello, World!
</pre>

otool abil binary uurimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % otool -L hello
hello:
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1351.0.0)
</pre>

yubico authenticator binary uurimine

<pre>
Imres-MacBook-Air:/ root# otool -L "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture x86_64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture arm64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
</pre>

kus

* @rpath viitab rakenduse kapsli sisestele ressurssidele

====dtruss====

<pre>
Imres-MacBook-Air:/ root# dtruss -p 65630 2>&1 | tail -n 1

: probe description syscall:::entry does not match any probes. System Integrity Protection is on

imreoolberg@Imres-MacBook-Air Documents % dtruss ./hello
dtrace: system integrity protection is on, some features will not be available
dtrace: failed to initialize dtrace: DTrace requires additional privileges
</pre>

====Screenshot====

Tähistatud ala

<pre>
Command + Shift + 4
</pre>

Kogu ekraan

<pre>
Command + Shift + 3
</pre>

Screen cast

<pre>
Command + Shift + 5
</pre>

Vaikimisi asub pildistus iseloomuliku nimega failis desktopil.

===Süsteemi taastamine===

====Recovery meedia ettevalmistamine====

<pre>
Imres-MacBook-Air:/ root# diskutil eraseDisk JHFS+ "MyVolume" /dev/disk4
Started erase on disk4
Unmounting disk
Creating the partition map
Waiting for partitions to activate
Formatting disk4s2 as Mac OS Extended (Journaled) with name MyVolume
Initialized /dev/rdisk4s2 as a 28 GB case-insensitive HFS Plus volume with a 8192k journal
Mounting disk
Finished erase on disk4

Imres-MacBook-Air:/ root# /Applications/Install\ macOS\ Sequoia.app/Contents/Resources/createinstallmedia --volume /Volumes/MyVolume
Ready to start.
To continue we need to erase the volume at /Volumes/MyVolume.
If you wish to continue type (Y) then press return: y
Erasing disk: 0%... 10%... 20%... 30%... 100%
Copying essential files...
Copying the macOS RecoveryOS...
Making disk bootable...
Copying to disk: 0%... 10%... 20%... 30%... 40%... 50%... 60%... 70%... 80%... 90%... 100%
Install media now available at "/Volumes/Install macOS Sequoia"
Imres-MacBook-Air:/ root# echo $?
0

# diskutil unmount /Volumes/Install\ macOS\ Sequoia
</pre>

Protseduur

1. Create a New APFS Volume
The first step is to create a new, separate volume on your internal drive where you will restore the backup.

Boot from your USB installer by holding the Option key on startup.

In the macOS Utilities window, select Disk Utility and click Continue.

In Disk Utility, go to the menu bar and select View > Show All Devices.

In the sidebar, select the APFS container (the device, not the volume) that holds your current macOS installation.

Click the + button in the toolbar to add a new APFS volume.

Give the new volume a name (e.g., "macOS Restored") and click Add. This process is very fast as APFS volumes share the same free space.

Once the new volume appears in the sidebar, close Disk Utility.

2. Restore the Backup to the New Volume
Now that the new volume is ready, you can restore your Time Machine backup to it.

From the macOS Utilities window, select Restore From Time Machine Backup and click Continue.

Follow the on-screen instructions, selecting your Time Machine backup drive when prompted.

When the installer asks you to choose a destination disk, you will see your original macOS volume and the new "macOS Restored" volume you just created.

Select the new "macOS Restored" volume as the destination for the restoration. The installer will then proceed to restore the system to that specific volume only.

After the restoration is complete, you can restart your Mac and, by holding down the Option key, you will be able to choose between your original macOS system and the restored system on the second volume.

===homebrew===

<pre>
imre@imre-mac ~ % /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
==> Checking for `sudo` access (which may request your password)...
Password:
==> This script will install:
/opt/homebrew/bin/brew
/opt/homebrew/share/doc/homebrew
/opt/homebrew/share/man/man1/brew.1
/opt/homebrew/share/zsh/site-functions/_brew
/opt/homebrew/etc/bash_completion.d/brew
/opt/homebrew
/etc/paths.d/homebrew
==> The following new directories will be created:
/opt/homebrew/bin
/opt/homebrew/etc
/opt/homebrew/include
/opt/homebrew/lib
/opt/homebrew/sbin
/opt/homebrew/share
/opt/homebrew/var
/opt/homebrew/opt
/opt/homebrew/share/zsh
/opt/homebrew/share/zsh/site-functions
/opt/homebrew/var/homebrew
/opt/homebrew/var/homebrew/linked
/opt/homebrew/Cellar
/opt/homebrew/Caskroom
/opt/homebrew/Frameworks
==> The Xcode Command Line Tools will be installed.

Press RETURN/ENTER to continue or any other key to abort:
==> /usr/bin/sudo /usr/bin/install -d -o root -g wheel -m 0755 /opt/homebrew
==> /usr/bin/sudo /bin/mkdir -p /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod ug=rwx /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod go-w /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions
==> /usr/bin/sudo /usr/sbin/chown imre /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/bin/chgrp admin /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/sbin/chown -R imre:admin /opt/homebrew
==> Searching online for the Command Line Tools
==> /usr/bin/sudo /usr/bin/touch /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Installing Command Line Tools for Xcode-16.4
==> /usr/bin/sudo /usr/sbin/softwareupdate -i Command\ Line\ Tools\ for\ Xcode-16.4
Software Update Tool

Finding available software

Downloading Command Line Tools for Xcode

Downloaded Command Line Tools for Xcode
Installing Command Line Tools for Xcode
Done with Command Line Tools for Xcode
Done.
==> /usr/bin/sudo /usr/bin/xcode-select --switch /Library/Developer/CommandLineTools
Password:
Sorry, try again.
Password:
==> /usr/bin/sudo /bin/rm -f /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Downloading and installing Homebrew...
remote: Enumerating objects: 310493, done.
remote: Counting objects: 100% (16399/16399), done.
remote: Compressing objects: 100% (608/608), done.
remote: Total 310493 (delta 15991), reused 15838 (delta 15791), pack-reused 294094 (from 3)
remote: Enumerating objects: 55, done.
remote: Counting objects: 100% (34/34), done.
remote: Total 55 (delta 33), reused 33 (delta 33), pack-reused 21 (from 1)
==> /usr/bin/sudo /bin/mkdir -p /etc/paths.d
==> /usr/bin/sudo tee /etc/paths.d/homebrew
/opt/homebrew/bin
==> /usr/bin/sudo /usr/sbin/chown root:wheel /etc/paths.d/homebrew
==> /usr/bin/sudo /bin/chmod a+r /etc/paths.d/homebrew
==> Updating Homebrew...
==> Downloading https://ghcr.io/v2/homebrew/portable-ruby/portable-ruby/blobs/sha256:20fa657858e44a4b39171d6e4111f8a9716eb62a78ebbd1491d94f90bb7b830a
################################################################################################################################################################ 100.0%
==> Pouring portable-ruby-3.4.5.arm64_big_sur.bottle.tar.gz
==> Installation successful!

==> Homebrew has enabled anonymous aggregate formulae and cask analytics.
Read the analytics documentation (and how to opt-out) here:
https://docs.brew.sh/Analytics
No analytics data has been sent yet (nor will any be during this install run).

==> Homebrew is run entirely by unpaid volunteers. Please consider donating:
https://github.com/Homebrew/brew#donations

==> Next steps:
- Run these commands in your terminal to add Homebrew to your PATH:
echo >> /Users/imre/.zprofile
echo 'eval "$(/opt/homebrew/bin/brew shellenv)"' >> /Users/imre/.zprofile
eval "$(/opt/homebrew/bin/brew shellenv)"
- Run brew help to get started
- Further documentation:
https://docs.brew.sh

imre@imre-mac ~ %
</pre>

pyhton 3.13

<pre>
imre@imre-mac ti % brew install python@3.13
==> Fetching downloads for: python@3.13
==> Downloading https://ghcr.io/v2/homebrew/core/python/3.13/manifests/3.13.7
#################################################################################################################### 100.0%
==> Fetching dependencies for python@3.13: mpdecimal, ca-certificates, openssl@3, readline, sqlite and xz
==> Downloading https://ghcr.io/v2/homebrew/core/mpdecimal/manifests/4.0.1
#################################################################################################################### 100.0%
==> Fetching mpdecimal
...

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
==> Summary
🍺 /opt/homebrew/Cellar/python@3.13/3.13.7: 3,620 files, 66.6MB
==> Running `brew cleanup python@3.13`...
Disable this behaviour by setting `HOMEBREW_NO_INSTALL_CLEANUP=1`.
Hide these hints with `HOMEBREW_NO_ENV_HINTS=1` (see `man brew`).
==> No outdated dependents to upgrade!
==> Caveats
==> python@3.13
Python is installed as
/opt/homebrew/bin/python3

Unversioned symlinks `python`, `python-config`, `pip` etc. pointing to
`python3`, `python3-config`, `pip3` etc., respectively, are installed into
/opt/homebrew/opt/python@3.13/libexec/bin

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
imre@imre-mac ti %

(py_venv) imre@imre-mac ti % brew tap hashicorp/tap
==> Tapping hashicorp/tap
Cloning into '/opt/homebrew/Library/Taps/hashicorp/homebrew-tap'...
remote: Enumerating objects: 5818, done.
remote: Counting objects: 100% (1132/1132), done.
remote: Compressing objects: 100% (221/221), done.
remote: Total 5818 (delta 1015), reused 913 (delta 911), pack-reused 4686 (from 3)
Receiving objects: 100% (5818/5818), 1.01 MiB | 1.18 MiB/s, done.
Resolving deltas: 100% (4104/4104), done.
Tapped 2 casks and 32 formulae (93 files, 1.3MB).
(py_venv) imre@imre-mac ti % brew install hashicorp/tap/vault
</pre>

===Xcode Command Line Tools===

Xcide CLI koosseisu kuuluvad muu hulgas

* git
* clang
* gcc

Paigaldamiseks sobib öelda

<pre>
# xcode-select --install
</pre>

to check

<pre>
imreoolberg@Imres-MacBook-Air ~ % xcode-select -p
/Library/Developer/CommandLineTools
</pre>

===Spaces===

Väited

* Spaces võimaldab tegeleda macos peal virtuaalsete desktop'idega
* käitumist kontrollib üldiselt 'System Settings -> Desktop & Dock -> Displays have separate Spaces' väärtus (vaikimisi 'On')
* F3 klahv abil saab Spaces riba kuvada monitoride üleosas
* Space'i saab liigutada monitoride vahel hiirega tirides, v.a. aktiivset space'i
* Space'ide vahel saab liikuda Control + left/righ arrow key abil
* Rakendust saab liigutada space'ide vahel minnes nn Mission Control vaatesse ja siis hiirega rakenduse akent lohistades
* Space sulgemisel paigutatakse vastavad aknad eelmisele space'ile

===Kellaaeg===

Süsteemi aeg

<pre>
Imres-MacBook-Air:~ root# date
Sat Sep 13 23:36:17 EEST 2025
</pre>

NTP serverilt kellaaja küsimine

<pre>
Imres-MacBook-Air:~ root# sntp time.apple.com
+0.049514 +/- 0.014280 time.apple.com 17.253.38.35
</pre>

Väärtuse küsimine

<pre>
Imres-MacBook-Air:~ root# systemsetup -getnetworktimeserver
Network Time Server: time.euro.apple.com
</pre>

Väärtuse muutmine

<pre>
Imres-MacBook-Air:~ root# systemsetup -setnetworktimeserver time.euro.apple.com
</pre>

Logist kellaajaga seotud sündmuste kohta küsimine

<pre>
Imres-MacBook-Air:~ root# log stream --predicate 'subsystem == "com.apple.timed"
</pre>

Kas kellaaeg automaatne hoidmine on kasutuses

<pre>
Imres-MacBook-Air:~ root# systemsetup -getusingnetworktime
Network Time: On
</pre>

===BSD pärand===

<pre>
imreoolberg@Imres-MacBook-Air ~ % which openssl
/usr/bin/openssl
imreoolberg@Imres-MacBook-Air ~ % openssl version
LibreSSL 3.3.6

Imres-MacBook-Air:~ root# ssh -V
OpenSSH_9.9p2, LibreSSL 3.3.6

Imres-MacBook-Air:~ root# pfctl -v
No ALTQ support in kernel
ALTQ related functions disabled

Imres-MacBook-Air:~ root# netstat -nr -f inet
</pre>

Süsteemsete kasutajate nimed algavad alakriipsuga (nt sarnaselt toimib OpenBSD), nt timed (ntp local protsess) töötab kasutajana _timed

<pre>
Imres-MacBook-Air:~ root# ps aux | grep timed
_timed 373 0.0 0.0 426967056 4576 ?? Ss Tue02PM 0:03.41 /usr/libexec/timed
</pre>

/etc/passwd failis on palju nö legacy kasutajad mille nimi viitab nö klassikalisele lahendusele

<pre>
Imres-MacBook-Air:~ root# egrep "_postgres|_dovenull|_postfix|_avamis|_clamav|_cyrus|_mailman|_cvs|_mysql|_jabber|_ftp" /etc/passwd
_postfix:*:27:27:Postfix Mail Server:/var/spool/postfix:/usr/bin/false
_cvs:*:72:72:CVS Server:/var/empty:/usr/bin/false
_mysql:*:74:74:MySQL Server:/var/empty:/usr/bin/false
_cyrus:*:77:6:Cyrus Administrator:/var/imap:/usr/bin/false
_mailman:*:78:78:Mailman List Server:/var/empty:/usr/bin/false
_clamav:*:82:82:ClamAV Daemon:/var/virusmails:/usr/bin/false
_jabber:*:84:84:Jabber XMPP Server:/var/empty:/usr/bin/false
_ftp:*:98:-2:FTP Daemon:/var/empty:/usr/bin/false
_postgres:*:216:216:PostgreSQL Server:/var/empty:/usr/bin/false
_dovenull:*:227:227:Dovecot Authentication:/var/empty:/usr/bin/false
</pre>

===Süsteemi paigaldamine===

Eesmärk

* paigaldada töötav töökoha keskkond
* valmituda juhtumiks kui kasutaja parool kaob ja on vaja seda taastada (teha reset)

TODO

===Google Chrome brauser===

TODO

Google Chrome brauseril on lubatud kuvada ssh privaatset võtit, nt

file:///Users/imreoolberg/.ssh/id_ed25519

Analoogliselt on see lubatud Ubuntu 24.04 platvormil, aga nt OpenBSD puhul mitte (tänu unveil tehnoloogiale).

===GateKeeper===

Kui kopeerida internetist tarkvara nt .dmg kujul ja paigaldada, siis esimesel käivitamisel küsib süsteem, et kas ikka käivitada see internetist kopeeritud programm, küsimus ja vastusega tegelemine on seotud xattr parameetriga com.apple.quarantine

<pre>
Imres-MacBook-Air:~ root# xattr -p com.apple.quarantine /Applications/KeePassXC.app
0181;68c6f083;Chrome;AF698614-F806-4A2B-B66C-4B09CB133779
</pre>
ja
<pre>
# spctl
</pre>

ja

<pre>
Imres-MacBook-Air:~ root# sqlite3 /Users/imreoolberg/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2
SQLite version 3.43.2 2023-10-10 13:08:14
Enter ".help" for usage hints.

sqlite> .schema
CREATE TABLE LSQuarantineEvent ( LSQuarantineEventIdentifier TEXT PRIMARY KEY NOT NULL, LSQuarantineTimeStamp REAL, LSQuarantineAgentBundleIdentifier TEXT, LSQuarantineAgentName TEXT, LSQuarantineDataURLString TEXT, LSQuarantineSenderName TEXT, LSQuarantineSenderAddress TEXT, LSQuarantineTypeNumber INTEGER, LSQuarantineOriginTitle TEXT, LSQuarantineOriginURLString TEXT, LSQuarantineOriginAlias BLOB );
CREATE INDEX LSQuarantineEventIndex ON LSQuarantineEvent ( LSQuarantineEventIdentifier );
CREATE INDEX LSQuarantineTimeStampIndex ON LSQuarantineEvent ( LSQuarantineTimeStamp );

sqlite> select * from LSQuarantineEvent;
9446C9BF-45BE-49C7-8EBE-2F15796AC8C8|778543831.0|com.google.Chrome|Chrome||||0|||
BDC2404B-51CD-4561-B50B-97C0C4272BF4|778543831.0|com.google.Chrome|Chrome||||0|||
295142B0-B654-4691-9F45-774441058E9A|778543831.0|com.google.Chrome|Chrome||||0|||
E806F7A8-856B-4A57-ADD6-0FFC2CAEECCB|778543833.0|com.google.Chrome|Chrome||||0|||
</pre>

===Transparency, Consent, and Control (TCC)===

Esmakordsel käivitamisel küsitakse vahel kataloogide ja failide avamise õiguse kohta, sellega tegeleb TCC. Tulemus on paista nt

System Settings -> Privacy & Security -> KeePassXC -> xxx

<pre>
Imres-MacBook-Air:~ root# mdls -name kMDItemCFBundleIdentifier /Applications/KeePassXC.app
kMDItemCFBundleIdentifier = "org.keepassxc.keepassxc"
</pre>

ning eemaldamiseks

<pre>
Imres-MacBook-Air:~ root# tccutil reset All org.keepassxc.keepassxc
Successfully reset All approval status for org.keepassxc.keepassxc
</pre>

===Kasutajate haldamine===

Kasutaja tekitamiseks sobib

System Settings -> Users & Groups -> Add User -> ...

Teise kasutajana lisaks sisse logimiseks sobib kasutada

System Settings -> Control Center -> Fast User Switching -> ...

===Eesti id kaart===

TODO

Peale paigaldamist on

System Settings -> ID-updater

===Finder===

Finder programm on sarnane nö vana-aja Windows Explorer programmile või XFCE4 prorammile Thunar.

Vasaku sidebar ehk paneeli sisu muutmiseks sobib kasutada Finder -> Settings ja nt muuta nähtavaks kasutaja kodukataloog.

===XQuartz===

Väited

* X11 põhiste rakenduste töötamiseks vajalik tarkvara (nö linux traditsiooni juhtumiks)
* X2go töötamise eelduseks

===Locale===

MacOS on väga utf-8 keskne süsteem, graafiliste rakenduste ja käsurea osakonnas

<pre>
imreoolberg@Imres-MacBook-Air ~ % env | grep LANG
LANG=en_US.UTF-8

imreoolberg@Imres-MacBook-Air ~ % locale
LANG="en_US.UTF-8"
LC_COLLATE="en_US.UTF-8"
LC_CTYPE="en_US.UTF-8"
LC_MESSAGES="en_US.UTF-8"
LC_MONETARY="en_US.UTF-8"
LC_NUMERIC="en_US.UTF-8"
LC_TIME="en_US.UTF-8"
LC_ALL=
</pre>

Juhtimiseks sobib kasutada faili ~/.zshrc

===Mälu haldus===

Käesolevat mälukasutust saab jälgida Activity Monitor utiliidi abil

[[Fail:20250918-macos-memory-01.png|900px]]

kus

* physical memory - arvuti riistvaralise mälu hulk
* memory used - mälu hulk mida operatsioonisüteem moel või teisel aktiivsemalt/vähem-aktiivsemalt/jne kasutab
* swap used - plokkseadmele/failisüsteemi salvestatud/puhverdatud mälu sisu

Memory Used koosneb neljast osast

* app memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis on välja swapitav, kokku pakitav jms paindlik
* wired memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis ei ole välja swapitav, kokku pakitav jms paindlik
* cached files - apfs jt failisüsteemide cache, st mällu puhverdatud sisu (tõenäoliselt teeb lugemise oluliselt kiiremaks)
* kokku pakitud mälule vastav maht mis kulub pakitud sisu hoidmiseks (mis on pakitud kujul)

'Compressed' väärtus väljendab, milline kokkupakkimata maht õnnestus kokku pakkida.

Väited

* arvutis on 'available memory' maht 16.00 - 12.84 = 3.16 G mälu - st see on ressurss, mida saab süsteem kohe kasutada täiendavate vajaduste jaoks
* kokku pakitud kujul olevate andmete maht on 12.84 - 5.90 - 2.17 - 3.30 = 1.47
* kokku pakkkimise efektiivsus on 3.96/1.47 = 2.69 st peaaegu 3x
* kuigi süsteemis on vaba mälu, siis on süsteem otsustanud siiski 175.6 MB välja swappida, ju ta teab mis teeb, ja nii on olnud otstarbekas
* cached files maht on selline ressurss, mille saab süsteem kiiresti võtta uude kasutusse, st nt rakenduse koodi jaoks

Swap asub failisüsteemis kataloogis /private/var/vm.

===Yubico Authenticator===

====Tööpõhimõte====

Yubico tootja krüptoseadmed on hästi populaarsed ja korralikud, Eestis on ka nende kasutamine päris levinud

[[Fail:20260718-macos-yubico-01.png|700px]]

Füüsilise seadme haldamiseks on kasutada tarkvara 'Yubico Authenticator'

[[Fail:20260718-macos-yubico-02.png|600px]]

kus

* nime 'Authenticator' viitab justkui TOTP tüüpi rakendusele, tegelikult on see palju funktsionaalsem (FIDO2 saladuste haldamine, PIV saladuste haldamine jne)

====Paigaldamine====

Yubico Authenticator paigaldamine toimub nö tavalisel viisil Apple App Store abil, samuti edasine tarkvara uuendamine.

====Kasulikud lisamaterjalid====

* https://www.auul.pri.ee/wiki/Yubikey

===Yubikey===

TODO

Kui ssh kliendi kasutamisel tekib olukord

<pre>
... sign_and_send_pubkey: signing failed for ECDSA .. from agent: agent refused operation
</pre>

võib abistada

<pre>
% ssh-add -e /usr/local/lib/libykcs11.dylib
Card removed: /usr/local/lib/libykcs11.dylib

% ssh-add -s /usr/local/lib/libykcs11.dylib
Enter passphrase for PKCS#11:
Card added: /usr/local/lib/libykcs11.dylib

%
</pre>

===Apple riistvara-tarkvara ajalugu===

Küsimus chatgpt'le

'what operating system apple computers have used, please give timeline of cpu and operating system with mentioning whether is was single or two-mode privilege separation solution'

Vastus chatgpt'lt - eristatakse 6 ajastut

The Early Days (1976-1984)

* Computer: Apple I, Apple II series.
* CPU: MOS Technology 6502.
* Operating System: Apple DOS, ProDOS.
* Privilege Mode: Single-mode. The CPU and OS lacked a concept of privilege separation. All software, including the operating system, ran with full, unrestricted access to the hardware.

The Early Macintosh (1984-1987)

* Computer: Macintosh 128K, Macintosh Plus, Mac SE.
* CPU: Motorola 68000.
* Operating System: System Software (System 1.0 - 4.0).
* Privilege Mode: The CPU had a two-mode (Supervisor/User) architecture. However, the early Mac OS did not fully use it for memory protection. The OS was based on a cooperative multitasking model, and a buggy program could still crash the entire system.

The 32-bit Transition (1987-1994)

* Computer: Macintosh II series.
* CPU: Motorola 68020, 68030, 68040.
* Operating System: Mac OS (System 5.0 - 7.5).
* Privilege Mode: The CPUs were fully capable of two-mode operation. The OS began to use some of these features, but it was still not a truly protected-mode, preemptive multitasking system.

The PowerPC Era (1994-2006)

* Computer: Power Macintosh series.
* CPU: PowerPC 601, 603, G3, G4.
* Operating System: Mac OS 7.5 - Mac OS 9.
* Privilege Mode: The PowerPC was a modern two-mode RISC architecture with a robust privilege model. Despite the powerful hardware, the underlying Mac OS remained non-preemptive and lacked true memory protection between applications. This was a key reason why Apple chose to adopt a BSD-based foundation for its next-generation OS.

The Intel Era (2006-2020)

* Computer: MacBook, MacBook Pro, iMac, Mac Mini, Mac Pro (Intel models).
* CPU: Intel Core 2 Duo, Core i3/i5/i7/i9, Xeon (x86 architecture).
* Operating System: Mac OS X (versions 10.4 to 10.15), later renamed macOS (from 10.12 onward).
* Privilege Mode: Two-mode (Ring 0 for the kernel, Ring 3 for applications). This was a pivotal time for Apple, as their BSD-based Mac OS X was finally running on a CPU architecture with a robust, industry-standard privilege model. The operating system could now fully leverage preemptive multitasking and true memory protection, making the Mac far more stable and secure than in the previous eras.

The ARM Era (2020-Present)

* Computer: MacBook Air, MacBook Pro, iMac, Mac Mini (Apple Silicon models).
* CPU: Apple Silicon (M1, M2, M3, and so on), which are custom ARM-based processors.
* Operating System: macOS (starting with macOS 11 Big Sur).
* Privilege Mode: The ARM architecture uses a sophisticated multi-level privilege model. The OS runs in EL1 (Kernel Mode), while user applications run in EL0 (User Mode). The system also utilizes EL2 (Hypervisor Mode) for virtualization and security features. The transition to ARM allowed Apple to fully integrate hardware and software, creating a highly efficient platform where the CPU, GPU, and memory are on a single chip. The macOS operating system is built specifically to take advantage of this architecture and its robust privilege model.

===Apple Continuity===

Apple Continuity initsiatiiv võimaldab ühe appleid konto külge kinnitatud seadmete vahel teha koostööd, nt selliste seadmete ja tegevuste osas

* veebikaamera
* Universal Control - clipboard st kopi-paste üle seadmete (Synergy/Barrier/jms sarnane)
* rakenduste kasutamise jätkamine - nt brauser
* Contacts

Kasulikud lisamaterjalid

* https://www.apple.com/macos/continuity/

===Ansible===

export OBJC_DISABLE_INITIALIZE_FORK_SAFETY=YES

===vnc klient===

vnc kliendi kasutamise eelduseks on kuskil võrgus töötav ja ligipääsetav vnc server. MacOS operatsioonisüsteemiga tuleb kaasa vnc klient, kasutamiseks sobib käivitada programm Finder

Finder -> Go -> Go to server

ning sisestada lahtrisse nt

vnc://192.168.10.187:5901

===Mail - IMAP ja SMTP klient===

TODO

===DFU - Device Firmware Update===

====Mõisted====

* Revive - tegevuse tulemusena asendatakse arvuti tava-firmware ja restore partitsioon - macos operatsioonisüsteem ja kasutaja andmed säilivad
* Restore - tegevuse tulemusena asendatakse arvuti tava-firmware, restore partition jne sh macos operatsioonisüsteem - st kõik
* IPSW - iphone software - praktiliselt kõik moodsad seadmed, nt https://ipsw.me/

====Tööpõhimõte====

Väited

* DFU puudutab 'macos all oleva tava-firmware all olevat eri-firmware kihti
* erinevalt nö x86 riistvara lahendustest saab mac riistvara puhul kasutada kahte seadet komplektis - seadmed ühendatakse tavalise thunderbolt vms kaabliga ning seejärel üks seade võimaldab teist ravida kasutades Apple Configurator tarkvara
* Apple Configurator ei võimalda tegeleda selle sama arvuti riistvaraga millel ta töötab, ta võimaldab tegeleda selle arvuti riistvaraga, mis on ühendatud thunderbolt kaabliga

====Apple Configurator tarkvara kasutamine====

* Apple Configurator paigaldatakse tavalisel viisil AppStore platvormi abil

====Kasulikud lisamaterjalid====

* youtube kanal lapfix sisaldab saateid - https://www.youtube.com/@lapfix

===Windows remote desktop klient===

AppStore abil on kasutada tasuta tarkvara 'Windows App'.

[[Fail:20251119-macos-windows-app-01.jpg|700px]]

===WireGuard===

WireGuard vpn klienti saab paigaldada tavalisel viisil App Store keskkonna abil. Peale paigaldamist ja esmast käivitamist valides spotlight otsingus wireguard, tuleks ilmselt kirjaldada vpn ühendus wireguard nö serveriga ning pressides + nuppu

[[Fail:20251215-macos-wireguard-04.png|700px]]

ning

[[Fail:20251215-macos-wireguard-01.png|700px]]

Käivitatud st aktiivse vpn tunneli olek paistab selline

[[Fail:20251215-macos-wireguard-02.png|700px]]

ning üldises vpn ühenduste nimekirjas

[[Fail:20251215-macos-wireguard-03.png|700px]]

<pre>
Imres-MacBook-Air:~ root# ifconfig utun6
utun6: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1420
options=6460<TSO4,TSO6,CHANNEL_IO,PARTIAL_CSUM,ZEROINVERT_CSUM>
inet 10.168.112.68 --> 10.168.112.68 netmask 0xffffff00
</pre>

ning ruuting

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet | grep utun6
default link#22 UCSIg utun6
10.168.10.177/32 link#22 UCS utun6
10.168.112/24 10.168.112.68 UGSc utun6
10.168.112.68 10.168.112.68 UH utun6
192.168.112 link#22 UCS utun6
224.0.0/4 link#22 UmCSI utun6
255.255.255.255/32 link#22 UCSI utun6
</pre>

Tundub, et mingitel hetkedel wireguard klient nö ei allu eriti, siis võib olla abiks protsessi lõpetamine teminali aknas ning käivitamine 'open -a ..' abil

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i wireg
imreoolberg 757 0.0 0.4 435612624 63120 ?? S Wed12PM 0:01.19 /Applications/WireGuard.app/Contents/MacOS/WireGuard
imreoolberg 30026 0.0 0.0 435300208 1344 s014 S+ 5:10AM 0:00.01 grep -i wireg

imreoolberg@Imres-MacBook-Air ~ % killall WireGuard

imreoolberg@Imres-MacBook-Air ~ % open -a WireGuard
</pre>

vpn kasutamisel tuleb arvestada, et kui MacOS tulemüür ei ole sisselülitatud ja ei takista, siis saab vpn serveri poolelt pöörduda ka macos arvuti poole.

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_OpenBSD_kasutamine#Wireguard
* https://www.auul.pri.ee/wiki/MikroTik_RouterOS#WireGuard

===Eesti ID kaardi kasutamine===

Eesti ID kaardi tarkvara paistab esindatud nn System Settings vasakus paneelis

[[Fail:20251216-macos-software-01.png|700px]]

Ning App Store peal

[[Fail:20251203-macos-app-store-updates-02.png|700px]]

ning

System Report -> Software -> Applications

juures

[[Fail:20251216-macos-software-02.png|700px]]

Lisaks Eesti ID kaardi tarkvara paistab nö .pkg osakonnas esindatud

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -v ^com.apple
..
eu.web-eid.web-eid-chrome
ee.ria.open-eid
ee.ria.qdigidoc4
eu.web-eid.web-eid
eu.web-eid.web-eid-safari
ee.ria.ID-updater
...
</pre>

kusjuures konkreetsed versioonid on sellest pkgutil vaatest

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.5.0.1954
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.15.0
volume: /
location: /
install-time: 1757342106
</pre>

Kusjuures siit paistab vastuolu: pkgutil eistab nt paketi ee.ria.qdigidoc4 versiooniks 4.8.2 kuid muud 4.9.1. Kui küsida käsurealt teisiti versiooni

<pre>
Imres-MacBook-Air:~ root# defaults read /Applications/qdigidoc4.app/Contents/Info.plist CFBundleShortVersionString
4.9.1
</pre>

Ning programmi enda gui liides ütleb samuti versiooniks 4.9.1, lisaks tundub, et tegu on siiski sama tarkvara eksemplariga

<pre>
Imres-MacBook-Air:~ root# ps aux | grep qdigidoc4 | grep -v grep
imreoolberg 38841 0.0 0.4 436001936 63600 ?? S 4:19AM 0:01.45 /Applications/qdigidoc4.app/Contents/MacOS/qdigidoc4
</pre>

ning

[[Fail:20251216-macos-software-03.png|700px]]

====System Settings vasaku paneeli ID-updater kasutamine====

Peale System Settings vasaku paneeli ID-update kasutamist ja jaatavat vastamist vaikimisi valikutega

[[Fail:20251216-macos-eid-updater-01.png|700px]]

tessa

[[Fail:20251216-macos-eid-updater-02.png|700px]]

kossa

[[Fail:20251216-macos-eid-updater-03.png|700px]]

nessa

[[Fail:20251216-macos-eid-updater-04.png|700px]]

on tulemuseks

[[Fail:20251216-macos-eid-updater-05.png|700px]]

ning käsurealt küsides, st mõne komponendi versioon uuenes

* eu.web-eid.web-eid-chrome
* ee.ria.open-eid
* eu.web-eid.web-eid
* ee.ria.ID-updater

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.10.0.235
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.18.0
volume: /
location: /
install-time: 1765858910
</pre>

20260630 kogemus

[[Fail:20260630-macos-eid-updater-01.png|900px]]

kus

* tundub, et macos lähenemisele natuke iseloomulikult erinevad kohad kirjutavad versiooni uuenduse kohta erinevat infot

===Mikrotik Winbox===

Paistab, et alates winbox v. 4 on toetatud MacOS

[[Fail:20260330-macos-mikrotik-install-01.png|800px]]

kus

* .dmg on Finder peal 'Open with' -> 'Diskmounter' abil avatud (monteeritud)
* paigaldamiseks tuleb nihutada .dmg sees paistev nö ressurss Applications alla kõrvale avatud Finder programmis (tavaliselt on .dmg avatud image nö ristkülikus kaks ikooni, rakendus ja Application ja tuleb nihutada selle akna sees
* Finder vasakus paneelis on Windbox disk image lahti monteeritud

kasutamine paistab välja nii

[[Fail:20260311-mikrotik-winbox-4-01.png|800px]]

Andmefailid asuvad

<pre>
imreoolberg@Imres-MacBook-Air ~ % find ~/Library/Application\ Support/MikroTik/WinBox -type f -ls
105559824 8 -rw-r--r-- 1 imreoolberg staff 1998 Jun 3 23:34 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.78.cfg.viw2
119606360 16 -rw-r--r-- 1 imreoolberg staff 5126 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.77.cfg.viw2
..

105555588 8 -rw-r--r-- 1 imreoolberg staff 502 Jun 3 23:29 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/Addresses.cdb
119606359 8 -rw-r--r-- 1 imreoolberg staff 383 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/settings.cfg.viw2
</pre>

====WindBox 4.1 -> 4.2 uuendamine====

Winbox uuendamine toimub üsna manuaalselt

[[Fail:20260709-mikrotik-01.png|900px]]

kus

* tootja jagab .dmg faili
* see fail tuleb eraldi liigutusena kopeerida tootja veebikohast
* antud juhtum on hea näide kuidas MacOS Application kataloogi alamkataloogis asendab vana versiooni uuega

Kusjuures paigaldamise ajal midagi ei küsitud st privileegide saamiseks, tundub, et põhjusel kuna kataloog oli juba olemas ja kuulus kasutajale

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/*
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 29 2025 /Applications/balenaEtcher.app
drwxr-xr-x@ 3 imreoolberg staff 96 Jul 3 07:43 /Applications/BetterTouchTool.app
drwxr-xr-x 13 root staff 416 Jul 5 16:07 /Applications/DDPM
..
drwxr-xr-x@ 3 root wheel 96 Dec 3 2025 /Applications/web-eid-safari.app
drwxr-xr-x@ 3 root wheel 96 Jun 30 19:52 /Applications/WhatsApp.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 8 10:25 /Applications/WinBox.app
drwxr-xr-x@ 3 root wheel 96 Jul 4 19:44 /Applications/Windows App.app
drwxr-xr-x@ 3 root wheel 96 Dec 9 2025 /Applications/WireGuard.app
...
</pre>

kus

* sõltuvalt paigalduse viisist on kataloogil omanikuks kasutaja või root
* nt tundub, et app store ja pkgutil puhul on omanikuks root
* niisama kasutajana nö visuaalselt liigutades rakenduse Applications osakonda esmakordsel paigaldusel küsitakse täiendavalt privileegide kohta, ja seejärel enam mitte (st uuendamisel)

===MacOS virtualiseerimine===

TODO

===QR Journal===

TODO

===etcher===

TODO

===Rosetta paigaldamine===

<pre>
$ softwareupdate --install-rosetta
</pre>

===Dell U2725QE monitor===

Kuigi kõik niisamagi töötab, monitori tootja veebikohas on üsna huvitavat tarkvara

[[Fail:20260705-dell-macos-01.png|900px]]

kus

* DDPM - Dell Display and Peripherial Manager
* Monitor Firmware Update Utility

====DDPM====

Mõisted

* DDPM - Dell Display and Peripherial Manager

Peale allkopeerimist paistab .pkg pakenduses tarkvara

[[Fail:20260705-dell-macos-02.png|1100px]]

kus

* TODO

Paigaldamine paistab

[[Fail:20260705-dell-macos-03.png|500px]]

ja kasutamine

[[Fail:20260705-dell-macos-04.png|700px]]

* paistab midagi sellist nagu monitori enda peal füüsiliselt

====Dell U2725QE Monitor Firmware Update Utility====

Väited

* monitori firmware uuendmaine toimub üle arvuti ja monitori vahelise thunderbolt kaabli

Paigaldamine paistab selline .pkg pakett

[[Fail:20260705-dell-macos-05.png|600px]]

Firmware uuendamine toimub üle thunderbolt kaabli

[[Fail:20260705-dell-macos-06.png|700px]]

kus

* oluline mitte lasta monitori screen saverisse, power save'i jms - nt 'caffeinate -di' abil
* firmware versioon muutab M2T101 -> M2T102

====Kahe monitori kasutamine====

Osutub võimalikuks ühe MacBook Air arvutiga ühendada kaks Dell monitori nö tunderbolt mõttes järjestikuliselt

[[Fail:20260718-macos-dell-01.png|800px]]

ning

[[Fail:20260718-macos-dell-02.png|800px]]

kus

* TODO

Tegu ei ole Dell monitor daisy-chain tehnoloogiaga, sest daisy-chain töötab display protocol kihis, antud juhul toimub kontakt thunderbolt kihis.

===character terminal seadme kasutamine===

character teminal seadme kasutamine paistab nii, väga analoogne ubuntu ja debian operatsioonisüsteemiga

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i iterm2
imreoolberg 1112 11.2 1.8 436586496 306448 ?? S 6:11PM 3:08.34 /Applications/iTerm.app/Contents/MacOS/iTerm2
</pre>

ning iterm protsessis on pseudo-terminal master multiplexer seadmed

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1112 -P -n | grep ptmx
iTerm2 1112 imreoolberg 5u CHR 15,0 0t23863949 609 /dev/ptmx
iTerm2 1112 imreoolberg 44u CHR 15,1 0t1199 609 /dev/ptmx
iTerm2 1112 imreoolberg 45u CHR 15,2 0t204098 609 /dev/ptmx
</pre>

zsh shelli avatud terminaliga seotud

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep zsh
imreoolberg 1398 0.0 0.0 435312416 2784 s003 S 6:17PM 0:00.01 -zsh
imreoolberg 1380 0.0 0.0 435313360 3472 s002 S 6:17PM 0:00.11 -zsh
imreoolberg 1376 0.0 0.0 435308624 2672 s001 S 6:17PM 0:00.01 -zsh
imreoolberg 1115 0.0 0.0 435313184 2896 s000 S+ 6:11PM 0:00.06 -zsh
imreoolberg 2434 0.0 0.0 435299552 1392 s002 S+ 7:16PM 0:00.00 grep zsh

imreoolberg@Imres-MacBook-Air ~ % lsof -p 1376 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
zsh 1376 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
zsh 1376 imreoolberg txt REG 1,15 1361216 1152921500312571448 /bin/zsh
zsh 1376 imreoolberg txt REG 1,15 81288 1152921500312585080 /usr/share/locale/en_US.UTF-8/LC_COLLATE
zsh 1376 imreoolberg txt REG 1,15 118896 1152921500312574306 /usr/lib/zsh/5.9/zsh/terminfo.so
zsh 1376 imreoolberg txt REG 1,15 593088 1152921500312574312 /usr/lib/zsh/5.9/zsh/zle.so
zsh 1376 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
zsh 1376 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 1u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 10u CHR 16,1 0t683 733 /dev/ttys001
</pre>

ssh kliendis on

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1437 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
ssh 1437 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
ssh 1437 imreoolberg txt REG 1,15 1555472 1152921500312572845 /usr/bin/ssh
ssh 1437 imreoolberg txt REG 1,15 72984 121429580 /Library/Preferences/Logging/.plist-cache.a1S8PMuK
ssh 1437 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
ssh 1437 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 1u CHR 3,2 0t0 340 /dev/null
ssh 1437 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 3u IPv4 0x79fda12a4e8825b1 0t0 TCP 192.168.134.76:49197->192.168.10.166:22 (ESTABLISHED)
ssh 1437 imreoolberg 4u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 5u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 6u CHR 16,1 0t513 733 /dev/ttys001
</pre>

kus

* ilusti on paista järgnevus iterm2 -> zsh -> ssh

Selline pilt võiks

[[Fail:20260706-macos-char-01.png|800px]]

kus

* ptmx - pseudo-terminal master multiplexer
* ttys - teletypewriter slave
* console - füüsiline laptop graafilisse osakonda sisselogimise kohalolek
* Sun18 - kuna klassikaliselt on see tulp olnud max pikkusega 6 sümbolit, sellest selline notatsioon - kell 18, pühapäev

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_Debian_GNU/Linux_kasutamine#Seadmed_2

===Zabbix agent===

<pre>
imreoolberg@Imres-MacBook-Air ~ % sudo -i
Password:
Imres-MacBook-Air:~ root# file /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg: xar archive compressed TOC: 5108, SHA-1 checksum
</pre>

Misc

<pre>
imreoolberg@Imres-MacBook-Air ~ % installer -volinfo -pkg Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Volumes/PRO-G40
/Volumes/volume-tm-backup-01
/
</pre>

Paigaldamine

<pre>
Imres-MacBook-Air:~ root# installer -pkg /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg -target /
installer: Package name is Zabbix Agent
installer: Installing at base path /
installer: The install was successful.
</pre>

Tulemusena tekib süsteemi

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -i zabbix
com.zabbix.pkg.ZabbixAgent

Imres-MacBook-Air:~ root# pkgutil --files com.zabbix.pkg.ZabbixAgent
Library
Library/LaunchDaemons
Library/LaunchDaemons/com.zabbix.zabbix_agentd.plist
usr
usr/local
usr/local/bin
usr/local/bin/zabbix_get
usr/local/bin/zabbix_sender
usr/local/etc
usr/local/etc/zabbix
usr/local/etc/zabbix/zabbix_agentd
usr/local/etc/zabbix/zabbix_agentd/userparameter_examples.conf.NEW
usr/local/etc/zabbix/zabbix_agentd/userparameter_mysql.conf.NEW
usr/local/etc/zabbix/zabbix_agentd.conf.NEW
usr/local/sbin
usr/local/sbin/zabbix_agentd
</pre>

Seadistused

<pre>
Imres-MacBook-Air:~ root# egrep -v "^$|^#" /usr/local/etc/zabbix/zabbix_agentd.conf
LogFile=/var/log/zabbix/zabbix_agentd.log
Server=192.168.10.196
Hostname=macos-air.auul.pri.ee
</pre>

Tulemusena paistab vaikimisi Zabbix kaasa tuleva template abil selline pilt

[[Fail:20260706-macos-zabbix-01.png|1100px]]

kus

* võrreldes nt vaikimisi top utiliidi väljundiga, mis esitab muu hulgas andmeid cpu interruptide kohta, on zabbix esitus üsna tagasihoidlik

[[Fail:20260706-macos-zabbix-02.png|1400px]]

===scutil===

Osutub, et arvuti dhcp serveriga kohtumisele omandab lisaks ip aadressile jms võrguseadistusele ka uue hostname'i väärtuse, st mida vastab 'hostname' käsk kui kinnitatud uus dünaamiline ip address omab revers teisendust nimesüsteemis

<pre>
imreoolberg@orcl2-vip ~ % scutil --get LocalHostName
Imres-MacBook-Air
imreoolberg@orcl2-vip ~ % scutil --get ComputerName
Imre’s MacBook Air
imreoolberg@orcl2-vip ~ % scutil --get HostName
HostName: not set
</pre>

pinnimiseks sobib öelda

<pre>
orcl2-vip:~ root# scutil --set HostName "Imres-MacBook-Air"
</pre>

===Trash===

<pre>
imreoolberg@Imres-MacBook-Air ~ % du -sh .Trash
18G .Trash
</pre>

graafiliselt

[[Fail:20260729-macos-trash-01.png|600px]]

kus

* TODO

===Kasulikud lisamaterjalid===

* [[:Claude Desktop - MacOS]]
* [[:Rancher Desktop - MacOS]]
* https://github.com/luchina-gabriel/OSX-PROXMOX
* https://www.apple.com/mac/compare/

MacOS operatsioonisüsteemi kasutamine füüsilise MacBook Air M4 arvutiga

2026-08-01T08:59:31Z

Imre: /* Rancher desktop */

===Sissejuhatus===

TODO

Apple system level innovations

* XNU hybrid kernel (Mach + BSD + I/O Kit).
* Read-only, sealed root filesystem.
* APFS (snapshots, sealing, native encryption).
* Secure Enclave (separate CPU/resources).
* Cryptographic boot chain (from Boot ROM → kernel → apps).
* System Integrity Protection (SIP).
* Gatekeeper & notarization.
* Launchd (unified service/daemon manager).
* Unified logging & tracing (dtrace, signpost).
* Rosetta + Universal binaries (smooth arch transitions).
* Quartz compositor + Core Animation (graphics pipeline).
* Metal API (low-level GPU abstraction).
* mälu pakkimine käigult (vt Activity Monitor -> Memory -> Bottom)

Misc

* Aqua - desktop visuaal
* Quartz - desktop mootor
* UTM - qemu-based virtulization
* AWDL (Apple Wireless Direct Link) - midagi Wifi-Direct laadset

Väited

* Apple lahendustele on iseloomulik, et sama it shop kontrolli all on nii riistvara kui tarkvara (põhimõtteliselt sarnane olukord nagu kunagi Sun sparc lahendustega)
* macos on pigem threaded orienteeritud lahendus (mitte process-is-single-thread) - märksõnad: Grand Central Dispatch, Operation Queues, Swift Concurrency)
* nn 'giant lock (https://en.wikipedia.org/wiki/Giant_lock)' probleem on macos puhul pigem praktiliselt lahendatud, ju see on sama millest openbsd vabastamisega tegeldakse, nt https://www.openbsd.org/76.html - 'Removed net lock from sysctl(8) net.inet.ip.forwarding, net.inet6.ip6.forwarding, net.inet6.ip6.redirect, net.inet.ip.directed-broadcast.'

===Riistvara===

TODO

* MacBook Air 13" M4 protsessoriga arvuti
* compute resource - 1. cpu (risc arm), 2. gpu, 3. secure enclave, 4. neural engine
* 16 G ddr5 non-ecc memory - kõik compute resource'id kasutavad sama mälu, st ühisest pool'ist võetakse kasutuseks, ja antakse tagasi jne
* kaks Dell U2725QE monitori
* kaks thunderbolt 4 kaablit
* Logitech nö 9 eurone pc hiir
* lai apple magic keyboard
* väline andmekandja - SanDisk PRO-G40, https://www.apple.com/shop/mac/accessories/storage?f=thunderbolt3&fh=3783%2B47f6&page=1
* port saver - https://www.delock.com/produkt/66433/merkmale.html
* arvuti puhul ei ole kohta nagu pc arvuti puhul on 'enter bios' või 'enter setup' - ainuke realistlik sisenemiskoht on hoides alla toite nuppu arvuti käivitumise ajal

Väited

* macbookpro, air jt on non-ecc mäluga; mac pro ja mac studio on ecc mäluga
* arvuti on ühendatud ühe monitoriga TB4 kaabli abil
* esimese monitoriga on ühendatud usb klaviatuur ja hiir
* arvuti võrk töötab wifi abil, aga saaks töötada ka monitori rj45 ethernet kaabliga (arvutisse saabub üle thunderbolt neli nö signaali: 1. usb klaviatuur ja hiir, 2. ethenet, 3. video, 4. toide)
* teine monitor on ühendatud esimesega teise TB4 kaabliga nn daisy-chain ühenduses
* tundub, et monitoride pilt on vastuvõetava kvaliteediga ka non-4k režiimis (nt 3008 x 1692)

<pre>
system_profiler SPHardwareDataType # CPU, memory, model
system_profiler SPDisplaysDataType # GPU / monitor info
system_profiler SPUSBDataType # USB controllers and devices
system_profiler SPThunderboltDataType # Thunderbolt controllers
system_profiler SPNetworkDataType # Network interfaces
</pre>

Näiteks

<pre>
Imres-MacBook-Air:~ root# system_profiler SPHardwareDataType
Hardware:

Hardware Overview:

Model Name: MacBook Air
Model Identifier: Mac16,12
Model Number: MW0W3KS/A
Chip: Apple M4
Total Number of Cores: 10 (4 performance and 6 efficiency)
Memory: 16 GB
System Firmware Version: 11881.81.2
OS Loader Version: 11881.81.2
Serial Number (system): KGHGX652VT
Hardware UUID: 27AE0C7C-DCC6-5F5C-A133-8F10726347EC
Provisioning UDID: 00008132-001A618E0121801C
Activation Lock Status: Enabled

Imres-MacBook-Air:~ root# system_profiler SPDisplaysDataType
Graphics/Displays:

Apple M4:

Chipset Model: Apple M4
Type: GPU
Bus: Built-In
Total Number of Cores: 8
Vendor: Apple (0x106b)
Metal Support: Metal 3
Displays:
Color LCD:
Display Type: Built-in Liquid Retina Display
Resolution: 2560 x 1664 Retina
Main Display: Yes
Mirror: Off
Online: Yes
Automatically Adjust Brightness: Yes
Connection Type: Internal
DELL U2725QE:
Resolution: 6016 x 3384
UI Looks like: 3008 x 1692 @ 120.00Hz
Mirror: Off
Online: Yes
Rotation: Supported
</pre>

====Neural Engine====

TODO

* On-device machine learning
* Siri's voice recognition
* Image analysis in Photos
* Real-time video processing in apps like FaceTime

====Misc OS====

* cpu instructions - toimuvad kernel -> cpu vahel
* syscalls - toimuvad rakendustarkvara -> kernel vahel
* ei ole user-space-syscall'isid - kõik syscallid on nö kernel-space-syscall'd ehk lihtsalt syscall'id
* macos ei ole real-time operating system
* macos puhul on realiseeritud preemtion st ka tundlike kerneli kihi tegevuste puhul on võimalik teha nö katkestusi-tagasipöördumisi
* ei ole sellist storage-io lahenduste mitmekesisust nagu on linux puhul (nt io-uring, libaio) - nimetatakse 'Dispatch I/O'
* ei ole sellist network-io lahenduste mitmekesisust nagu on linux puhul (nt dpdk) - nimetatakse 'Network Framework'
* dpdk, rdma jms puudub kuna macos puhul tegevused käivad läbi kernel selleks, et toimuv oleks maksimaalselt kontrolli all (toimub kernel by-pass)
* tcp-offload jms siiski on kasutusel - kernel kontrollib siis ikkagi toimivat piisavalt
* XNU kernel ei võimalda linux namespace ja cgroup laadseid nö isolatsioone - st naturaalselt ei ole olemas native macos konteinerindust (nagu on linux jaoks olemas docker või freebsd jaoks daemonless) - kui on vajalik conteinerindus, siis on lahenduseks kasutada konteineri ja xnu kerneli vahel lisa kihti - linux-arm64)

Palju on https://www.openbsd.org/innovations.html nimekirjast olemas macos puhul, kas otseselt või siis kontseptuaalselt, aga implementatsioon on macos juhtumile iseloomulik

* OpenBSD: retguard uses a unique XOR-based canary on a function's return address to prevent a specific type of buffer overflow attack (ROP).
* macOS: macOS does not have a feature called retguard. However, the same concept is implemented by Apple's Clang compiler. macOS has used stack canaries (or stack cookies) for years, which are values placed on the stack to detect if the return address has been overwritten. Both systems use different implementations to solve the same problem.
* OpenBSD: pledge is a security mechanism where a program "pledges" to only use a limited set of system calls. If it tries to make a syscall outside of its "pledge," the program is killed.
* macOS: macOS does not have a pledge equivalent. The concept is not present in the same form. Instead, macOS uses sandboxing, which is a more comprehensive and declarative security model. Sandboxing restricts an application's access to files, network connections, and system resources based on a detailed set of rules (called entitlements) defined in a profile, which is part of the application itself. It's a different, but arguably more powerful, approach to the same problem.
* OpenBSD: W^X is a fundamental security policy that ensures a memory page is either writable or executable, but not both.
* macOS: This concept is directly implemented and has been a core security feature of macOS for many years. It is an integral part of the kernel and is enforced on all applications, making it impossible for an attacker to write shellcode to a memory page and then execute it.
* OpenBSD has long been a pioneer in security, and its implementation of ASLR is a core part of its "secure by default" philosophy.
* macOS introduced ASLR in Mac OS X Leopard (10.5) and has since continuously improved and strengthened it with each new release. Today, ASLR on macOS is a mandatory security feature for all modern applications.
* OpenBSD relinking
* Randomizing per-process: Instead of a single, system-wide reordering at boot, dyld randomizes the base addresses of shared libraries for every single process that is launched.
* Using a shared cache: To speed up program loading, macOS bundles commonly used system libraries into a single large file called the dyld_shared_cache. The location of this entire cache in memory is randomized at boot, and all processes then use this randomized location.

====User mode vs Kernel mode====

Väited

* User mode ja Kernel mode on kaks erinevat protsessori olekut
* esimesel puhul käitub arvuti nagu nö loogiline-masin, teisel juhul nagu riistvaraline-masin
* kontseptuaalselt võiks ette kujutada, et arvutis on kaks protsessorit - üks on pidevalt füüsilises ja teine loogilises olekus
* loogilist laadi tegevusteks on nt protsessi mällu laaditud mälu abil andmete sorteerimine, st kõik tegevused on taandatud matemaatikaks
* füüsilist laadi tegevusteks on nt võrku andmete saatmine, või plokkseadmelt andmete lugemine

====Seadme draiver====

Ettekujutuseks on nvme storage seade. Selleks, et andmed jõuaksid füüsilise plokkseadme pealt ühe user-space protsessi mällu nt postgresql andmebaas, liiguvad andmed läbi sellistest lõikudest koosneva teekonna

<pre>
plokkseade
control plain peal toimuv käsu tulemusel -> plokkseadmega seostatud fragment arvuti rom mälust
-> cpu kopeerib andmed oma registrite abil user-space mällu
..
</pre>

====SanDisk PRO-G40====

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Thunderbolt 4 porti ühendatud seade paistab selline

[[Fail:20250916-imre-sandisk-pro-g40-01.png|900px]]

kus

* seadet koheldakse pcie siinile ühendatud nvme seadmena

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Non-Thuderbolt-USB-C porti ühendatud seade paistab selline

TODO

kus

* seadet koheldakse usb-storage ühendatud plokkseadmena

===Kasutajaliides===

====Magic Apple Keyboard====

klahvikombinatsioonid

* command + nool paremale/vasakule - tekstikursori viimine vastavalt rea lõppu või algusse
* command + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt rea lõppu või algusse
* command + shift + suurem/väiksem - mitme aknalise programmi akende vahel liikumine (nt iterm/terminal/chrome/safari)
* option + nool paremale/vasakule - tekstikursori viimine vastavalt järgmise või eelmise sõna juurde
* option + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt sõna edasi või tagasi
* command + tühik - spotlight otsingu avamine
* control + nool paremal/vasakule - järgmise virtuaalse desktop juurde liikumine (spaces)
* control + nool üles/esc - xxx vaate avamine (üleval on virtuaalsete desktopide riba)
* command + nool üles/alla - teksti algusse või lõppu liikumine (nt chrome brauseris)
* option + nool üles/alla - tekstis nö page-up-page-down võtta liikumine (nt chrome brauseris)

====Touchpad====

gestured

* kahe sõrmega üles-alla swipe - hiirega skrollimine
* kolme sõrmega vasakule-paremale swipe - virtuaalsete desktopide vahel liikumine

===alt-grab - BetterTouchTool (BTT)===

====Tööpõhimõte====

Tegevuse eesmärk on alt-grab kasutamine akna asukohta muutmiseks ja akna suuruse muutmiseks. Linux desktop (gnome, xfce4 jt) puhul paistab see olevat tavaline, et akna asukoha muutmiseks ei pea tingimata haarama hiire vasaku nupuga akna tiitelribast ja siis vedama; või akna suuruse muutmiseks haarama hiire vasaku nupuga täpselt nurgast või servast ja siis vedama. Piisab hoida vasakut alt klahvi all ja haarata kuskilt akna seest hiire vasaku nupuga ning vedada; või hoida vasakut alt klahivi all ja haarata akna seest nurga lähedusest hiire parema nupuga ning vedada.

====BTT kopeerimine ja paigaldamine====

Väited

* https://folivora.ai/
* tundub, et BTT on usaldusväärne tarkvara (nt https://www.macworld.com/article/551700/mac-gems-bettertouchtool-review.html)
* BetterTouchTool ei ole tasuta tarkvara
* BetterTouchTool ei ole kõige parem lahendus nn alt-drag jaoks, aga paistab, et paremat ka pole (ja tundub, et ei saa olla kuna MacOS nö sisemiselt eriti ei võimalda alt-drag laadi tegevusi)
* BTT abil saab akna suurust muuta ainult paremas alumises nurgas
* akent ei saa ekraanilt osaliselt välja suruda üles suunas (nt alla saab)
* tundub, et paigaldamisel antakse rakendusele rikkalikult privileege

====Seadistamine====

Tööpõhimõte

* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse down', millele vastab tegevus (action) 'Start Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse up', millele vastab tegevus 'Stop Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse down', millele vastab tegevus 'Start Resizing'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse up', millele vastab tegevus 'Stop Resizing'

alt-drag seadistamine paistab selliselt, rightclick triggeri ja vastava tegevuse (action) kirjeldamine, basic

[[Fail:20250903-btt-rightclick-01.png|1000px]]

kus

* valitud programmid on For All Apps st kirjeldatavad võimed tekivad kõigi programmide akendele
* valitud seade on Normal Mouse (mitte magic mouse)
* on valitud ka modifer - opt (magic keyboard klahv 'option')

ning advanced

[[Fail:20250903-btt-rightclick-02.png|1000px]]

kus

* Trigger Conditions - Trigger on Mouse Down (vaikimisi)

Analoogselt kirjeldatakse ülejäänud triggerid ja tegevused - seejuures tuleb kindlasti valida modifier, vastasel korral võib olla väga halb kasutuskogemus kuna hiire vasaku klahvi nö tavaline töö on häiritud).

====Kasutamine====

Kasutamine paistab välja natuke puudulikumalt kui linux desktop keskkonnas

* suurust saab muuta vaid alumist paremat nurka sisse või väljapoole surudes (linux all saab tegeleda igas nurgas)
* asukohta saab muuta kuid see mõjub fookuses olevale aknale (vahel on see üsna nö eba kogemus, et hiir on mitte fookuses oleva akna kohal ja kõrval oleva akna asukoht muutub)
* tegelemise ajal on aken nö täidetud (linux all saab valida kas aken paistab nö täidetuna või wireframe'ina)

====Kasulikud lisamaterjalid====

* https://community.folivora.ai/t/resize-window-on-modifier-right-mouse-button-press/41430

===iterm2===

iterm2 võimaldab muu hulgas

* akende arrangement ettevalmistusi - st akende avamist komplektidena, seejuures logitakse automaatselt serveritesse ssh abil sisse, näiteks
* profile abil värvikasutust kirjeldada (taust, tekst, esiletoodud (bold), allajoonitud tekst jms)

[[Fail:20260302-iterm2-01.png|700px]]

avades

iTerm2 -> Settings -> Profiles

kus

* esiletoodud tekst esitatakse roheliselt (seda esineb linux puhul nt top, 'systemctl status postfix' ja dmesg väljundis)

aknale kerge ääre näitamine

iTerm2 -> Settings -> Appearence -> Windows -> Aestetics -> Heavy border around windows in light mode

Profiilid

<pre>
imreoolberg@Imres-MacBook-Air ~ % egrep -r wrx "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Command" : "ssh root@pve-wrx90e",
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Name" : "pve-wrx90e",
imreoolberg@Imres-MacBook-Air ~ % egrep -r svc "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
imreoolberg@Imres-MacBook-Air ~ % plutil -p ~/Library/Preferences/com.googlecode.iterm2.plist | grep -i "pve-svc-0"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-02"
</pre>

Tarkvara uuendamine

[[Fail:20260704-macos-01.png|900px]]

* ei toimu app store kaudu
* toimib rakenduse enda menüüst

===timemachine===

====Tööpõhimõte====

TODO

* võrgus failiserver
* võrgus avahi vms server
* macos süsteem

====Ettevalmistamine====

Väited

* tundub, et macos webgui kaudu ei õnnestu samba põhist tm lahendust ära seadistada, tuleb toimetada käsurealt (hüpotees on, et kuna cifs failisüsteemi monteerimisel Finder abil tekib .DS_Store vms faile automaatselt share peale, siis see eksitab tm lahendust

Samba serveri ettevalmistamine, Debian v. 12 (samba v. 4.17)

<pre>
# apt-get install --no-install-recommends samba
# apt-get install samba-vfs-modules

# cat /etc/samba/smb.conf
[global]
client min protocol = SMB3
client max protocol = SMB3
workgroup = MORAALCIFS
dns proxy = no
log file = /var/log/samba/log.%m
max log size = 1000
panic action = /usr/share/samba/panic-action %d
server role = standalone server

[timemachine]
path = /zpool_wdc/timemachine/
browsable =yes
writable = yes
guest ok = no
valid users = timemachine
smb encrypt = required
vfs objects = catia fruit streams_xattr
fruit:metadata = stream
fruit:resource = file
fruit:time machine = yes
fruit:time machine max size = 500G
</pre>

käivitamine

<pre>
# systemctl restart smbd
</pre>

Varundatava arvuti ettevalmistamine

<pre>
Imres-MacBook-Air:~ root# tmutil setdestination "smb://timemachine:parool@192.168.10.168/timemachine"
Imres-MacBook-Air:~ root# tmutil destinationinfo
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : 2E3ED96D-4626-4D55-BDD5-A0ED6CDDF973
</pre>

Varunduse käivitamine

<pre>
Imres-MacBook-Air:~ root# tmutil startbackup --auto
Imres-MacBook-Air:~ root# log stream --predicate 'process == "backupd"' --info
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 157Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 709 0 100% /dev
/dev/disk3s6 228Gi 20Ki 157Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 157Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 157Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 157Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 157Gi 2% 76 1.6G 0% /Volumes/Recovery
//timemachine@192.168.10.168/timemachine 500Gi 20Gi 480Gi 5% 21M 503M 4% /Volumes/.timemachine/192.168.10.168/CEF57214-AE85-44D1-86EB-D0D69E41EA1C/timemachine
/dev/disk5s1 15Ti 20Gi 480Gi 4% 383k 5.0G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
Imres-MacBook-Air:~ root#
</pre>

Tulemusena

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-015533.backup/2025-09-05-015533.backup
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# tmutil listlocalsnapshots /
Snapshots for volume group containing disk /:
com.apple.TimeMachine.2025-09-05-012346.local
com.apple.TimeMachine.2025-09-05-015510.local
com.apple.os.update-35F83766A7728F08A2DF1CFD45DF39CAB4C00F8C1A4A0DBECD314305426E5C549569F373D02B15DDC5C3E22E8E9D0A2F
com.apple.os.update-4278EFCBF37708F6ABE958C2E59447D754411B4697E4891DE3D58BC37F433306
com.apple.os.update-MSUPrepareUpdate
</pre>

====Kasutamine - süsteemi varundamine====

Time machine graafilise liidese peal, kui on kirjeldatud mitu time-machine varunduskohta, saab ühe peal hiire parema klõpsuga avada hüpikmenüü ja öelda, et käivitada varundus

[[Fail:20251109-timemachine-01.png|600px]]

====Kasutamine - üksiku faili taastamine====

TODO

====Kasutamine - süsteemi taastamine====

TODO

====Misc====

tm destinationinfo esitamine

<pre>
Imres-MacBook-Air:~ root# tmutil destinationinfo
> ==================================================
Name : volume-tm-backup-01
Kind : Local
Mount Point : /Volumes/volume-tm-backup-01 1
ID : B23C58B0-C5F1-4FE6-8CCE-B90B5FAA3C7A
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : ECA95A15-3033-460C-B928-46E809CC1C58
</pre>

korra time machine gui utiliidiga läbi browsitud taaste vaates (tundub, et siis ta nö monteerib külge jne), df

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 10Gi 99Gi 10% 427k 1.0G 0% /
devfs 219Ki 219Ki 0Bi 100% 758 0 100% /dev
/dev/disk3s6 228Gi 24Ki 99Gi 1% 0 1.0G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 13Gi 99Gi 12% 2.6k 1.0G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 7.5Mi 99Gi 1% 104 1.0G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 480Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 6.0Mi 480Mi 2% 38 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 3.6Mi 480Mi 1% 100 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 56Gi 99Gi 37% 696k 1.0G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk7s1 3.6Ti 5.9Gi 3.5Ti 1% 24 38G 0% /Volumes/PRO-G40
/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/volume-tm-backup-01
com.apple.TimeMachine.2025-09-19-012830.backup@/dev/disk7s3 3.6Ti 122Gi 3.5Ti 4% 541k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup
com.apple.TimeMachine.2025-11-09-213757.local@/dev/disk3s5 228Gi 55Gi 99Gi 36% 687k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-213757/Data
com.apple.TimeMachine.2025-11-09-213824.backup@/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup
com.apple.TimeMachine.2025-11-09-165402.backup@/dev/disk7s3 3.6Ti 140Gi 3.5Ti 4% 568k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup
com.apple.TimeMachine.2025-11-09-160153.local@/dev/disk3s5 228Gi 50Gi 99Gi 34% 711k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-160153/Data
//timemachine@192.168.10.168/timemachine 500Gi 71Gi 429Gi 15% 74M 450M 14% /Volumes/.timemachine/192.168.10.168/D4D414B7-3607-44F6-8151-4F53ECDEF964/timemachine
/dev/disk5s1 15Ti 44Gi 429Gi 10% 568k 4.5G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-11-09-162452.backup@/dev/disk5s1 15Ti 78Gi 429Gi 16% 568k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup
com.apple.TimeMachine.2025-09-05-014511.backup@/dev/disk5s1 15Ti 23Gi 429Gi 6% 500k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup
</pre>

samal ajal diskutil

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 11.3 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 11.3 GB disk3s1s1
3: APFS Volume Preboot 14.2 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 60.0 GB disk3s5
6: APFS Volume VM 24.6 KB disk3s6
7: APFS Volume macOS Restored - Data 40.1 GB disk3s7
8: APFS Volume macOS Restored 11.3 GB disk3s8

/dev/disk4 (disk image):
#: TYPE NAME SIZE IDENTIFIER
0: +16.0 TB disk4

/dev/disk5 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +16.0 TB disk5
Physical Store disk4
1: APFS Volume Backups of Imre’s Ma... 47.7 GB disk5s1

/dev/disk6 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *4.0 TB disk6
1: EFI EFI 209.7 MB disk6s1
2: Apple_APFS Container disk7 4.0 TB disk6s2

/dev/disk7 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +4.0 TB disk7
Physical Store disk6s2
1: APFS Volume PRO-G40 6.4 GB disk7s1
2: APFS Volume volume-tm-backup-01 152.3 GB disk7s3

Imres-MacBook-Air:~ root#
</pre>

kus

* võrgus samba põhise time-machine varundusele sünteesitakse vastav plokkseade /dev/disk4 ja omakorda /dev/disk5
* lokaalselt külge kinnitatud välisele sandisk-pro-g40 plokkseade on /dev/disk6 ja edasi on seal sünteesitud /dev/disk7 ning eriti /dev/disk7s3
* samba serveris on tm varunduse jaoks üks kataloog välja jagatud 16 TB suuremalt failisüsteemilt, st sellest siin väljundis 16 TB märge

üksiku tm ressursi kohta info küsimine

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/Backups\ of\ Imre’s\ MacBook\ Air
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup/2025-11-09-162452.backup

Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/volume-tm-backup-01
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup/2025-09-19-012830.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup/2025-11-09-165402.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup/2025-11-09-213824.backup
</pre>

===Storage===

Mõisted

* Seal
* Secure Enclave
* FileVault
* Volume Group

Tööpõhimõte

* füüsiline salvestusseade on jaotatud partitsioonideks
* partitsioonile vastab nn konteiner
* konteinerile vastab midagi lvm volume group või zfs pool laadset
* konteineris sisaldub hulk volume'eid
* volumile vastab failisüsteem (apfs - apple file system)
* sama konteineri sees asuvad failisüsteemid opereerivad sama jagatud vaba ruumi tingimustes

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 16.0 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 16.0 GB disk3s1s1
3: APFS Volume Preboot 13.1 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 45.9 GB disk3s5
6: APFS Volume VM 20.5 KB disk3s6
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 156Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 713 0 100% /dev
/dev/disk3s6 228Gi 20Ki 156Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 156Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 156Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 43Gi 156Gi 22% 582k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 156Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 156Gi 2% 76 1.6G 0% /Volumes/Recovery
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
com.apple.TimeMachine.2025-09-05-015510.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-015510/Data
</pre>

Juurika suhtes ressursid

<pre>
Imres-MacBook-Air:/ root# ls -lO /
total 10
lrwxr-xr-x 1 root admin - 36 Jan 15 2025 .VolumeIcon.icns -> System/Volumes/Data/.VolumeIcon.icns
---------- 1 root admin - 0 Jan 15 2025 .file
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .nofollow
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .resolve
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 .vol
drwxrwxr-x 16 root admin sunlnk 512 Sep 5 12:56 Applications
drwxr-xr-x 66 root wheel sunlnk 2112 Sep 3 21:05 Library
drwxr-xr-x@ 10 root wheel restricted 320 Jan 15 2025 System
drwxr-xr-x 5 root admin sunlnk 160 Sep 2 22:41 Users
drwxr-xr-x 6 root wheel hidden 192 Sep 7 11:57 Volumes
drwxr-xr-x@ 39 root wheel restricted,hidden 1248 Jan 15 2025 bin
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 cores
dr-xr-xr-x 4 root wheel hidden 5047 Sep 5 01:14 dev
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 etc -> private/etc
lrwxr-xr-x 1 root wheel hidden 25 Sep 5 01:14 home -> /System/Volumes/Data/home
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 opt
drwxr-xr-x 6 root wheel sunlnk,hidden 192 Sep 5 01:14 private
drwxr-xr-x@ 77 root wheel restricted,hidden 2464 Jan 15 2025 sbin
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 tmp -> private/tmp
drwxr-xr-x@ 11 root wheel restricted,hidden 352 Jan 15 2025 usr
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 var -> private/var
</pre>

kus

* sunlnk - apfs lahendusele iseloomulik nn sünteetline link (teine variatsioon on firmlink)
* /private sisuks on tegelikult volume /System/Volumes/Data
* / on unionfs laadne lahendus, st kokku on kogutud erinevad ressrussid, mõned on read-only, mõned on read-write
* / endale vastav /dev/disk3s1s1 on /dev/disk3s1 read-only apfs snapshot - sedasi on väga madalas kihis tagatud süsteemi osa immutability

ning

<pre>
Imres-MacBook-Air:~ root# diskutil apfs list
APFS Containers (3 found)
|
+-- Container disk3 71D88332-123F-4F15-99AA-FDD26D7118F7
====================================================
APFS Container Reference: disk3
Size (Capacity Ceiling): 245107195904 B (245.1 GB)
Capacity In Use By Volumes: 77898416128 B (77.9 GB) (31.8% used)
Capacity Not Allocated: 167208779776 B (167.2 GB) (68.2% free)
|
+-< Physical Store disk0s2 F202FF0C-8102-4C98-8DEA-BFC6BE9C61B4
| -----------------------------------------------------------
| APFS Physical Store Disk: disk0s2
| Size: 245107195904 B (245.1 GB)
|
+-> Volume disk3s1 9D894F4B-1ADA-47A9-9864-CECA47F5CC54
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s1 (System)
| Name: Macintosh HD (Case-insensitive)
| Mount Point: /System/Volumes/Update/mnt1
| Capacity Consumed: 15970652160 B (16.0 GB)
| Sealed: Broken
| FileVault: Yes (Unlocked)
| Encrypted: No
| |
| Snapshot: E4EE5A50-F503-4DC3-BB9E-6C3EF76A9105
| Snapshot Disk: disk3s1s1
| Snapshot Mount Point: /
| Snapshot Sealed: Yes
|
+-> Volume disk3s2 5C7FF5F7-C059-4568-879D-AEE09DB60CF7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s2 (Preboot)
| Name: Preboot (Case-insensitive)
| Mount Point: /System/Volumes/Preboot
| Capacity Consumed: 13066547200 B (13.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s3 8A6ADAED-7C32-4DFB-8731-005DA53BB3FF
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s3 (Recovery)
| Name: Recovery (Case-insensitive)
| Mount Point: /Volumes/Recovery
| Capacity Consumed: 2082414592 B (2.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s5 53270D80-303A-47F4-83DE-D2B9228E9FC7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s5 (Data)
| Name: Data (Case-insensitive)
| Mount Point: /System/Volumes/Data
| Capacity Consumed: 45915893760 B (45.9 GB)
| Sealed: No
| FileVault: Yes (Unlocked)
|
+-> Volume disk3s6 5B9AA026-E765-4922-BFEA-B48FD11A79C6
---------------------------------------------------
APFS Volume Disk (Role): disk3s6 (VM)
Name: VM (Case-insensitive)
Mount Point: /System/Volumes/VM
Capacity Consumed: 20480 B (20.5 KB)
Sealed: No
FileVault: No
</pre>

iostat esitab ainult füüsiliste seadmete kohta info, huvitaval kombel ka time machine lahendusele vastava seadme (disk4) oma

<pre>
imreoolberg@Imres-MacBook-Air ~ % iostat 5
disk0 disk4 cpu load average
KB/t tps MB/s KB/t tps MB/s us sy id 1m 5m 15m
17.03 37 0.61 52.37 0 0.00 3 1 96 1.12 1.52 1.63
6.17 7 0.04 0.00 0 0.00 2 1 97 1.11 1.51 1.63
4.00 2 0.01 0.00 0 0.00 1 1 98 1.11 1.51 1.63
...
</pre>

Automaatse monteerimise vältimine

<pre>
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored" | grep "Volume UUID"
Volume UUID: CB4A4A81-A9EE-471D-90CA-7A116C740AC6
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored - Data" | grep "Volume UUID"
Volume UUID: 6AB10166-A262-4E22-8FE6-0D5C97C731FB

Imres-MacBook-Air:~ root# vifs

Imres-MacBook-Air:~ root# cat /etc/fstab
#
# Warning - this file should only be modified with vifs(8)
#
# Failure to do so is unsupported and may be destructive.
#

UUID=6AB10166-A262-4E22-8FE6-0D5C97C731FB none apfs rw,noauto
UUID=CB4A4A81-A9EE-471D-90CA-7A116C740AC6 none apfs rw,noauto
</pre>

Vastasel korral süsteem otsib teiselt volume'ilt ka nt Applicationid üles

[[Fail:20250903-spotlight-01.png|600px]]

Kopeerimine failisüsteemis

<pre>
Imres-MacBook-Air:~ root# ditto /Applications/Yubico\ Authenticator.app/ /Users/imreoolberg/Documents/Yubico\ Authenticator.app/
</pre>

Finder GUI liidesega programm.

USB pulk abil apsf opereerimine, volume lisamine

<pre>
Imres-MacBook-Air:~ root# diskutil eraseDisk APFS "USBTEST" /dev/disk4

Imres-MacBook-Air:~ root# diskutil apfs unlockVolume /dev/disk5s4

Imres-MacBook-Air:~ root# diskutil apfs addVolume disk5 APFS volume-05
Will export new APFS Volume "volume-05" from APFS Container Reference disk5
Started APFS operation on disk5
Preparing to add APFS Volume to APFS Container disk5
Creating APFS Volume
Created new APFS Volume disk5s5
Mounting APFS Volume
Setting volume permissions
Disk from APFS operation: disk5s5
Finished APFS operation on disk5

Imres-MacBook-Air:~ root# diskutil unmount /dev/disk5s5
Volume volume-05 on disk5s5 unmounted
Imres-MacBook-Air:~ root# diskutil mount /dev/disk5s5
Volume volume-05 on /dev/disk5s5 mounted

Imres-MacBook-Air:~ root# diskutil apfs deleteVolume /dev/disk5s4
Started APFS operation
Deleting APFS Volume from its APFS Container
Unmounting disk5s4
Erasing any xART session referenced by 9AC9146E-455D-45BA-99EC-3FE32D2CE59B
Deleting Volume
Removing any Preboot and Recovery Directories
Finished APFS operation
</pre>

Konteinerid ja volume'id

<pre>
Imres-MacBook-Air:~ root# df -h | grep part- | sort
/dev/disk5s1 1.9Gi 1.0Mi 1.9Gi 1% 109 19M 0% /Volumes/part-01-volume-01
/dev/disk6s1 3.7Gi 1.0Mi 3.7Gi 1% 109 39M 0% /Volumes/part-02-volume-01
/dev/disk7s1 11Gi 1.0Mi 11Gi 1% 113 119M 0% /Volumes/part-03-volume-01
/dev/disk8s1 12Gi 992Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-01
/dev/disk8s2 12Gi 988Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-02
/dev/disk8s3 12Gi 1.0Mi 11Gi 1% 105 120M 0% /Volumes/part-04-volume-03
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# diskutil list disk4
/dev/disk4 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *30.8 GB disk4
1: EFI EFI 209.7 MB disk4s1
2: Apple_APFS Container disk5 2.0 GB disk4s2
3: Apple_APFS Container disk6 4.0 GB disk4s3
4: Apple_APFS Container disk7 12.2 GB disk4s4
5: Apple_APFS Container disk8 12.4 GB disk4s5
</pre>

kus

* füüsiline ketas on /dev/disk4
* füüsilise ketta partitsioonid on konteinerid /dev/disk5, /dev/disk6 jne
* konteinerite sees on volume'id, nt disk8 sees on kolm tükki, s1, s2 ja s3

ning

[[Fail:20250909-disk-utility-01.png|800px]]

kus

* TODO

Failide arhiveerime ja kopeerimine süsteemist välja

<pre>
imreoolberg@Imres-MacBook-Air ~ % ditto -ck --sequesterRsrc /Users/imreoolberg /Volumes/imre-data-01/users-imreoolberg.zip
</pre>

====TRIM====

<pre>
Imres-MacBook-Air:~ root# system_profiler SPNVMeDataType
NVMExpress:

Apple SSD Controller:

APPLE SSD AP0256Z:

Capacity: 251 GB (251,000,193,024 bytes)
TRIM Support: Yes
Model: APPLE SSD AP0256Z
Revision: 2,077.140
Serial Number: 0ba028eb8328ce39
Detachable Drive: No
BSD Name: disk0
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
iSCPreboot:
Capacity: 524.3 MB (524,288,000 bytes)
BSD Name: disk0s1
Content: Apple_APFS_ISC
Macintosh HD:
Capacity: 245.11 GB (245,107,195,904 bytes)
BSD Name: disk0s2
Content: Apple_APFS
Recovery:
Capacity: 5.37 GB (5,368,664,064 bytes)
BSD Name: disk0s3
Content: Apple_APFS_Recovery

Generic SSD Controller:

WD_BLACK SN850XE 4000GB:

Capacity: 4 TB (4,000,787,030,016 bytes)
TRIM Support: Yes
Model: WD_BLACK SN850XE 4000GB
Revision: 624131EX
Serial Number: 24525S801688
Link Width: x4
Link Speed: 8.0 GT/s
Detachable Drive: No
BSD Name: disk4
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
EFI:
Capacity: 209.7 MB (209,715,200 bytes)
File System: MS-DOS FAT32
BSD Name: disk4s1
Content: EFI
Volume UUID: 0E239BC6-F960-3107-89CF-1C97F78BB46B
PRO-G40:
Capacity: 4 TB (4,000,577,273,856 bytes)
BSD Name: disk4s2
Content: Apple_APFS
</pre>

kus

* TRIM Support: Yes - trim on nendel seadmetel asuvatel apfs failisüsteemidel võimalik ja kohal st sisselülitatud
* apfs trim on ext4 fstab 'discard' sarnane, mitte 'fstrim /' cron jobs abil ütlemise sarnane
* Model: APPLE SSD AP0256Z - '256' väljendab suurust 256 GB, nt teine mudel on AP1024Z ja väljendab suurust 1 TB

===Launchd kasutamine===

<pre>
Imres-MacBook-Air:/ root# cat /Library/LaunchDaemons/com.myname.addroute.plist
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key>
<string>com.myname.addroute</string>
<key>ProgramArguments</key>
<array>
<string>/sbin/route</string>
<string>-n</string>
<string>add</string>
<string>192.0.2.1/32</string>
<string>192.168.64.2</string>
</array>
<key>RunAtLoad</key>
<true/>
</dict>
</plist>
</pre>

käivitamiseks

<pre>
Imres-MacBook-Air:/ root# launchctl load /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

tulemusena

<pre>
Imres-MacBook-Air:/ root# netstat -nr | grep 192.0.
192.0.2.1/32 192.168.64.2 UGSc bridge100
</pre>

Ta on olemas globaalses launched listis

<pre>
Imres-MacBook-Air:/ root# launchctl list | grep myn
- 0 com.myname.addroute
</pre>

Põhimõtteliselt peaks töötama ka unload, aga antud juhul ei oma see toimet selle konkreetse nähtuse one-shot olemuse tõttu

<pre>
Imres-MacBook-Air:/ root# launchctl unload /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

====Cron====

TODO

<pre>
Imres-MacBook-Air:~ root# plutil -p /System/Library/LaunchDaemons/com.apple.tmp_cleaner.plist
{
"Label" => "com.apple.tmp_cleaner"
"LowPriorityIO" => 1
"Nice" => 1
"ProgramArguments" => [
0 => "/usr/libexec/tmp_cleaner"
]
"StartCalendarInterval" => {
"Hour" => 0
}
}
</pre>

===Virtualiseerimine - UTM===

Süsteemis kirjeldatud virtuaalsed arvutid

<pre>
Imres-MacBook-Air:/ root# /System/Volumes/Data/Applications/UTM.app/Contents/MacOS/utmctl list
UUID Status Name
DE2A3E49-B049-40F9-9D79-3C1448B446C9 started vm-deb13-01
</pre>

Virtuaalse arvuti virtuaalne plokkseade

<pre>
Imres-MacBook-Air:/ root# du -sh /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
5.9G /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
</pre>

Virtuaalsele arvutile vastav võrgundus

<pre>
Imres-MacBook-Air:/ root# ifconfig bridge100
bridge100: flags=8a63<UP,BROADCAST,SMART,RUNNING,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
options=3<RXCSUM,TXCSUM>
ether fa:73:df:a0:51:64
inet 192.168.64.1 netmask 0xffffff00 broadcast 192.168.64.255
inet6 fe80::f873:dfff:fea0:5164%bridge100 prefixlen 64 scopeid 0x19
inet6 fda5:2ff0:49ee:6d45:14d7:6e80:6b22:c592 prefixlen 64 autoconf secured
Configuration:
id 0:0:0:0:0:0 priority 0 hellotime 0 fwddelay 0
maxage 0 holdcnt 0 proto stp maxaddr 100 timeout 1200
root id 0:0:0:0:0:0 priority 0 ifcost 0 port 0
ipfilter disabled flags 0x0
member: vmenet0 flags=3<LEARNING,DISCOVER>
ifmaxaddr 0 port 24 priority 0 path cost 0
Address cache:
5e:7f:36:30:6b:51 Vlan1 vmenet0 1161 flags=0<>
nd6 options=201<PERFORMNUD,DAD>
media: autoselect
status: active

Imres-MacBook-Air:/ root# ifconfig vmenet0
vmenet0: flags=8963<UP,BROADCAST,SMART,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
ether b2:7a:48:40:de:47
media: autoselect
status: active
</pre>

===Virtualiseerimine - Virtualization.framework===

TODO

Väited

* Virtualization.framework kasutamine on võimalik UTM lahendusega
* Virtualization.framework'i kasutab Rancher Desktop lahendendus
* Virtualization.framework'i kasutab Claude Desktop lahendendus (Claude Cowork ja Claude Code puhul)

Virtuaalsetele arvutitele vastavad protsessid paistavad sellised

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep Virtuali
imreoolberg 9439 0.9 4.3 439637536 728784 ?? Ss 5:05PM 8:35.18 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
imreoolberg 2439 0.3 0.3 439691712 46720 ?? Ss 10:05AM 4:55.14 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 2439 -P -n | grep claudevm
com.apple 2439 imreoolberg txt REG 1,13 131072 124423025 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/efivars.fd
com.apple 2439 imreoolberg 6u REG 1,13 10737418240 124154442 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/rootfs.img
com.apple 2439 imreoolberg 11u REG 1,13 35880960 124155054 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/sessiondata.img
</pre>

Kasulikud lisamaterjalid

* https://developer.apple.com/documentation/virtualization?language=objc

===Võrk===

Vaikimisi on application firewall välja lülitatud

<pre>
Imres-MacBook-Air:~ root# /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is disabled. (State = 0)
</pre>

ning pfctl olukord

<pre>
Imres-MacBook-Air:~ root# pfctl -si
No ALTQ support in kernel
ALTQ related functions disabled
Status: Enabled for 0 days 00:05:41 Debug: Urgent

State Table Total Rate
current entries 113
searches 11661 34.2/s
inserts 370 1.1/s
removals 257 0.8/s
Counters
match 579 1.7/s
bad-offset 0 0.0/s

Imres-MacBook-Air:~ root# pfctl -ss
No ALTQ support in kernel
ALTQ related functions disabled
ALL tcp 192.168.134.76:57540 -> 192.168.10.77:8291 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61048 <- 104.18.39.21:443 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61225 -> 192.168.10.196:80 ESTABLISHED:ESTABLISHED
ALL udp 192.168.134.76:49898 -> 142.251.151.119:443 MULTIPLE:MULTIPLE
..
</pre>

Parasjagu avatud võrgusoketid

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4TCP -sTCP:LISTEN
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 8u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 12u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 36u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
launchd 1 root 38u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
ControlCe 632 imreoolberg 10u IPv4 0xde3561cefae81e29 0t0 TCP *:7000 (LISTEN)
ControlCe 632 imreoolberg 12u IPv4 0xbbbca5f5375388e5 0t0 TCP *:5000 (LISTEN)
rapportd 633 imreoolberg 10u IPv4 0x7505a25821d3a7df 0t0 TCP *:49152 (LISTEN)
zabbix_ag 6815 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
zabbix_ag 6816 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
...
</pre>

kus

* vaikimisi pfctl ei ole aktiivne, aga nt utm virtuaalse arvuti käivitamine aktiveerib (pfctl teeb utm arvutile src-nat teisendust
* pfctl laseb praktiliselt igasuguse liikluse läbi (nö tavaline brauser -> internet liiklus jms nö registreeritakse pfctl paketifiltriga, aga lubatakse läbi)
* 8021 on pfctl ftp-proxy mooduliga seotud
* 7000 ja 5000 pordid on seotud airdrop ja airport jms osakondadega (airport on vana aja nimetus everything-wifi kohta mac puhul)

Misc

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4UDP
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 7u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 8u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 39u IPv4 0x8d461240652f3ced 0t0 UDP *:138
launchd 1 root 40u IPv4 0xb4b96b1c5de038ec 0t0 UDP *:137
mDNSRespo 441 _mdnsresponder 6u IPv4 0x2d5727fb23b4e854 0t0 UDP *:5353
mDNSRespo 441 _mdnsresponder 14u IPv4 0x1ed59c3cb4235fee 0t0 UDP *:53
airportd 455 root 4u IPv4 0x6e0c4f2c444299c 0t0 UDP *:*
airportd 455 root 9u IPv6 0xea04c0f07ef2ac65 0t0 UDP *:*
airportd 455 root 11u IPv4 0xb4a853f1977e96bf 0t0 UDP *:*
airportd 455 root 12u IPv4 0x6e9d20d0d8a5c95f 0t0 UDP *:*
...
</pre>

====Riistvara====

Võrguliidese MTU muutmiseks

<pre>
imreoolberg@Imres-MacBook-Air ~ % networksetup -listallnetworkservices
An asterisk (*) denotes that a network service is disabled.
USB 10/100/1000 LAN
USB 10/100/1G/2.5G LAN
USB 10/100/1G/2.5G LAN 2
Thunderbolt Bridge
Wi-Fi

imreoolberg@Imres-MacBook-Air ~ % networksetup -getMTU Wi-Fi
Active MTU: 1500 (Current Setting: 1500)

# networksetup -setMTU Wi-Fi 1400
</pre>

====Ruuting====

ipv4 ruutingutabeli esitamine

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet
Routing tables

Internet:
Destination Gateway Flags Netif Expire
default 192.168.134.77 UGScg en0
127 127.0.0.1 UCS lo0
127.0.0.1 127.0.0.1 UH lo0
169.254 link#12 UCS en0 !
192.168.134 link#12 UCS en0 !
192.168.134.2/32 link#12 UCS en0 !
192.168.134.77/32 link#12 UCS en0 !
192.168.134.77 64:d1:54:a7:cc:99 UHLWIir en0 1199
192.168.134.255 ff:ff:ff:ff:ff:ff UHLWbI en0 !
224.0.0/4 link#12 UmCS en0 !
224.0.0.251 1:0:5e:0:0:fb UHmLWI en0
255.255.255.255/32 link#12 UCS en0 !
</pre>

====Võrk - bluetooth====

Kuigi 2025 aastal müüdavate Apple Magic Keyboard puhul paljuski väljendatakse, et nad on kasutatavad wireless režiimis ja jääb mulje, et ainult nii, siis osutub, et tegelikult neil on toiteks mõeldud usb kaabel usb siiski ka andmevahetuseks võimaline. non-radio kasutamiseks

* system setting - bluetooth osakonnas lülitada välja bluetooth terviklikult, näiteks
* klaviatuur jätkab töötamist

====Võrk - wireless====

<pre>
Imres-MacBook-Air:~ root# wdutil info | head -n 44
————————————————————————————————————————————————————————————————————
NETWORK
————————————————————————————————————————————————————————————————————
Primary IPv4 : en0 (Wi-Fi / 9B1345E5-7303-47E8-9C98-5C1D150E7921)
: 192.168.134.74
Primary IPv6 : None
DNS Addresses : 1.1.1.1
Apple : Reachable
————————————————————————————————————————————————————————————————————
WIFI
————————————————————————————————————————————————————————————————————
MAC Address : <redacted> (hw=<redacted>)
Interface Name : en0
Power : On [On]
Op Mode : STA
SSID : <redacted>
BSSID : <redacted>
RSSI : -83 dBm
CCA : 2 %
Noise : -94 dBm
Tx Rate : 65.0 Mbps
Security : WPA2 Personal
PHY Mode : 11ac
MCS Index : 1
Guard Interval : 400
NSS : 1
Channel : 5g36/80
Country Code : EE
Scan Cache Count : 3
NetworkServiceID : 9B1345E5-7303-47E8-9C98-5C1D150E7921
IPv4 Config Method : DHCP
IPv4 Address : 192.168.134.74
IPv4 Router : 192.168.134.77
IPv6 Config Method : Automatic
IPv6 Address : fe80::ccb:dc0f:9b07:4271
IPv6 Router : None
DNS : 1.1.1.1
BTC Mode : Off
Desense :
Chain Ack : []
BTC Profile 2.4GHz : Disabled
BTC Profile 5GHz : Disabled
Sniffer Supported : YES
Supports 6e : Yes
</pre>

kus

* alumiselt pildilt tunneb ära sama info, nt channel 5g36/80
* 11ac tähistab protokolli 802.11ac

Visuaalne kujutis samas olukorras

[[Fail:20260718-macos-wifi-01.png|1000px]]

kus

* TODO

====SSH kaugligipääs====

Eemalt ligipääsu võimaldamiseks, ei pruugi olla hea mõte

[[Fail:20260706-macos-ssh-remote-access-01.png|600px]]

kus

* Remote Login

===Tarkvara haldus===

====Mõisted====

* DMG - disk image

====Sissejuhatus====

Üldiselt tekib tarkvara macos süsteemi kolmest allikast

* süsteemne tarkvara - nö süsteemi enda paigaldamise tagajärel, nt Safari brauser
* App Store - apple.com standardne viis tarkvara levitada, nt Yubico Authenticator
* tootja levitab - igasugused huvilised, ausama ja vähem ausamad levitavad .dmg formaadis tõmmist oma veebikohas/repos/jms - nt BetterTouchTool

Tarkvara paigaldamisel võiks eelistada App Store lahendust võimalusel

* tarkvara on läbinud teatud turvalisuse jms kaanonitega seotud protseduurid
* paigaldamise järgne uuendamine toimub automaatselt, sarnaselt põhisüsteemi tarkvaraga

Rakenduste jaoks on üldiselt kolm asukohta failisüsteemis

* /System/Applications - read only
* /Applications - read write
* ~/Applications ehk nt /Users/imreoolberg/Applications - read write

~/Applications kataloogi on realistlik paigaldada nö lihtsat tarkvara, nt mis ei sisalda kernel extensioneid vms (nt OpenVPN ei saa, aga XCA saab). Paigaldamine toimub Finder gui liideses .dmg sees oleva .app kataloogi vedamise teel ~/Applications kataloogi või käsureal nt

$ ditto /Volumes/XCA/xca.app ~/Applications

====Tarkvara allikad====

TODO

Mitte-ametlikud registrid

* https://www.macupdate.com/
* https://www.apponic.com/mac/

====Tööpõhimõte - drag-and-drop install====

Tundub, et lihtsamal juhul tarkvara paigaldamine seisneb lihtsalt failide kopeerimises .dmg failist arvuti kataloogi /Applications. .dmg faili moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil create -ov -fs "APFS" -size 200m -volname "SimpleCalc" MyDisk.dmg
</pre>

monteerimine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil attach MyDisk.dmg
</pre>

Sisu moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % date > /Volumes/SimpleCalc/testfile.txt
</pre>

lahti ühendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil detach /Volumes/SimpleCalc
</pre>

teisendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil convert MyDisk.dmg -format UDZO -o SimpleCalc-1.0.dmg
</pre>

Kui on soov läbi proovida nö omatehtud .dmg ja elamus, siis sobib

* mingi olemasolev lihtne .app põhine rakendus võtta aluseks - nt xca rakendus
* tema sisu kopeerida omatehtud .dmg sisse
* lõpuks selle abil tarkvara paigaldada

Osutub, et kui Finderis öelda Open siis monteeritaks .dmg nagu virtuaalne failipõhine plokkseade, mille juurkataloogi sisuks on peamiselt kaks sissekannet

* link /Applications kataloogile
* xca.app kataloog rakendusega

Ja Open avab ka nö erilises vaates Finderi, kus on näha nö traditsiooniline hiirega drag-and-drop install vaade, tehniliselt toimub tavaline kataloog-kopeeritakse-kataloogi muudatus.

MacOS sellist drag viisil tehtud tarkvara paigalduse ei registreeri kuskil keskses tarkvara-registris vms. Selline tarkvara paigaldamine on tehniliselt kataloogi kopeerimine, millega kaasneb signatuuri kontroll jms administratiivne element.

====Tööpõhimõte - installer packages====

<pre>
$ pkgutil --packages
$ pkgutil --files paketinimi
</pre>

====Paigaldatud tarkvara nimekirja esitamine====

GUI

<pre>
System Settings -> General -> System report -> Software -> Applications -> not obtained-from Apple
</pre>

käsurealt

<pre>
imreoolberg@Imres-MacBook-Air ~ % system_profiler SPApplicationsDataType | grep -B 3 -A 5 "Identified De" | head -n 20
Google Chrome:

Version: 140.0.7339.81
Obtained from: Identified Developer
Last Modified: 30.08.2025, 01:47
Kind: Universal
Signed by: Developer ID Application: Google LLC (EQHXZ8M8AV), Developer ID Certification Authority, Apple Root CA
Location: /Applications/Google Chrome.app
Get Info String: Google Chrome 140.0.7339.81, Copyright 2025 Google LLC. All rights reserved.
--
iTerm:

Version: 3.5.14
Obtained from: Identified Developer
Last Modified: 16.05.2025, 02:59
Kind: Universal
Signed by: Developer ID Application: GEORGE NACHMAN (H7V7XYVQ7D), Developer ID Certification Authority, Apple Root CA
Location: /Applications/iTerm.app
Get Info String: 3.5.14
--
</pre>

Üks viis on küsida failisüsteemis

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep imreoo
drwxr-xr-x@ 3 imreoolberg staff 96 Sep 3 11:10 /Applications/BetterTouchTool.app
drwxrwxr-x@ 3 imreoolberg admin 96 Aug 30 01:47 /Applications/Google Chrome.app
drwxr-xr-x@ 3 imreoolberg staff 96 May 16 02:59 /Applications/iTerm.app
drwxr-xr-x@ 3 imreoolberg admin 96 Apr 8 08:11 /Applications/UTM.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 25 15:41 /Applications/Visual Studio Code.app

imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep qdigi
drwxr-xr-x@ 3 root wheel 96 Sep 8 16:56 /Applications/qdigidoc4.app
</pre>

kus

* sõltuvalt paigaldusviisist on faili omanik erinev
* põhimõtteliselt tekib sellisest lähenemisest probleeme, nt mis siis kui süsteemil on mitu kasutajat, installinud kasutaja eemaldatakse jne - üks viis on kasutada süsteemis ühte non-personal administraator kasutajat kes tegeleb tarkvara paigaldamisega jms, ja ülejäänud kasutavad tarkvara
* @ tähistab asjaolu, et failiga on seotud apfs failisüsteemi extended attributs omadused, nt registreeritakse sedasi autor

<pre>
imreoolberg@Imres-MacBook-Air ~ % xattr -p com.apple.appstore.vendor_name "/Applications/Yubico Authenticator.app"
Yubico
</pre>

====Paigaldamine - App Store====

TODO

[[Fail:20250908-app-store-yubico-authenticator-01.png|900px]]

kus

* pressida Get -> Install -> Open
* tarkvara 'Obtained from' väärtuseks on 'App store'
* online otsing - https://www.apple.com/us/search/yubico?src=globalnav

====Paigaldamine - tootja juurest kopeerides====

TODO

====Tarkvara uuendamine====

Väited

* tarkvara uuendusi ei väljastata kindlaksmääratud aegadel (nt nagu Ubuntu või OpenBSD puhul)
* tarkvara uuendusi väljastatakse mitmel korral aastas ja vastavalt vajadusele
* tarkvara uuendused jaotuvad: 1. turva-uuendused, 2. vigade parandused, 3. funktsionaalsed muudatused
* tarkvara uuendusi koheldatakse terviklikult, st ei ole eraldi nt süsteemi osas ja rakendustarkvara, või pakettide nimekiri, millest saab teha käesoleva uuenduse korra jaoks valiku

Nt 2025 aastal on olnud selline uuenduste ajalugu

* January 27: macOS Sequoia 15.3, macOS Sonoma 14.7.3, and macOS Ventura 13.7.3 were released with security patches.
* February 10: An urgent security update, macOS Sequoia 15.3.1, was released.
* March 11: macOS Sequoia 15.3.2 was released, addressing security vulnerabilities in WebKit.
* March 31: macOS Sequoia 15.4, macOS Sonoma 14.7.5, and macOS Ventura 13.7.5 were released.
* April 16: macOS Sequoia 15.4.1 was released, providing security patches.
* May 12: macOS Sequoia 15.5, macOS Sonoma 14.7.6, and macOS Ventura 13.7.6 were released.
* July 29: macOS Sequoia 15.6, macOS Sonoma 14.7.7, and macOS Ventura 13.7.7 were released.
* August 20: macOS Sequoia 15.6.1 was released with security updates.

Käsundamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % sw_vers
ProductName: macOS
ProductVersion: 15.3
BuildVersion: 24D2059

imreoolberg@Imres-MacBook-Air ~ % softwareupdate -l
Software Update Tool

Finding available software
Software Update found the following new or updated software:
* Label: macOS Sequoia 15.6.1-24G90
Title: macOS Sequoia 15.6.1, Version: 15.6.1, Size: 6160384KiB, Recommended: YES, Action: restart,
</pre>

====Tarkvara uuendamine - App Store====

App Store rakendus vasakus paneelis on kõige all valik

Updates

[[Fail:20251203-macos-app-store-updates-01.png|800px]]

===Logi===

TODO

Kui klaviatuuri ja hiire kasutamine olid ebastabiilsed, siis soovitas gemini.google midagi sellist küsida, ei tea mis siit järeldada

<pre>
imreoolberg@Imres-MacBook-Air ~ % log show --predicate 'process == "WindowServer"' --style syslog --last 40m| grep -i skyl | tail -n 10
2026-07-06 00:49:00.495406+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:00.600614+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.751674+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.767823+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.824865+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] pid 771 failed to act on a ping it dequeued before timing out.
2026-07-06 00:49:00.847454+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.083920+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.175320+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.498496+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:01.498503+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
</pre>

===Misc===

====Screen Lock====

Tundub, et caffeinate on hästi efektiivne

$ caffeinate -di

====Watchdog====

Väited

* hardware watchdog on paratamatult sisse lülitatud
* software watchdog on seaditatav, vaikimisi on sisse lülitatud

<pre>
TODO
</pre>

====Programm====

Käivitamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % open -a BetterTouchTool
imreoolberg@Imres-MacBook-Air ~ %

imreoolberg@Imres-MacBook-Air ~ % "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
13:09:53.164 [desktop.init] INFO: Logging initialized, outputting to stderr
13:09:53.173 [desktop.init] INFO: Window hidden on startup: false
13:09:53.174 [desktop.init] INFO: Starting Helper subprocess: /Applications/Yubico Authenticator.app/Contents/Resources/helper/authenticator-helper
13:09:53.175 [desktop.init] INFO: Helper process started
13:09:53.176 [main] INFO: Running Yubico Authenticator...
{app_version: 7.2.3, dart: 3.8.1 (stable) (Wed May 28 00:47:25 2025 -0700) on "macos_arm64", os: macos, os_version: Version 15.6.1 (Build 24G90)}
13:09:53.302 [helper.ykman.logging] INFO: Logging at level: INFO
13:09:53.302 [helper.helper.device] INFO: Log level set to: INFO
13:09:53.302 [desktop.init] INFO: Helper log level set
13:09:53.327 [desktop.devices] INFO: USB state change
{"data":{"state":5740354900026072187,"pids":{}},"actions":["get","scan"],"children":{}}
13:09:53.327 [desktop.devices] INFO: USB state updated, unaccounted for: {}
..
</pre>

edasi

<pre>
Imres-MacBook-Air:/ root# file "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator: Mach-O universal binary with 2 architectures: [x86_64:Mach-O 64-bit executable x86_64] [arm64:Mach-O 64-bit executable arm64]
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture x86_64): Mach-O 64-bit executable x86_64
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture arm64): Mach-O 64-bit executable arm64
Imres-MacBook-Air:/ root#
</pre>

<pre>
imreoolberg@Imres-MacBook-Air Documents % cat hello.c
#include <stdio.h>

int main() {
printf("Hello, World!\n");
return 0;
}
</pre>

kompileerimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % clang hello.c -o hello
</pre>

käivitamine

<pre>
imreoolberg@Imres-MacBook-Air Documents % ./hello
Hello, World!
</pre>

otool abil binary uurimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % otool -L hello
hello:
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1351.0.0)
</pre>

yubico authenticator binary uurimine

<pre>
Imres-MacBook-Air:/ root# otool -L "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture x86_64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture arm64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
</pre>

kus

* @rpath viitab rakenduse kapsli sisestele ressurssidele

====dtruss====

<pre>
Imres-MacBook-Air:/ root# dtruss -p 65630 2>&1 | tail -n 1

: probe description syscall:::entry does not match any probes. System Integrity Protection is on

imreoolberg@Imres-MacBook-Air Documents % dtruss ./hello
dtrace: system integrity protection is on, some features will not be available
dtrace: failed to initialize dtrace: DTrace requires additional privileges
</pre>

====Screenshot====

Tähistatud ala

<pre>
Command + Shift + 4
</pre>

Kogu ekraan

<pre>
Command + Shift + 3
</pre>

Screen cast

<pre>
Command + Shift + 5
</pre>

Vaikimisi asub pildistus iseloomuliku nimega failis desktopil.

===Süsteemi taastamine===

====Recovery meedia ettevalmistamine====

<pre>
Imres-MacBook-Air:/ root# diskutil eraseDisk JHFS+ "MyVolume" /dev/disk4
Started erase on disk4
Unmounting disk
Creating the partition map
Waiting for partitions to activate
Formatting disk4s2 as Mac OS Extended (Journaled) with name MyVolume
Initialized /dev/rdisk4s2 as a 28 GB case-insensitive HFS Plus volume with a 8192k journal
Mounting disk
Finished erase on disk4

Imres-MacBook-Air:/ root# /Applications/Install\ macOS\ Sequoia.app/Contents/Resources/createinstallmedia --volume /Volumes/MyVolume
Ready to start.
To continue we need to erase the volume at /Volumes/MyVolume.
If you wish to continue type (Y) then press return: y
Erasing disk: 0%... 10%... 20%... 30%... 100%
Copying essential files...
Copying the macOS RecoveryOS...
Making disk bootable...
Copying to disk: 0%... 10%... 20%... 30%... 40%... 50%... 60%... 70%... 80%... 90%... 100%
Install media now available at "/Volumes/Install macOS Sequoia"
Imres-MacBook-Air:/ root# echo $?
0

# diskutil unmount /Volumes/Install\ macOS\ Sequoia
</pre>

Protseduur

1. Create a New APFS Volume
The first step is to create a new, separate volume on your internal drive where you will restore the backup.

Boot from your USB installer by holding the Option key on startup.

In the macOS Utilities window, select Disk Utility and click Continue.

In Disk Utility, go to the menu bar and select View > Show All Devices.

In the sidebar, select the APFS container (the device, not the volume) that holds your current macOS installation.

Click the + button in the toolbar to add a new APFS volume.

Give the new volume a name (e.g., "macOS Restored") and click Add. This process is very fast as APFS volumes share the same free space.

Once the new volume appears in the sidebar, close Disk Utility.

2. Restore the Backup to the New Volume
Now that the new volume is ready, you can restore your Time Machine backup to it.

From the macOS Utilities window, select Restore From Time Machine Backup and click Continue.

Follow the on-screen instructions, selecting your Time Machine backup drive when prompted.

When the installer asks you to choose a destination disk, you will see your original macOS volume and the new "macOS Restored" volume you just created.

Select the new "macOS Restored" volume as the destination for the restoration. The installer will then proceed to restore the system to that specific volume only.

After the restoration is complete, you can restart your Mac and, by holding down the Option key, you will be able to choose between your original macOS system and the restored system on the second volume.

===homebrew===

<pre>
imre@imre-mac ~ % /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
==> Checking for `sudo` access (which may request your password)...
Password:
==> This script will install:
/opt/homebrew/bin/brew
/opt/homebrew/share/doc/homebrew
/opt/homebrew/share/man/man1/brew.1
/opt/homebrew/share/zsh/site-functions/_brew
/opt/homebrew/etc/bash_completion.d/brew
/opt/homebrew
/etc/paths.d/homebrew
==> The following new directories will be created:
/opt/homebrew/bin
/opt/homebrew/etc
/opt/homebrew/include
/opt/homebrew/lib
/opt/homebrew/sbin
/opt/homebrew/share
/opt/homebrew/var
/opt/homebrew/opt
/opt/homebrew/share/zsh
/opt/homebrew/share/zsh/site-functions
/opt/homebrew/var/homebrew
/opt/homebrew/var/homebrew/linked
/opt/homebrew/Cellar
/opt/homebrew/Caskroom
/opt/homebrew/Frameworks
==> The Xcode Command Line Tools will be installed.

Press RETURN/ENTER to continue or any other key to abort:
==> /usr/bin/sudo /usr/bin/install -d -o root -g wheel -m 0755 /opt/homebrew
==> /usr/bin/sudo /bin/mkdir -p /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod ug=rwx /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod go-w /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions
==> /usr/bin/sudo /usr/sbin/chown imre /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/bin/chgrp admin /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/sbin/chown -R imre:admin /opt/homebrew
==> Searching online for the Command Line Tools
==> /usr/bin/sudo /usr/bin/touch /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Installing Command Line Tools for Xcode-16.4
==> /usr/bin/sudo /usr/sbin/softwareupdate -i Command\ Line\ Tools\ for\ Xcode-16.4
Software Update Tool

Finding available software

Downloading Command Line Tools for Xcode

Downloaded Command Line Tools for Xcode
Installing Command Line Tools for Xcode
Done with Command Line Tools for Xcode
Done.
==> /usr/bin/sudo /usr/bin/xcode-select --switch /Library/Developer/CommandLineTools
Password:
Sorry, try again.
Password:
==> /usr/bin/sudo /bin/rm -f /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Downloading and installing Homebrew...
remote: Enumerating objects: 310493, done.
remote: Counting objects: 100% (16399/16399), done.
remote: Compressing objects: 100% (608/608), done.
remote: Total 310493 (delta 15991), reused 15838 (delta 15791), pack-reused 294094 (from 3)
remote: Enumerating objects: 55, done.
remote: Counting objects: 100% (34/34), done.
remote: Total 55 (delta 33), reused 33 (delta 33), pack-reused 21 (from 1)
==> /usr/bin/sudo /bin/mkdir -p /etc/paths.d
==> /usr/bin/sudo tee /etc/paths.d/homebrew
/opt/homebrew/bin
==> /usr/bin/sudo /usr/sbin/chown root:wheel /etc/paths.d/homebrew
==> /usr/bin/sudo /bin/chmod a+r /etc/paths.d/homebrew
==> Updating Homebrew...
==> Downloading https://ghcr.io/v2/homebrew/portable-ruby/portable-ruby/blobs/sha256:20fa657858e44a4b39171d6e4111f8a9716eb62a78ebbd1491d94f90bb7b830a
################################################################################################################################################################ 100.0%
==> Pouring portable-ruby-3.4.5.arm64_big_sur.bottle.tar.gz
==> Installation successful!

==> Homebrew has enabled anonymous aggregate formulae and cask analytics.
Read the analytics documentation (and how to opt-out) here:
https://docs.brew.sh/Analytics
No analytics data has been sent yet (nor will any be during this install run).

==> Homebrew is run entirely by unpaid volunteers. Please consider donating:
https://github.com/Homebrew/brew#donations

==> Next steps:
- Run these commands in your terminal to add Homebrew to your PATH:
echo >> /Users/imre/.zprofile
echo 'eval "$(/opt/homebrew/bin/brew shellenv)"' >> /Users/imre/.zprofile
eval "$(/opt/homebrew/bin/brew shellenv)"
- Run brew help to get started
- Further documentation:
https://docs.brew.sh

imre@imre-mac ~ %
</pre>

pyhton 3.13

<pre>
imre@imre-mac ti % brew install python@3.13
==> Fetching downloads for: python@3.13
==> Downloading https://ghcr.io/v2/homebrew/core/python/3.13/manifests/3.13.7
#################################################################################################################### 100.0%
==> Fetching dependencies for python@3.13: mpdecimal, ca-certificates, openssl@3, readline, sqlite and xz
==> Downloading https://ghcr.io/v2/homebrew/core/mpdecimal/manifests/4.0.1
#################################################################################################################### 100.0%
==> Fetching mpdecimal
...

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
==> Summary
🍺 /opt/homebrew/Cellar/python@3.13/3.13.7: 3,620 files, 66.6MB
==> Running `brew cleanup python@3.13`...
Disable this behaviour by setting `HOMEBREW_NO_INSTALL_CLEANUP=1`.
Hide these hints with `HOMEBREW_NO_ENV_HINTS=1` (see `man brew`).
==> No outdated dependents to upgrade!
==> Caveats
==> python@3.13
Python is installed as
/opt/homebrew/bin/python3

Unversioned symlinks `python`, `python-config`, `pip` etc. pointing to
`python3`, `python3-config`, `pip3` etc., respectively, are installed into
/opt/homebrew/opt/python@3.13/libexec/bin

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
imre@imre-mac ti %

(py_venv) imre@imre-mac ti % brew tap hashicorp/tap
==> Tapping hashicorp/tap
Cloning into '/opt/homebrew/Library/Taps/hashicorp/homebrew-tap'...
remote: Enumerating objects: 5818, done.
remote: Counting objects: 100% (1132/1132), done.
remote: Compressing objects: 100% (221/221), done.
remote: Total 5818 (delta 1015), reused 913 (delta 911), pack-reused 4686 (from 3)
Receiving objects: 100% (5818/5818), 1.01 MiB | 1.18 MiB/s, done.
Resolving deltas: 100% (4104/4104), done.
Tapped 2 casks and 32 formulae (93 files, 1.3MB).
(py_venv) imre@imre-mac ti % brew install hashicorp/tap/vault
</pre>

===Xcode Command Line Tools===

Xcide CLI koosseisu kuuluvad muu hulgas

* git
* clang
* gcc

Paigaldamiseks sobib öelda

<pre>
# xcode-select --install
</pre>

to check

<pre>
imreoolberg@Imres-MacBook-Air ~ % xcode-select -p
/Library/Developer/CommandLineTools
</pre>

===Spaces===

Väited

* Spaces võimaldab tegeleda macos peal virtuaalsete desktop'idega
* käitumist kontrollib üldiselt 'System Settings -> Desktop & Dock -> Displays have separate Spaces' väärtus (vaikimisi 'On')
* F3 klahv abil saab Spaces riba kuvada monitoride üleosas
* Space'i saab liigutada monitoride vahel hiirega tirides, v.a. aktiivset space'i
* Space'ide vahel saab liikuda Control + left/righ arrow key abil
* Rakendust saab liigutada space'ide vahel minnes nn Mission Control vaatesse ja siis hiirega rakenduse akent lohistades
* Space sulgemisel paigutatakse vastavad aknad eelmisele space'ile

===Kellaaeg===

Süsteemi aeg

<pre>
Imres-MacBook-Air:~ root# date
Sat Sep 13 23:36:17 EEST 2025
</pre>

NTP serverilt kellaaja küsimine

<pre>
Imres-MacBook-Air:~ root# sntp time.apple.com
+0.049514 +/- 0.014280 time.apple.com 17.253.38.35
</pre>

Väärtuse küsimine

<pre>
Imres-MacBook-Air:~ root# systemsetup -getnetworktimeserver
Network Time Server: time.euro.apple.com
</pre>

Väärtuse muutmine

<pre>
Imres-MacBook-Air:~ root# systemsetup -setnetworktimeserver time.euro.apple.com
</pre>

Logist kellaajaga seotud sündmuste kohta küsimine

<pre>
Imres-MacBook-Air:~ root# log stream --predicate 'subsystem == "com.apple.timed"
</pre>

Kas kellaaeg automaatne hoidmine on kasutuses

<pre>
Imres-MacBook-Air:~ root# systemsetup -getusingnetworktime
Network Time: On
</pre>

===BSD pärand===

<pre>
imreoolberg@Imres-MacBook-Air ~ % which openssl
/usr/bin/openssl
imreoolberg@Imres-MacBook-Air ~ % openssl version
LibreSSL 3.3.6

Imres-MacBook-Air:~ root# ssh -V
OpenSSH_9.9p2, LibreSSL 3.3.6

Imres-MacBook-Air:~ root# pfctl -v
No ALTQ support in kernel
ALTQ related functions disabled

Imres-MacBook-Air:~ root# netstat -nr -f inet
</pre>

Süsteemsete kasutajate nimed algavad alakriipsuga (nt sarnaselt toimib OpenBSD), nt timed (ntp local protsess) töötab kasutajana _timed

<pre>
Imres-MacBook-Air:~ root# ps aux | grep timed
_timed 373 0.0 0.0 426967056 4576 ?? Ss Tue02PM 0:03.41 /usr/libexec/timed
</pre>

/etc/passwd failis on palju nö legacy kasutajad mille nimi viitab nö klassikalisele lahendusele

<pre>
Imres-MacBook-Air:~ root# egrep "_postgres|_dovenull|_postfix|_avamis|_clamav|_cyrus|_mailman|_cvs|_mysql|_jabber|_ftp" /etc/passwd
_postfix:*:27:27:Postfix Mail Server:/var/spool/postfix:/usr/bin/false
_cvs:*:72:72:CVS Server:/var/empty:/usr/bin/false
_mysql:*:74:74:MySQL Server:/var/empty:/usr/bin/false
_cyrus:*:77:6:Cyrus Administrator:/var/imap:/usr/bin/false
_mailman:*:78:78:Mailman List Server:/var/empty:/usr/bin/false
_clamav:*:82:82:ClamAV Daemon:/var/virusmails:/usr/bin/false
_jabber:*:84:84:Jabber XMPP Server:/var/empty:/usr/bin/false
_ftp:*:98:-2:FTP Daemon:/var/empty:/usr/bin/false
_postgres:*:216:216:PostgreSQL Server:/var/empty:/usr/bin/false
_dovenull:*:227:227:Dovecot Authentication:/var/empty:/usr/bin/false
</pre>

===Süsteemi paigaldamine===

Eesmärk

* paigaldada töötav töökoha keskkond
* valmituda juhtumiks kui kasutaja parool kaob ja on vaja seda taastada (teha reset)

TODO

===Google Chrome brauser===

TODO

Google Chrome brauseril on lubatud kuvada ssh privaatset võtit, nt

file:///Users/imreoolberg/.ssh/id_ed25519

Analoogliselt on see lubatud Ubuntu 24.04 platvormil, aga nt OpenBSD puhul mitte (tänu unveil tehnoloogiale).

===GateKeeper===

Kui kopeerida internetist tarkvara nt .dmg kujul ja paigaldada, siis esimesel käivitamisel küsib süsteem, et kas ikka käivitada see internetist kopeeritud programm, küsimus ja vastusega tegelemine on seotud xattr parameetriga com.apple.quarantine

<pre>
Imres-MacBook-Air:~ root# xattr -p com.apple.quarantine /Applications/KeePassXC.app
0181;68c6f083;Chrome;AF698614-F806-4A2B-B66C-4B09CB133779
</pre>
ja
<pre>
# spctl
</pre>

ja

<pre>
Imres-MacBook-Air:~ root# sqlite3 /Users/imreoolberg/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2
SQLite version 3.43.2 2023-10-10 13:08:14
Enter ".help" for usage hints.

sqlite> .schema
CREATE TABLE LSQuarantineEvent ( LSQuarantineEventIdentifier TEXT PRIMARY KEY NOT NULL, LSQuarantineTimeStamp REAL, LSQuarantineAgentBundleIdentifier TEXT, LSQuarantineAgentName TEXT, LSQuarantineDataURLString TEXT, LSQuarantineSenderName TEXT, LSQuarantineSenderAddress TEXT, LSQuarantineTypeNumber INTEGER, LSQuarantineOriginTitle TEXT, LSQuarantineOriginURLString TEXT, LSQuarantineOriginAlias BLOB );
CREATE INDEX LSQuarantineEventIndex ON LSQuarantineEvent ( LSQuarantineEventIdentifier );
CREATE INDEX LSQuarantineTimeStampIndex ON LSQuarantineEvent ( LSQuarantineTimeStamp );

sqlite> select * from LSQuarantineEvent;
9446C9BF-45BE-49C7-8EBE-2F15796AC8C8|778543831.0|com.google.Chrome|Chrome||||0|||
BDC2404B-51CD-4561-B50B-97C0C4272BF4|778543831.0|com.google.Chrome|Chrome||||0|||
295142B0-B654-4691-9F45-774441058E9A|778543831.0|com.google.Chrome|Chrome||||0|||
E806F7A8-856B-4A57-ADD6-0FFC2CAEECCB|778543833.0|com.google.Chrome|Chrome||||0|||
</pre>

===Transparency, Consent, and Control (TCC)===

Esmakordsel käivitamisel küsitakse vahel kataloogide ja failide avamise õiguse kohta, sellega tegeleb TCC. Tulemus on paista nt

System Settings -> Privacy & Security -> KeePassXC -> xxx

<pre>
Imres-MacBook-Air:~ root# mdls -name kMDItemCFBundleIdentifier /Applications/KeePassXC.app
kMDItemCFBundleIdentifier = "org.keepassxc.keepassxc"
</pre>

ning eemaldamiseks

<pre>
Imres-MacBook-Air:~ root# tccutil reset All org.keepassxc.keepassxc
Successfully reset All approval status for org.keepassxc.keepassxc
</pre>

===Kasutajate haldamine===

Kasutaja tekitamiseks sobib

System Settings -> Users & Groups -> Add User -> ...

Teise kasutajana lisaks sisse logimiseks sobib kasutada

System Settings -> Control Center -> Fast User Switching -> ...

===Eesti id kaart===

TODO

Peale paigaldamist on

System Settings -> ID-updater

===Finder===

Finder programm on sarnane nö vana-aja Windows Explorer programmile või XFCE4 prorammile Thunar.

Vasaku sidebar ehk paneeli sisu muutmiseks sobib kasutada Finder -> Settings ja nt muuta nähtavaks kasutaja kodukataloog.

===XQuartz===

Väited

* X11 põhiste rakenduste töötamiseks vajalik tarkvara (nö linux traditsiooni juhtumiks)
* X2go töötamise eelduseks

===Locale===

MacOS on väga utf-8 keskne süsteem, graafiliste rakenduste ja käsurea osakonnas

<pre>
imreoolberg@Imres-MacBook-Air ~ % env | grep LANG
LANG=en_US.UTF-8

imreoolberg@Imres-MacBook-Air ~ % locale
LANG="en_US.UTF-8"
LC_COLLATE="en_US.UTF-8"
LC_CTYPE="en_US.UTF-8"
LC_MESSAGES="en_US.UTF-8"
LC_MONETARY="en_US.UTF-8"
LC_NUMERIC="en_US.UTF-8"
LC_TIME="en_US.UTF-8"
LC_ALL=
</pre>

Juhtimiseks sobib kasutada faili ~/.zshrc

===Mälu haldus===

Käesolevat mälukasutust saab jälgida Activity Monitor utiliidi abil

[[Fail:20250918-macos-memory-01.png|900px]]

kus

* physical memory - arvuti riistvaralise mälu hulk
* memory used - mälu hulk mida operatsioonisüteem moel või teisel aktiivsemalt/vähem-aktiivsemalt/jne kasutab
* swap used - plokkseadmele/failisüsteemi salvestatud/puhverdatud mälu sisu

Memory Used koosneb neljast osast

* app memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis on välja swapitav, kokku pakitav jms paindlik
* wired memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis ei ole välja swapitav, kokku pakitav jms paindlik
* cached files - apfs jt failisüsteemide cache, st mällu puhverdatud sisu (tõenäoliselt teeb lugemise oluliselt kiiremaks)
* kokku pakitud mälule vastav maht mis kulub pakitud sisu hoidmiseks (mis on pakitud kujul)

'Compressed' väärtus väljendab, milline kokkupakkimata maht õnnestus kokku pakkida.

Väited

* arvutis on 'available memory' maht 16.00 - 12.84 = 3.16 G mälu - st see on ressurss, mida saab süsteem kohe kasutada täiendavate vajaduste jaoks
* kokku pakitud kujul olevate andmete maht on 12.84 - 5.90 - 2.17 - 3.30 = 1.47
* kokku pakkkimise efektiivsus on 3.96/1.47 = 2.69 st peaaegu 3x
* kuigi süsteemis on vaba mälu, siis on süsteem otsustanud siiski 175.6 MB välja swappida, ju ta teab mis teeb, ja nii on olnud otstarbekas
* cached files maht on selline ressurss, mille saab süsteem kiiresti võtta uude kasutusse, st nt rakenduse koodi jaoks

Swap asub failisüsteemis kataloogis /private/var/vm.

===Yubico Authenticator===

====Tööpõhimõte====

Yubico tootja krüptoseadmed on hästi populaarsed ja korralikud, Eestis on ka nende kasutamine päris levinud

[[Fail:20260718-macos-yubico-01.png|700px]]

Füüsilise seadme haldamiseks on kasutada tarkvara 'Yubico Authenticator'

[[Fail:20260718-macos-yubico-02.png|600px]]

kus

* nime 'Authenticator' viitab justkui TOTP tüüpi rakendusele, tegelikult on see palju funktsionaalsem (FIDO2 saladuste haldamine, PIV saladuste haldamine jne)

====Paigaldamine====

Yubico Authenticator paigaldamine toimub nö tavalisel viisil Apple App Store abil, samuti edasine tarkvara uuendamine.

====Kasulikud lisamaterjalid====

* https://www.auul.pri.ee/wiki/Yubikey

===Yubikey===

TODO

Kui ssh kliendi kasutamisel tekib olukord

<pre>
... sign_and_send_pubkey: signing failed for ECDSA .. from agent: agent refused operation
</pre>

võib abistada

<pre>
% ssh-add -e /usr/local/lib/libykcs11.dylib
Card removed: /usr/local/lib/libykcs11.dylib

% ssh-add -s /usr/local/lib/libykcs11.dylib
Enter passphrase for PKCS#11:
Card added: /usr/local/lib/libykcs11.dylib

%
</pre>

===Apple riistvara-tarkvara ajalugu===

Küsimus chatgpt'le

'what operating system apple computers have used, please give timeline of cpu and operating system with mentioning whether is was single or two-mode privilege separation solution'

Vastus chatgpt'lt - eristatakse 6 ajastut

The Early Days (1976-1984)

* Computer: Apple I, Apple II series.
* CPU: MOS Technology 6502.
* Operating System: Apple DOS, ProDOS.
* Privilege Mode: Single-mode. The CPU and OS lacked a concept of privilege separation. All software, including the operating system, ran with full, unrestricted access to the hardware.

The Early Macintosh (1984-1987)

* Computer: Macintosh 128K, Macintosh Plus, Mac SE.
* CPU: Motorola 68000.
* Operating System: System Software (System 1.0 - 4.0).
* Privilege Mode: The CPU had a two-mode (Supervisor/User) architecture. However, the early Mac OS did not fully use it for memory protection. The OS was based on a cooperative multitasking model, and a buggy program could still crash the entire system.

The 32-bit Transition (1987-1994)

* Computer: Macintosh II series.
* CPU: Motorola 68020, 68030, 68040.
* Operating System: Mac OS (System 5.0 - 7.5).
* Privilege Mode: The CPUs were fully capable of two-mode operation. The OS began to use some of these features, but it was still not a truly protected-mode, preemptive multitasking system.

The PowerPC Era (1994-2006)

* Computer: Power Macintosh series.
* CPU: PowerPC 601, 603, G3, G4.
* Operating System: Mac OS 7.5 - Mac OS 9.
* Privilege Mode: The PowerPC was a modern two-mode RISC architecture with a robust privilege model. Despite the powerful hardware, the underlying Mac OS remained non-preemptive and lacked true memory protection between applications. This was a key reason why Apple chose to adopt a BSD-based foundation for its next-generation OS.

The Intel Era (2006-2020)

* Computer: MacBook, MacBook Pro, iMac, Mac Mini, Mac Pro (Intel models).
* CPU: Intel Core 2 Duo, Core i3/i5/i7/i9, Xeon (x86 architecture).
* Operating System: Mac OS X (versions 10.4 to 10.15), later renamed macOS (from 10.12 onward).
* Privilege Mode: Two-mode (Ring 0 for the kernel, Ring 3 for applications). This was a pivotal time for Apple, as their BSD-based Mac OS X was finally running on a CPU architecture with a robust, industry-standard privilege model. The operating system could now fully leverage preemptive multitasking and true memory protection, making the Mac far more stable and secure than in the previous eras.

The ARM Era (2020-Present)

* Computer: MacBook Air, MacBook Pro, iMac, Mac Mini (Apple Silicon models).
* CPU: Apple Silicon (M1, M2, M3, and so on), which are custom ARM-based processors.
* Operating System: macOS (starting with macOS 11 Big Sur).
* Privilege Mode: The ARM architecture uses a sophisticated multi-level privilege model. The OS runs in EL1 (Kernel Mode), while user applications run in EL0 (User Mode). The system also utilizes EL2 (Hypervisor Mode) for virtualization and security features. The transition to ARM allowed Apple to fully integrate hardware and software, creating a highly efficient platform where the CPU, GPU, and memory are on a single chip. The macOS operating system is built specifically to take advantage of this architecture and its robust privilege model.

===Apple Continuity===

Apple Continuity initsiatiiv võimaldab ühe appleid konto külge kinnitatud seadmete vahel teha koostööd, nt selliste seadmete ja tegevuste osas

* veebikaamera
* Universal Control - clipboard st kopi-paste üle seadmete (Synergy/Barrier/jms sarnane)
* rakenduste kasutamise jätkamine - nt brauser
* Contacts

Kasulikud lisamaterjalid

* https://www.apple.com/macos/continuity/

===Ansible===

export OBJC_DISABLE_INITIALIZE_FORK_SAFETY=YES

===vnc klient===

vnc kliendi kasutamise eelduseks on kuskil võrgus töötav ja ligipääsetav vnc server. MacOS operatsioonisüsteemiga tuleb kaasa vnc klient, kasutamiseks sobib käivitada programm Finder

Finder -> Go -> Go to server

ning sisestada lahtrisse nt

vnc://192.168.10.187:5901

===Mail - IMAP ja SMTP klient===

TODO

===DFU - Device Firmware Update===

====Mõisted====

* Revive - tegevuse tulemusena asendatakse arvuti tava-firmware ja restore partitsioon - macos operatsioonisüsteem ja kasutaja andmed säilivad
* Restore - tegevuse tulemusena asendatakse arvuti tava-firmware, restore partition jne sh macos operatsioonisüsteem - st kõik
* IPSW - iphone software - praktiliselt kõik moodsad seadmed, nt https://ipsw.me/

====Tööpõhimõte====

Väited

* DFU puudutab 'macos all oleva tava-firmware all olevat eri-firmware kihti
* erinevalt nö x86 riistvara lahendustest saab mac riistvara puhul kasutada kahte seadet komplektis - seadmed ühendatakse tavalise thunderbolt vms kaabliga ning seejärel üks seade võimaldab teist ravida kasutades Apple Configurator tarkvara
* Apple Configurator ei võimalda tegeleda selle sama arvuti riistvaraga millel ta töötab, ta võimaldab tegeleda selle arvuti riistvaraga, mis on ühendatud thunderbolt kaabliga

====Apple Configurator tarkvara kasutamine====

* Apple Configurator paigaldatakse tavalisel viisil AppStore platvormi abil

====Kasulikud lisamaterjalid====

* youtube kanal lapfix sisaldab saateid - https://www.youtube.com/@lapfix

===Windows remote desktop klient===

AppStore abil on kasutada tasuta tarkvara 'Windows App'.

[[Fail:20251119-macos-windows-app-01.jpg|700px]]

===WireGuard===

WireGuard vpn klienti saab paigaldada tavalisel viisil App Store keskkonna abil. Peale paigaldamist ja esmast käivitamist valides spotlight otsingus wireguard, tuleks ilmselt kirjaldada vpn ühendus wireguard nö serveriga ning pressides + nuppu

[[Fail:20251215-macos-wireguard-04.png|700px]]

ning

[[Fail:20251215-macos-wireguard-01.png|700px]]

Käivitatud st aktiivse vpn tunneli olek paistab selline

[[Fail:20251215-macos-wireguard-02.png|700px]]

ning üldises vpn ühenduste nimekirjas

[[Fail:20251215-macos-wireguard-03.png|700px]]

<pre>
Imres-MacBook-Air:~ root# ifconfig utun6
utun6: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1420
options=6460<TSO4,TSO6,CHANNEL_IO,PARTIAL_CSUM,ZEROINVERT_CSUM>
inet 10.168.112.68 --> 10.168.112.68 netmask 0xffffff00
</pre>

ning ruuting

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet | grep utun6
default link#22 UCSIg utun6
10.168.10.177/32 link#22 UCS utun6
10.168.112/24 10.168.112.68 UGSc utun6
10.168.112.68 10.168.112.68 UH utun6
192.168.112 link#22 UCS utun6
224.0.0/4 link#22 UmCSI utun6
255.255.255.255/32 link#22 UCSI utun6
</pre>

Tundub, et mingitel hetkedel wireguard klient nö ei allu eriti, siis võib olla abiks protsessi lõpetamine teminali aknas ning käivitamine 'open -a ..' abil

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i wireg
imreoolberg 757 0.0 0.4 435612624 63120 ?? S Wed12PM 0:01.19 /Applications/WireGuard.app/Contents/MacOS/WireGuard
imreoolberg 30026 0.0 0.0 435300208 1344 s014 S+ 5:10AM 0:00.01 grep -i wireg

imreoolberg@Imres-MacBook-Air ~ % killall WireGuard

imreoolberg@Imres-MacBook-Air ~ % open -a WireGuard
</pre>

vpn kasutamisel tuleb arvestada, et kui MacOS tulemüür ei ole sisselülitatud ja ei takista, siis saab vpn serveri poolelt pöörduda ka macos arvuti poole.

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_OpenBSD_kasutamine#Wireguard
* https://www.auul.pri.ee/wiki/MikroTik_RouterOS#WireGuard

===Eesti ID kaardi kasutamine===

Eesti ID kaardi tarkvara paistab esindatud nn System Settings vasakus paneelis

[[Fail:20251216-macos-software-01.png|700px]]

Ning App Store peal

[[Fail:20251203-macos-app-store-updates-02.png|700px]]

ning

System Report -> Software -> Applications

juures

[[Fail:20251216-macos-software-02.png|700px]]

Lisaks Eesti ID kaardi tarkvara paistab nö .pkg osakonnas esindatud

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -v ^com.apple
..
eu.web-eid.web-eid-chrome
ee.ria.open-eid
ee.ria.qdigidoc4
eu.web-eid.web-eid
eu.web-eid.web-eid-safari
ee.ria.ID-updater
...
</pre>

kusjuures konkreetsed versioonid on sellest pkgutil vaatest

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.5.0.1954
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.15.0
volume: /
location: /
install-time: 1757342106
</pre>

Kusjuures siit paistab vastuolu: pkgutil eistab nt paketi ee.ria.qdigidoc4 versiooniks 4.8.2 kuid muud 4.9.1. Kui küsida käsurealt teisiti versiooni

<pre>
Imres-MacBook-Air:~ root# defaults read /Applications/qdigidoc4.app/Contents/Info.plist CFBundleShortVersionString
4.9.1
</pre>

Ning programmi enda gui liides ütleb samuti versiooniks 4.9.1, lisaks tundub, et tegu on siiski sama tarkvara eksemplariga

<pre>
Imres-MacBook-Air:~ root# ps aux | grep qdigidoc4 | grep -v grep
imreoolberg 38841 0.0 0.4 436001936 63600 ?? S 4:19AM 0:01.45 /Applications/qdigidoc4.app/Contents/MacOS/qdigidoc4
</pre>

ning

[[Fail:20251216-macos-software-03.png|700px]]

====System Settings vasaku paneeli ID-updater kasutamine====

Peale System Settings vasaku paneeli ID-update kasutamist ja jaatavat vastamist vaikimisi valikutega

[[Fail:20251216-macos-eid-updater-01.png|700px]]

tessa

[[Fail:20251216-macos-eid-updater-02.png|700px]]

kossa

[[Fail:20251216-macos-eid-updater-03.png|700px]]

nessa

[[Fail:20251216-macos-eid-updater-04.png|700px]]

on tulemuseks

[[Fail:20251216-macos-eid-updater-05.png|700px]]

ning käsurealt küsides, st mõne komponendi versioon uuenes

* eu.web-eid.web-eid-chrome
* ee.ria.open-eid
* eu.web-eid.web-eid
* ee.ria.ID-updater

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.10.0.235
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.18.0
volume: /
location: /
install-time: 1765858910
</pre>

20260630 kogemus

[[Fail:20260630-macos-eid-updater-01.png|900px]]

kus

* tundub, et macos lähenemisele natuke iseloomulikult erinevad kohad kirjutavad versiooni uuenduse kohta erinevat infot

===Mikrotik Winbox===

Paistab, et alates winbox v. 4 on toetatud MacOS

[[Fail:20260330-macos-mikrotik-install-01.png|800px]]

kus

* .dmg on Finder peal 'Open with' -> 'Diskmounter' abil avatud (monteeritud)
* paigaldamiseks tuleb nihutada .dmg sees paistev nö ressurss Applications alla kõrvale avatud Finder programmis (tavaliselt on .dmg avatud image nö ristkülikus kaks ikooni, rakendus ja Application ja tuleb nihutada selle akna sees
* Finder vasakus paneelis on Windbox disk image lahti monteeritud

kasutamine paistab välja nii

[[Fail:20260311-mikrotik-winbox-4-01.png|800px]]

Andmefailid asuvad

<pre>
imreoolberg@Imres-MacBook-Air ~ % find ~/Library/Application\ Support/MikroTik/WinBox -type f -ls
105559824 8 -rw-r--r-- 1 imreoolberg staff 1998 Jun 3 23:34 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.78.cfg.viw2
119606360 16 -rw-r--r-- 1 imreoolberg staff 5126 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.77.cfg.viw2
..

105555588 8 -rw-r--r-- 1 imreoolberg staff 502 Jun 3 23:29 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/Addresses.cdb
119606359 8 -rw-r--r-- 1 imreoolberg staff 383 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/settings.cfg.viw2
</pre>

====WindBox 4.1 -> 4.2 uuendamine====

Winbox uuendamine toimub üsna manuaalselt

[[Fail:20260709-mikrotik-01.png|900px]]

kus

* tootja jagab .dmg faili
* see fail tuleb eraldi liigutusena kopeerida tootja veebikohast
* antud juhtum on hea näide kuidas MacOS Application kataloogi alamkataloogis asendab vana versiooni uuega

Kusjuures paigaldamise ajal midagi ei küsitud st privileegide saamiseks, tundub, et põhjusel kuna kataloog oli juba olemas ja kuulus kasutajale

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/*
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 29 2025 /Applications/balenaEtcher.app
drwxr-xr-x@ 3 imreoolberg staff 96 Jul 3 07:43 /Applications/BetterTouchTool.app
drwxr-xr-x 13 root staff 416 Jul 5 16:07 /Applications/DDPM
..
drwxr-xr-x@ 3 root wheel 96 Dec 3 2025 /Applications/web-eid-safari.app
drwxr-xr-x@ 3 root wheel 96 Jun 30 19:52 /Applications/WhatsApp.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 8 10:25 /Applications/WinBox.app
drwxr-xr-x@ 3 root wheel 96 Jul 4 19:44 /Applications/Windows App.app
drwxr-xr-x@ 3 root wheel 96 Dec 9 2025 /Applications/WireGuard.app
...
</pre>

kus

* sõltuvalt paigalduse viisist on kataloogil omanikuks kasutaja või root
* nt tundub, et app store ja pkgutil puhul on omanikuks root
* niisama kasutajana nö visuaalselt liigutades rakenduse Applications osakonda esmakordsel paigaldusel küsitakse täiendavalt privileegide kohta, ja seejärel enam mitte (st uuendamisel)

===MacOS virtualiseerimine===

TODO

===QR Journal===

TODO

===etcher===

TODO

===Rosetta paigaldamine===

<pre>
$ softwareupdate --install-rosetta
</pre>

===Dell U2725QE monitor===

Kuigi kõik niisamagi töötab, monitori tootja veebikohas on üsna huvitavat tarkvara

[[Fail:20260705-dell-macos-01.png|900px]]

kus

* DDPM - Dell Display and Peripherial Manager
* Monitor Firmware Update Utility

====DDPM====

Mõisted

* DDPM - Dell Display and Peripherial Manager

Peale allkopeerimist paistab .pkg pakenduses tarkvara

[[Fail:20260705-dell-macos-02.png|1100px]]

kus

* TODO

Paigaldamine paistab

[[Fail:20260705-dell-macos-03.png|500px]]

ja kasutamine

[[Fail:20260705-dell-macos-04.png|700px]]

* paistab midagi sellist nagu monitori enda peal füüsiliselt

====Dell U2725QE Monitor Firmware Update Utility====

Väited

* monitori firmware uuendmaine toimub üle arvuti ja monitori vahelise thunderbolt kaabli

Paigaldamine paistab selline .pkg pakett

[[Fail:20260705-dell-macos-05.png|600px]]

Firmware uuendamine toimub üle thunderbolt kaabli

[[Fail:20260705-dell-macos-06.png|700px]]

kus

* oluline mitte lasta monitori screen saverisse, power save'i jms - nt 'caffeinate -di' abil
* firmware versioon muutab M2T101 -> M2T102

====Kahe monitori kasutamine====

Osutub võimalikuks ühe MacBook Air arvutiga ühendada kaks Dell monitori nö tunderbolt mõttes järjestikuliselt

[[Fail:20260718-macos-dell-01.png|800px]]

ning

[[Fail:20260718-macos-dell-02.png|800px]]

kus

* TODO

Tegu ei ole Dell monitor daisy-chain tehnoloogiaga, sest daisy-chain töötab display protocol kihis, antud juhul toimub kontakt thunderbolt kihis.

===character terminal seadme kasutamine===

character teminal seadme kasutamine paistab nii, väga analoogne ubuntu ja debian operatsioonisüsteemiga

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i iterm2
imreoolberg 1112 11.2 1.8 436586496 306448 ?? S 6:11PM 3:08.34 /Applications/iTerm.app/Contents/MacOS/iTerm2
</pre>

ning iterm protsessis on pseudo-terminal master multiplexer seadmed

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1112 -P -n | grep ptmx
iTerm2 1112 imreoolberg 5u CHR 15,0 0t23863949 609 /dev/ptmx
iTerm2 1112 imreoolberg 44u CHR 15,1 0t1199 609 /dev/ptmx
iTerm2 1112 imreoolberg 45u CHR 15,2 0t204098 609 /dev/ptmx
</pre>

zsh shelli avatud terminaliga seotud

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep zsh
imreoolberg 1398 0.0 0.0 435312416 2784 s003 S 6:17PM 0:00.01 -zsh
imreoolberg 1380 0.0 0.0 435313360 3472 s002 S 6:17PM 0:00.11 -zsh
imreoolberg 1376 0.0 0.0 435308624 2672 s001 S 6:17PM 0:00.01 -zsh
imreoolberg 1115 0.0 0.0 435313184 2896 s000 S+ 6:11PM 0:00.06 -zsh
imreoolberg 2434 0.0 0.0 435299552 1392 s002 S+ 7:16PM 0:00.00 grep zsh

imreoolberg@Imres-MacBook-Air ~ % lsof -p 1376 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
zsh 1376 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
zsh 1376 imreoolberg txt REG 1,15 1361216 1152921500312571448 /bin/zsh
zsh 1376 imreoolberg txt REG 1,15 81288 1152921500312585080 /usr/share/locale/en_US.UTF-8/LC_COLLATE
zsh 1376 imreoolberg txt REG 1,15 118896 1152921500312574306 /usr/lib/zsh/5.9/zsh/terminfo.so
zsh 1376 imreoolberg txt REG 1,15 593088 1152921500312574312 /usr/lib/zsh/5.9/zsh/zle.so
zsh 1376 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
zsh 1376 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 1u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 10u CHR 16,1 0t683 733 /dev/ttys001
</pre>

ssh kliendis on

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1437 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
ssh 1437 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
ssh 1437 imreoolberg txt REG 1,15 1555472 1152921500312572845 /usr/bin/ssh
ssh 1437 imreoolberg txt REG 1,15 72984 121429580 /Library/Preferences/Logging/.plist-cache.a1S8PMuK
ssh 1437 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
ssh 1437 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 1u CHR 3,2 0t0 340 /dev/null
ssh 1437 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 3u IPv4 0x79fda12a4e8825b1 0t0 TCP 192.168.134.76:49197->192.168.10.166:22 (ESTABLISHED)
ssh 1437 imreoolberg 4u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 5u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 6u CHR 16,1 0t513 733 /dev/ttys001
</pre>

kus

* ilusti on paista järgnevus iterm2 -> zsh -> ssh

Selline pilt võiks

[[Fail:20260706-macos-char-01.png|800px]]

kus

* ptmx - pseudo-terminal master multiplexer
* ttys - teletypewriter slave
* console - füüsiline laptop graafilisse osakonda sisselogimise kohalolek
* Sun18 - kuna klassikaliselt on see tulp olnud max pikkusega 6 sümbolit, sellest selline notatsioon - kell 18, pühapäev

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_Debian_GNU/Linux_kasutamine#Seadmed_2

===Zabbix agent===

<pre>
imreoolberg@Imres-MacBook-Air ~ % sudo -i
Password:
Imres-MacBook-Air:~ root# file /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg: xar archive compressed TOC: 5108, SHA-1 checksum
</pre>

Misc

<pre>
imreoolberg@Imres-MacBook-Air ~ % installer -volinfo -pkg Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Volumes/PRO-G40
/Volumes/volume-tm-backup-01
/
</pre>

Paigaldamine

<pre>
Imres-MacBook-Air:~ root# installer -pkg /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg -target /
installer: Package name is Zabbix Agent
installer: Installing at base path /
installer: The install was successful.
</pre>

Tulemusena tekib süsteemi

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -i zabbix
com.zabbix.pkg.ZabbixAgent

Imres-MacBook-Air:~ root# pkgutil --files com.zabbix.pkg.ZabbixAgent
Library
Library/LaunchDaemons
Library/LaunchDaemons/com.zabbix.zabbix_agentd.plist
usr
usr/local
usr/local/bin
usr/local/bin/zabbix_get
usr/local/bin/zabbix_sender
usr/local/etc
usr/local/etc/zabbix
usr/local/etc/zabbix/zabbix_agentd
usr/local/etc/zabbix/zabbix_agentd/userparameter_examples.conf.NEW
usr/local/etc/zabbix/zabbix_agentd/userparameter_mysql.conf.NEW
usr/local/etc/zabbix/zabbix_agentd.conf.NEW
usr/local/sbin
usr/local/sbin/zabbix_agentd
</pre>

Seadistused

<pre>
Imres-MacBook-Air:~ root# egrep -v "^$|^#" /usr/local/etc/zabbix/zabbix_agentd.conf
LogFile=/var/log/zabbix/zabbix_agentd.log
Server=192.168.10.196
Hostname=macos-air.auul.pri.ee
</pre>

Tulemusena paistab vaikimisi Zabbix kaasa tuleva template abil selline pilt

[[Fail:20260706-macos-zabbix-01.png|1100px]]

kus

* võrreldes nt vaikimisi top utiliidi väljundiga, mis esitab muu hulgas andmeid cpu interruptide kohta, on zabbix esitus üsna tagasihoidlik

[[Fail:20260706-macos-zabbix-02.png|1400px]]

===scutil===

Osutub, et arvuti dhcp serveriga kohtumisele omandab lisaks ip aadressile jms võrguseadistusele ka uue hostname'i väärtuse, st mida vastab 'hostname' käsk kui kinnitatud uus dünaamiline ip address omab revers teisendust nimesüsteemis

<pre>
imreoolberg@orcl2-vip ~ % scutil --get LocalHostName
Imres-MacBook-Air
imreoolberg@orcl2-vip ~ % scutil --get ComputerName
Imre’s MacBook Air
imreoolberg@orcl2-vip ~ % scutil --get HostName
HostName: not set
</pre>

pinnimiseks sobib öelda

<pre>
orcl2-vip:~ root# scutil --set HostName "Imres-MacBook-Air"
</pre>

===Trash===

<pre>
imreoolberg@Imres-MacBook-Air ~ % du -sh .Trash
18G .Trash
</pre>

graafiliselt

[[Fail:20260729-macos-trash-01.png|600px]]

kus

* TODO

===Kasulikud lisamaterjalid===

* https://github.com/luchina-gabriel/OSX-PROXMOX
* https://www.apple.com/mac/compare/

Fail:Openssh-1.gif

2026-07-30T21:22:43Z

Imre:

Autentimine ja autoriseerimine

2026-07-30T21:19:59Z

Imre:

Kerberos

* [[:Kerberoseeritud süsteemi kirjeldus]]
* [[:MIT Kerberose kasutamine Debianiga]]
* [[:MIT Kerberose kasutamine Windowsiga]]
* [[:Heimdal Kerberose kasutamine OpenBSDga]]
* [[:MIT Kerberose ja OpenLDAP kataloogiga kasutajate haldamine]]
* [[:Debiani kasutamine Windows AD'ga]]

LDAP

* [[:OpenLDAP kasutamine Debianiga]]
* [[:GOsa kasutamine operatsioonisüsteemiga Debian v. 7 Wheezy]]
* [[:FusionDirectory kasutamine operatsioonisüsteemiga Debian v. 7 Wheezy]]
* [[:Active Directory kasutamine operatsioonisüsteemiga Debian v. 7 Wheezy]]
* [[:LDAP ToolBox Self Service Password]]

PKI

* [[:Krüptimine]]
* [[:PKI halduse tarkvara XCA kasutamine]]
* [[:PKI halduse tarkvara Portecle kasutamine]]
* [[:OpenSSL]]
* [[:EJBCA OCSP responder]]
* [[:EJBCA CA ja OCSP kasutamine WildFly v. 10 rakendusserveriga]]
* [[:EJBCA CA haldamine]]
* [[:SignServer kasutamine JBoss v. 7.1.1 rakendusserveriga]]
* [[:SignServer kasutamine WildFly v. 10 rakendusserveriga]]
* [[:Krüptimine]]
* [[:SoftHSM2]]
* [[:NetHSM]]
* [[:CMP ja EJBCA kasutamine]]
* [[:SCEP ja EJBCA kasutamine]]
* [[:Certmonger kasutamine]]

Misc

* [[:FreeRADIUS kasutamine]]
* [[:TACACS+ kasutamine]]
* [[:Ident kasutamine]]
* [[:SSO kasutamine]]
* [[:Let's Encrypt kasutamine]]
* [[:Realmd, adcli, sssd ja Active Directory kasutamine]]
* [[:ID kaardi kasutamine kasutaja seisukohast]]
* [[:Kahetasemeline autentimine tarkvaraga OpenSSH]]
* [[:kpcli]]
* [[:cfssl]]
* [[:Keycloak]]
* [[:Yubikey]]
* [[:Authentik]]
* [[:Let's Encrypt kasutamine]]
* [[:Authelia]]
* [[:OpenSSH kasutamine]]

Kahetasemeline autentimine tarkvaraga OpenSSH

2026-07-30T21:18:39Z

Imre: Imre teisaldas lehekülje Kahetasemeline autentimine tarkvaraga OpenSSH pealkirja OpenSSH kasutamine alla

#suuna [[OpenSSH kasutamine]]

OpenSSH kasutamine

2026-07-30T21:18:39Z

Imre: Imre teisaldas lehekülje Kahetasemeline autentimine tarkvaraga OpenSSH pealkirja OpenSSH kasutamine alla

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

====2026 suve märkused====

<pre>
imre@imre-mac ~ % cat .ssh/config
Host *
TCPKeepAlive yes
ServerAliveInterval 60
User imre
ControlMaster auto
ControlPath /tmp/ssh-ctrl-%h-%p-%r
ControlPersist 3600
</pre>

kontrolliks

<pre>
imre@imre-mac ~ % ssh -O check imre@192.168.240.202
Master running (pid=9642)
</pre>

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* host key algorithm (HostKeyAlgorithms) - ecdsa-sha2-nistp256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

* digital signature scheme

<pre>
$ ssh -Q key
ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521
ssh-rsa-cert-v01@openssh.com
ssh-dss-cert-v01@openssh.com
ecdsa-sha2-nistp256-cert-v01@openssh.com
ecdsa-sha2-nistp384-cert-v01@openssh.com
ecdsa-sha2-nistp521-cert-v01@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

OpenSSH kasutamine

2026-07-30T21:15:52Z

Imre: /* Sessioonide multipleksimine */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

====2026 suve märkused====

<pre>
imre@imre-mac ~ % cat .ssh/config
Host *
TCPKeepAlive yes
ServerAliveInterval 60
User imre
ControlMaster auto
ControlPath /tmp/ssh-ctrl-%h-%p-%r
ControlPersist 3600
</pre>

kontrolliks

<pre>
imre@imre-mac ~ % ssh -O check imre@192.168.240.202
Master running (pid=9642)
</pre>

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* host key algorithm (HostKeyAlgorithms) - ecdsa-sha2-nistp256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

* digital signature scheme

<pre>
$ ssh -Q key
ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521
ssh-rsa-cert-v01@openssh.com
ssh-dss-cert-v01@openssh.com
ecdsa-sha2-nistp256-cert-v01@openssh.com
ecdsa-sha2-nistp384-cert-v01@openssh.com
ecdsa-sha2-nistp521-cert-v01@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

OpenSSH kasutamine

2026-07-30T21:14:31Z

Imre: Uus lehekülg: '===Sissejuhatus=== OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt...'

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* host key algorithm (HostKeyAlgorithms) - ecdsa-sha2-nistp256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

* digital signature scheme

<pre>
$ ssh -Q key
ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521
ssh-rsa-cert-v01@openssh.com
ssh-dss-cert-v01@openssh.com
ecdsa-sha2-nistp256-cert-v01@openssh.com
ecdsa-sha2-nistp384-cert-v01@openssh.com
ecdsa-sha2-nistp521-cert-v01@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

Podman Desktop - MacOS

2026-07-30T08:23:27Z

Imre: Uus lehekülg: '===Sissejuhatus=== TODO ===Tööpõhimõte=== TODO ===Paigaldamine ja käivitamine=== TODO ===Kasulikud lisamaterjalid=== * TODO'

===Sissejuhatus===

TODO

===Tööpõhimõte===

TODO

===Paigaldamine ja käivitamine===

TODO

===Kasulikud lisamaterjalid===

* TODO

Virtualiseerimine

2026-07-30T08:22:39Z

Imre:

Arvutite paralleelne haldus

* [[:Apt-dater tarkvara kasutamine]]
* [[:dsh]]
* [[:ClusterSSH]]
* [[:Parallel SSH]]
* [[:Puppet kasutamine Debianiga]]
* [[:Salt kasutamine]]
* [[:Ansible kasutamine]]
* [[:Terraform]]

Xen

* [[:Xen tarkvarast üldiselt]]
* [[:Xen XL kasutamine operatsioonisüsteemiga Debian v. 10 Buster]]
* [[:Xen XL kasutamine operatsioonisüsteemiga Debian v. 9 Stretch]]
* [[:Xen XL kasutamine operatsioonisüsteemiga Debian v. 8 Jessie]]
* [[:Xen XCP kasutamine operatsioonisüsteemiga Debian v. 7 Wheezy]]
* [[:Xen XL kasutamine operatsioonisüsteemiga Debian v. 7 Wheezy]]
* [[:Xen XM kasutamine operatsioonisüsteemiga Debian v. 7 Wheezy]]
* [[:Xen kasutamine operatsioonisüsteemiga Debian v. 6 Squeeze]]
* [[:Xen kasutamine operatsioonisüsteemiga Debian v. 5 Lenny]]
* [[:Xen kasutamine operatsioonisüsteemiga Debian v. 4 Etch]]
* [[:Xen XL toolstack abil VGA passthrough kasutamine töökohaarvutis operatsioonisüsteemiga Ubuntu v. 13.10]]
* [[:Xen kompileerimine operatsioonisüsteemiga Debian v. 8 Jessie]]
* [[:Xen guestina operatsioonisüsteem OpenBSD kasutamine]]

Proxmox

* [[:Proxmox v. 1 kasutamine]]
* [[:Proxmox v. 2 kasutamine]]
* [[:Proxmox v. 3 kasutamine]]
* [[:Proxmox v. 4 kasutamine]]
* [[:Proxmox v. 5 kasutamine]]
* [[:Proxmox v. 6 kasutamine]]
* [[:Proxmox v. 7 kasutamine]]
* [[:Proxmox v. 8 kasutamine]]
* [[:Proxmox v. 9 kasutamine]]
* [[:KVM virtuaalsete arvutite kasutamine]]
* [[:Proxmox OpenVZ virtuaalsete arvutite kasutamine]]
* [[:Proxmox LXC virtuaalsete arvutite kasutamine]]
* [[:Operatsioonisüsteemide kasutamine KVM virtuaalsete arvutitena]]
* [[:Virtuaalsete töökohaarvutite kasutamine Proxmox keskkonnas]]

ESXi

* [[:ESXi kasutamine]]

UML

* [[:UML]]

OpenVZ

* [[:OpenVZ kasutamine operatsioonisüsteemiga Debian Squeeze]]

VirtualBox

* [[:VirtualBox kasutamine operatsioonisüsteemiga Debian Squeeze]]

Unikernel

* [[:Unikernelist üldiselt]]
* [[:MirageOS]]
* [[:rump kernel]]

Kubernetes

* [[:Kubernetes]]
* [[:Kubernetes - 2022 sügis]]
* [[:Minikube]]
* [[:Fleet]]
* [[:K8s multisite lahendus]]
* [[:K0s kasutamine]]
* [[:Lens Desktop]]
* [[:k9s]]
* [[:Google GKE kasutamine]]

Misc

* [[:QEMU-KVM ja virt-manager kasutamine operatsioonisüsteemiga Debian Jessie]]
* [[:OVMF ja QEMU kasutamine operatsioonisüsteemiga Debian]]
* [[:Docker kasutamine operatsioonisüsteemiga Debian]]
* [[:Docker kasutamine operatsioonisüsteemiga Ubuntu - rootless]]
* [[:Docker kasutamine operatsioonisüsteemiga Debian - rootless]]
* [[:schroot kasutamine operatsioonisüsteemiga Debian]]
* [[:systemd-nspawn kasutamine operatsioonisüsteemiga Debian]]
* [[:LXD konteineri kasutamine]]
* [[:OpenBSD VMM kasutamine]]
* [[:Multi boot Linux + OpenBSD UEFI + GPT + software raid keskkonnas]]
* [[:Virtual GPU]]
* [[:Vagrant kasutamine]]
* [[:Traefik]]
* [[:Docker swarm]]
* [[:Dockerfile]]
* [[:VMware]]
* [[:Linux isolatsioonid]]
* [[:Docker compose kasutamine]]
* [[:Zone pilveserveri kasutamine]]
* [[:Podman kasutamine]]
* [[:Rancher Desktop]]
* [[:Podman Desktop - MacOS]]

Rsyslog kasutamine operatsioonisüsteemiga Debian

2026-07-30T00:10:07Z

Imre: /* Logiserveri kasutamine */

===Sissejuhatus===

Rsyslog http://www.rsyslog.com/ v. 8.4 on Debian v. 8 Jessie operatsioonisüsteemis vaikimisi logimise tarkvara. Kui tarkvara mingil põhjusel süsteemis ei ole, nt süsteem moodustati Debian Etch -> Lenny uuendamisel, siis saab Rsyslogi paigaldada öeldes

# apt-get install rsyslog rsyslog-doc

Rsyslogil on sellised omadused

* tcp/udp tugi
* oskab kasutada sql andmebaasi (nt PostgreSQL, Oracle, MySQL)
* failisüsteemi puhverdamine (nt juhtumil kui andmebaasi ei saa mingil põhjusel kirjutada)
* RELP protokolli tugi

Tarkvara juhib seadistusfail /etc/rsyslogd.conf, mis on süntaksiliselt tagasiühilduv seni Debianis kasutuses olnud Syslog tarkvara seadistusfailiga. Tundub, et uuemal ajal tuleb arvestada, millist rsyslog versiooni kasutatakse

* rsyslog v. 3 - Debian v. 5 Lenny
* rsyslog v. 5 - Debian v. 7 Wheezy
* rsyslog v. 8 - Debian v. 8 Jessie

===Logiserveri kasutamine===

Reeglina soovitatakse seadistada arvutid logima võrgus töötavasse logiserverisse, nt turvalisuse ja logitöötluse kaalutlustel

_____ logiserver
| | :514/tcp
|_____| :514/udp
|
|
-|---------|----------|----....---|--
| | |
__|__ __|__ __|__
| | | | | |
|_____| |_____| |_____|

smtp www dns

kus

* logiseveri kuulab ühedusi oma 514/tcp ja 514/udp soketitel
* smtp, www ja dns arvutid logivad oma andmed logiserverisse

Rsyslogi käivitamisel tuleb arvestada, kas protsess töötab logiseverina või logiserveri kliendina.

* Logiserveris tuleb öelda, et teenindatakse kliente

# cat /etc/rsyslog.conf
..
# provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

# provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

* Logiserveri kliendis on oluline näidata logiserveri asukoht (kusjuures @192.168.1.247 kopeerib logi üle UDP), praktiliselt piisab järgnev rida lisada vaikimisi toodud seadistusfaili lõppu, tulemusena logitakse endiselt ja lisaks võrku

*.* @@192.168.1.247

===SSL/TLS ühenduse kasutamine===

Eesmärgiks on saavutada olukord, kus

* serveri ei võtaks kelleltki peale seadistatud klientide logi vastu
* kliendid ei saaks saata kellelegi peale seadistatud serveri logi

SSL/TLS toe lisamiseks tuleb süsteemi paigaldada pakett rsyslog-gnutls

# apt-get install rsyslog-gnutls

Tulemusena tekib failisüsteemi muu hulgas teek

/usr/lib/rsyslog/lmnsd_gtls.so

====Serveri seadistamine====

Serveris võiks seadistuse koondada faili /etc/rsyslog.d/tls.conf

# cat /etc/rsyslog.d/tls.conf
# make gtls driver the default
$DefaultNetstreamDriver gtls

# certificate files
$DefaultNetstreamDriverCAFile /etc/ssl/certs/auul-ca-chain.pem
$DefaultNetstreamDriverCertFile /etc/ssl/certs/rsyslog.loomaaed.tartu.ee.crt
$DefaultNetstreamDriverKeyFile /etc/ssl/private/rsyslog.loomaaed.tartu.ee.key

$InputTCPServerStreamDriverAuthMode x509/name
$InputTCPServerStreamDriverPermittedPeer *.loomaaed.tartu.ee
$InputTCPServerStreamDriverMode 1 # run driver in TLS-only mode
$InputTCPServerRun 10514 # start up listener at port 10514

kus

* $DefaultNetstreamDriver gtls - lülitab TLS mooduli sisse
* näidatakse, millist CA ahelat, sertifikaati ja võtit server kasutab
* $InputTCPServerStreamDriverPermittedPeer - milliste subjecti nimedega sertifikaatidega varustatud kliente teenindatakse

====Kliendi seadistamine====

Serveris võiks seadistuse koondada faili /etc/rsyslog.d/tls.conf

# cat /etc/rsyslog.d/tls.conf
# make gtls driver the default
$DefaultNetstreamDriver gtls

# certificate files
$DefaultNetstreamDriverCAFile /etc/ssl/certs/auul-ca-chain.pem
$DefaultNetstreamDriverCertFile /etc/ssl/certs/rsyslog-client-loomaaed.loomaaed.tartu.ee.crt
$DefaultNetstreamDriverKeyFile /etc/ssl/private/rsyslog-client-loomaaed.loomaaed.tartu.ee.key

$ActionSendStreamDriverAuthMode x509/name
$ActionSendStreamDriverPermittedPeer rsyslog.loomaaed.tartu.ee
$ActionSendStreamDriverMode 1 # run driver in TLS-only mode

*.* @@(o)rsyslog.loomaaed.tartu.ee:10514

kus

* *.* @@(o)rsyslog.loomaaed.tartu.ee:10514 - kuhu logi saata, (o) ka vajalik, liiklus logimise jaoks optimaalsem

====Tulemuse kontrollimine====

* veenduda, et logitakse üle seadistatud pordi ja andmevahetus on ilmselt krüpteeritud (nt wireshark abil)
* proovida pöörduda kasutades mingit suvalist kliendi serti ja veenduda, et logida ei saa (või muuta serveris ja kliendis kordamööda InputTCPServerStreamDriverPermittedPeer väärtus ära)

Nt kirjutatakse ebasobiva kliendi pöördumisel serveri logisse klienti rsyslog protsessi startimisel

May 4 20:32:58 rsyslog rsyslogd-2088: error: peer name not authorized - not permitted to talk to it. \
Names: CN: rsyslog-client-auul.lloomaaed.tartu.ee;

====Kasulikud lisamaterjalid====

* http://www.rsyslog.com/doc/rsyslog_secure_tls.html

===Logimine failisüsteemi===

Failisüsteemi moodustatakse logiserverit kasutavate arvutite ja programmide nö puu lisades logiserveri rsyslog.conf faili muude logi salvestamist juhtivate kirjete ette

..
###############
#### RULES ####
###############

$template TraditionalFormat,"%timegenerated% %HOSTNAME% %syslogtag%%msg:::drop-last-lf%\n"
$template DailyPerHostLogs,"/srv/logs/%HOSTNAME%/%programname%.%$YEAR%-%$MONTH%-%$DAY%.log"
# *.* -?DailyPerHostLogs;TraditionalFormat
if $fromhost-ip startswith '10.1.1.' then -?DailyPerHostLogs;TraditionalFormat
& ~

#
# First some standard log files. Log by facility.
#
auth,authpriv.* /var/log/auth.log
*.*;auth,authpriv.none -/var/log/syslog
...

kus

* - - syncida failisüsteemi puhvrid maha
* ? - tähistab asjaolu, et järgneb nn dünaamiline failinimi
* ; järel on template nimi, kust võetakse logikirje formaat
* %msg% - algne logi sissekanne, millele kirjutatakse ette ja taha juurde
* if $fromhost-ip startswith '10.1.1.' then ... näitab, millisel tingimusel näidatud viisil logida
* & ~ - tähistab, et logides järgmiseid reegleid ei käsitleta; vastasel korral kirjutatakse üle võrgu tulnud logi lisaks ka nö kohalikesse logifailidesse (/var/log/syslog jt)

Postinduse logimisel on praktiliselt mõistlik logida samasse faili kokku amavis-postfix-spamd-jms programmid, nt sedasi

$template TraditionalFormat,"%timegenerated% %FROMHOST-IP% %syslogtag%%msg:::drop-last-lf%\n"
$template DailyPerHostLogs,"/srv/data/logs/%FROMHOST-IP%/%programname%.%$YEAR%-%$MONTH%-%$DAY%.log"
$template DailyPerHostLogsMail,"/srv/data/logs/%FROMHOST-IP%/mail.%$YEAR%-%$MONTH%-%$DAY%.log"

if $fromhost-ip startswith '192.168.1.250' and ( $programname == 'spamd' or $programname == 'clamav-milter' or $programname == 'postfix' ) \
then -? DailyPerHostLogsMail;TraditionalFormat
& ~

if $fromhost-ip startswith '192.168.' then -?DailyPerHostLogs;TraditionalFormat
& ~

kus

* esmalt kirjeldatakse template'd - formaadi kohta üks ja kaks failinimede jaoks
* esimene if tingimus määrab mail faili kirjutamise tingimused
* teine if tingimus ülejäänud

ning

-?DailyPerHostLogs;TraditionalFormat

kus

* - - kirjutada puhvrid maha
* ?DailyPerHostLogs - failinimed moodustatakse dünaamiliselt (st saavad sisaldada kuupäeva jms)
* TraditionalFormat - kirje formaat

===Rsyslogi mitte kasutava programmi logifaili muudatuste logimine Rsyslogi===

Rsyslog võimaldab töötada nö iseseisvalt oma logifaile kirjutavate programmidega, nt Tomcat. Enne allkirjeldatud viisi rakendamist tasub uurida alternatiivseid võimalusi, nt PostgreSQL puhul on võimalik kirjutada logi samaaegselt mitmesse kohta.

====Logi klient====

Logi kliendi arvutis tuleb kasutada /etc/rsyslog.conf failis nt ridu

$ModLoad imfile
...
# RULES
if $programname == 'tomcat' then @@10.100.1.19
& ~
...
$InputFileName /usr/local/tomcat/logs/catalina.out
$InputFileTag tomcat:
$InputFileStateFile stat-file-tomcat
$InputRunFileMonitor
...
*.* @@10.100.1.19

kus

* if ... then .. - tingimus suunab tomcat nimelise logi logiserverisse aadressi 10.100.1.19
* & ~ - järgnedes vahetult eelmisele tähendab see, et kõnealuse logikirjega enam rohkem ei tegelda
* *.* - kõik logi saadetakse logiserverisse

Kui if .. then tingimust mitte kasutada, siis salvestatakse tomcat logi nii kohaliku süsteemi logifailidesse kui ka logiserverisse

====Logiserver====

Logiserver salvestab muude seadmete poolt üle võrgu talle saadetud logi, nt oma failisüsteemi

$ModLoad imudp.so
$UDPServerRun 514

===Logimine PostgreSQL andmebaasi===

Mõnel juhtumil, nt LogAnalyzer http://loganalyzer.adiscon.com/ tarkvara kasutamisel võib olla asjakohane logida andmebaasi, selleks tuleb paigadalda PostgreSQL andmebaasi puhul rsyslog-pgsql pakett

# apt-get install rsyslog-pgsql

Baasi logimisel kasutatakse kahte tabelit, tõenäoliselt on mõistlik moodustada eraldi andmebaas ja tekitada tabelid

$ psql -h 127.0.0.1 -U rsyslog rsyslog < /usr/share/dbconfig-common/data/rsyslog-pgsql/install/pgsql

Ligipääs andmebaasile tuleb näidata /etc/rsyslog.d/pgsql.conf failis, nt

$ModLoad ompgsql
*.* :ompgsql:ip,baasinimi, kasutajanimi, parool;

Muudatuste kehtestamiseks tuleb teha Rsyslogile stop ja start

# /etc/init.d/rsyslog stop ... start

Kui mingil juhtumil ei peaks andmebaas töötama, siis Rsyslog võimaldab logi kohalikus arvutis puhverdada ning see kopeeritakse andmebaasi järgmisel võimalusel, selleks sobib kasutada seadistusfailis

$WorkDirectory /var/spool/rsyslog # default location for work (spool) files
$ActionQueueType LinkedList # use asynchronous processing
$ActionQueueFileName dbq # set file name, also enables disk mode
$ActionResumeRetryCount -1 # infinite retries on insert failure

ning moodustada kataloog /var/spool/rsyslog

# mkdir /var/spool/rsyslog

===LogAnalyzeri kasutamine===

LogAnalyzer http://loganalyzer.adiscon.com/ on veebipõhine PHP rakendus, mis võimaldab töötada andmebaasi salvestatud logiga. Lisaks nö vanilla Apache veebiserverile peavad olema paigaldatud php5-gd ja php5-pgsql paketid

# apt-get install php5-gd php5-pgsql

Tarkvara tuleb lahti pakkida veebiserveri dokumendijuurika alla, rakendus asub src alamkataloogis. Rakenduse seadistamine, sh andmebaasi ligipääsu kirjeldamine toimub veebiliideses (andmed salvestatakse faili config.php).

LogAnalyzeri kasutajaliides näeb välja selline

[[Pilt:rsyslog-1.gif]]

kus

* üleval ääres olevate linkide abil saab liikuda otsingu, statistika jt sektsioonide vahel
* üleval keskel on filter, antud juhul kuvatakse kõigi logiserverit kasutavate arvutite viimase tunni sissekandeid
* sissekanded esitatakse ridadena, antud juhtumil on näha, et arvuti 192.168.1.210 on tegelenud dhcp'ga
* veebilehele on määratud kord minutis automaatne värskendus

Kuna logis võivad esineda tundlikud andmed, nt kasutaja sisestas oma kasutaja nime asemele kogemata parooli, siis ei peaks logile saama juurde kõrvalised tegelased.

===Märkused===

* OpenBSD baaskomplekti syslogd oskab ainult UDP protokolli, kui seda arvestada, siis saab logida sealt Rsyslogi.
* Tundub, et igasuguste Rsyslogi seadistusfaili tehtud muudatuste kehtestamiseks tuleb öelda Rsyslogile stop ja start.
* osutub, et logger programm ei sobib tcp peal logimiseks; või teisipidi, lõpus peab olema reavahetus

$ logger -n 192.168.10.85 -p local3.info "test"
$ logger -n 192.168.10.85 -T -P 514 -p local3.info "test"

paistab, et netcat toimib

$ echo "test" | netcat -q 0 10.0.9.45 514

* selleks, et kõik kirjed eraldi ridadele kantaks

$RepeatedMsgReduction off

===Rsyslog v. 8 kasutamise iseärasused===

* Logiserveris erinevatesse failidesse logimiseks sobib kasutada

..
template(name="DailyPerHostLogsMail" type="string" string="/srv/logs/%FROMHOST-IP%/mail.%$YEAR%-%$MONTH%-%$DAY%.log")

if $fromhost-ip startswith '192.168.1.250' and ( $programname == 'spamd' or $programname == 'clamav-milter' ) then
{
action(type="omfile" DynaFile="DailyPerHostLogsMail")
stop
}
...

* Tundub, et rsyslog v. 8 toetab otse elasticsearch andmebaasi sissekannete tegemist, http://www.rsyslog.com/output-to-elasticsearch-in-logstash-format-kibana-friendly/ (iseasi, kas see 2015 aasta alguses on nii kasutatav kui Logstash, nt GeoIP paistab puuduvat)

# apt-get install rsyslog-elasticsearch

* rainerscriptiga TLS serveris kasutada /etc/rsyslog.conf failis kõige lõpus (ees vaikimisi olev 'module(type="imtcp")' kommenteerida välja)

<pre>
..
$DefaultNetstreamDriverCAFile /var/tmp/s/syslog-ca-cert.crt
$DefaultNetstreamDriverCertFile /var/tmp/s/syslog-server-cert.crt
$DefaultNetstreamDriverKeyFile /var/tmp/s/syslog-server-key.key
$DefaultNetstreamDriver gtls

module(load="imtcp" streamdriver.mode="1" streamdriver.authmode="x509/certvalid")
input(type="imtcp" port="10514" name="tcp-tls")
</pre>

* legacy direktiividega TLS serveris kasutada /etc/rsyslog.conf failis kõige lõpus (ees vaikimisi olev 'module(type="imtcp")' kommenteerida välja)

<pre>
$DefaultNetstreamDriverCAFile /var/tmp/s/syslog-ca-cert.crt
$DefaultNetstreamDriverCertFile /var/tmp/s/syslog-server-cert.crt
$DefaultNetstreamDriverKeyFile /var/tmp/s/syslog-server-key.key
$DefaultNetstreamDriver gtls

$ModLoad imtcp

$InputTCPServerStreamDriverMode 1
$InputTCPServerStreamDriverAuthMode anon
$InputTCPServerRun 10514 # start up listener at port 10514
</pre>

* TLS kliendis kasutada /etc/rsyslog.conf failis kõige lõpus

<pre>
$ModLoad lmnsd_gtls

# certificate files
$DefaultNetstreamDriverCAFile /etc/rsyslog.ca.pem
$DefaultNetstreamDriverCertFile /etc/rsyslog.crt
$DefaultNetstreamDriverKeyFile /etc/rsyslog.key

$DefaultNetstreamDriver gtls
$ActionSendStreamDriverMode 1 # run driver in TLS-only mode
$ActionSendStreamDriverAuthMode x509/certvalid
# $ActionSendStreamDriverPermittedPeer rsyslog.moraal.ee

*.* @@rsyslog.moraal.ee:10514 # forward everything to remote server
</pre>

Testimiseks peab nö tavaline ssl klient saama vastuse, nt

<pre>
# openssl s_client -connect 10.80.102.35:1999
...
Start Time: 1496000983
Timeout : 300 (sec)
Verify return code: 21 (unable to verify the first certificate)
---
</pre>

või

<pre>
# gnutls-cli -p 1999 logi.moraal.ee --x509cafile /etc/rsyslog-ca.crt
..

- Status: The certificate is trusted.
- Description: (TLS1.0)-(RSA)-(AES-128-CBC)-(SHA1)
- Session ID: BA:3A:80:16:79:F2:F6:8B:1A:E9:C1:87:D9:52:D6:53:28:3B:EC:3C:45:52:5A:76:C4:4D:09:F6:D1:B1:5C:A2
- Version: TLS1.0
- Key Exchange: RSA
- Cipher: AES-128-CBC
- MAC: SHA1
- Compression: NULL
- Options: safe renegotiation,
- Handshake was completed

- Simple Client Mode:
</pre>

Kasulikud lisamaterjalid

* http://blog.vuksan.com/2016/05/10/rsyslog-server-tls-termination

===Kasulikud lisamaterjalid===

* http://www.rsyslog.com/doc/manual.html
* http://wiki.rsyslog.com/index.php/Main_Page
* http://en.wikipedia.org/wiki/Rsyslog

Fail:Rsyslog-1.gif

2026-07-30T00:09:39Z

Imre:

Rsyslog kasutamine operatsioonisüsteemiga Debian

2026-07-30T00:09:28Z

Imre: Uus lehekülg: '===Sissejuhatus=== Rsyslog http://www.rsyslog.com/ v. 8.4 on Debian v. 8 Jessie operatsioonisüsteemis vaikimisi logimise tarkvara. Kui tarkvara mingil põhjusel süsteemis ei ole, nt süsteem moodustati Debian Etch -> Lenny uuendamisel, siis saab Rsyslogi paigaldada öeldes # apt-get install rsyslog rsyslog-doc Rsyslogil on sellised omadused * tcp/udp tugi * oskab kasutada sql andmebaasi (nt PostgreSQL, Oracle, MySQL) * failisüsteemi puhverdamine (nt juhtumil kui and...'

Neural Network

2026-07-29T23:11:52Z

Imre: /* Kasulikud lisamaterjalid */

===Sissejuhatus===

* TODO

===Tööpõhimõte===

TODO

Väited

* neuron - funktsioon, millel on väärtus
* weight
* base
* activation
* forward pass
* backpropagation
* quantization

LLM mudeli omadused

* number of parameters - nt 8b (billion - 10^9)
* token
* context lenght - mudelil on max context pikkuse piir (alla selle saab kasutada ja seda otsustab llm-klient, nt 128k)

===Misc===

Väited

* neural network ja selle juurde kuuluv tehnoloogia aastal 2026 on pigem empiiriline kui täppisteadus
* neural network on sarnane atmosfäärifüüsikaga - molekuli tasemel on asjad väga selged, aga tohutu mastaap toob kaasa uue kvaliteediga nähtusi - neid nähtusi käsitletakse järgmise abstraktsiooni taseme tööriistadega - fluid dynamics
* emergent capabilities - neural network nähtusele on iseloomulik, et teatud nö horisondi ületamisel ilmuvad uued võimed (ootamatult)

===Kasulikud lisamaterjalid===

* https://www.youtube.com/watch?v=bVQUSndDllU
* https://web.htk.tlu.ee/digitaru/tarkvara2/chapter/narvivorgud-ja-pytorch/
* https://courses.cs.ut.ee/2020/Tehisintellekti_algkursus/spring/Main/PARTIIIVorgud
* https://tartunlp.ai/

Ollama - MacOS

2026-07-28T22:45:01Z

Imre: /* Paigaldamine ja käivitamine */

===Sissejuhatus===

TODO

===Tööpõhimõte===

Tingimata ei ole see vajalik, aga kui pressida Sign In ollama veebikohas https://ollama.com/ ja nt Google kontoga sisse logida, paistab selline pilt

[[Fail:20260728-ollama-02.png|900px]]

kus

* TODO

===Paigaldamine ja käivitamine===

Ollama tarkvara saab kopeerida aadressilt https://ollama.com/download/mac

[[Fail:20260728-ollama-01.png|900px]]

kus

* TODO

<pre>
imreoolberg@Imres-MacBook-Air ~ % ollama pull mistral:7b
pulling manifest
pulling f5074b1221da: ... 100%
verifying sha256 digest
writing manifest
success
imreoolberg@Imres-MacBook-Air ~ %
</pre>

Kasutamiseks käsurealt, nt

<pre>
imreoolberg@Imres-MacBook-Air ~ % ollama run mistral:7b
>>> please list from smaller to bigger 4 first amicable numbers
Amicable numbers are pairs of integers (u, v) such that the sum of the proper divisors of u is equal to v, and the sum of the proper divisors of v is equal to u. The first four
amicable numbers are:

1. (220, 284)
2. (1184, 1210)
3. (2620, 2924)
4. (5020, 5564)

These numbers are sorted from smallest to largest: (220, 284), (1184, 1210), (2620, 2924), and (5020, 5564).

>>> Send a message (/? for help)
</pre>

Võrgu seadistamine, eeldusel, et

* ollama kliendiks on claude-code-in-docker vms
* macos peal on olemas utm virtualiseerime (st on virt liides 192.168.64.1)

on võimalik bindida ollama macos sisemisele (kohtvõrgust jm mitte ligipääsetavale liidesele-ip-aadressile) mida saab aga konteinerist kätte

* sulgeda ollama rakendus
* tekitada

<pre>
imreoolberg@Imres-MacBook-Air ~ % launchctl setenv OLLAMA_HOST "192.168.64.1:11434"

imreoolberg@Imres-MacBook-Air ~ % launchctl getenv OLLAMA_HOST
192.168.64.1:11434
</pre>

* käivitada ollama rakendus

===Mudelid===

====Pilvepõhised====

<pre>
imreoolberg@Imres-MacBook-Air ~ % ollama show gemma4:cloud
Model
architecture gemma4
parameters 32682372656
context length 262144
embedding length 5376
quantization BF16

Capabilities
completion
thinking
tools
vision
</pre>

===Kasutamine===

TODO

<pre>
TODO
</pre>

===Kasulikud lisamaterjalid===

* https://enos.itcollege.ee/~edmund/it-didaktika/2025-08-15-IT-6petajad-suvekool/vabavara-TI-ajastul.pdf

MacOS operatsioonisüsteemi kasutamine füüsilise MacBook Air M4 arvutiga

2026-07-28T22:29:50Z

Imre: /* Trash */

===Sissejuhatus===

TODO

Apple system level innovations

* XNU hybrid kernel (Mach + BSD + I/O Kit).
* Read-only, sealed root filesystem.
* APFS (snapshots, sealing, native encryption).
* Secure Enclave (separate CPU/resources).
* Cryptographic boot chain (from Boot ROM → kernel → apps).
* System Integrity Protection (SIP).
* Gatekeeper & notarization.
* Launchd (unified service/daemon manager).
* Unified logging & tracing (dtrace, signpost).
* Rosetta + Universal binaries (smooth arch transitions).
* Quartz compositor + Core Animation (graphics pipeline).
* Metal API (low-level GPU abstraction).
* mälu pakkimine käigult (vt Activity Monitor -> Memory -> Bottom)

Misc

* Aqua - desktop visuaal
* Quartz - desktop mootor
* UTM - qemu-based virtulization
* AWDL (Apple Wireless Direct Link) - midagi Wifi-Direct laadset

Väited

* Apple lahendustele on iseloomulik, et sama it shop kontrolli all on nii riistvara kui tarkvara (põhimõtteliselt sarnane olukord nagu kunagi Sun sparc lahendustega)
* macos on pigem threaded orienteeritud lahendus (mitte process-is-single-thread) - märksõnad: Grand Central Dispatch, Operation Queues, Swift Concurrency)
* nn 'giant lock (https://en.wikipedia.org/wiki/Giant_lock)' probleem on macos puhul pigem praktiliselt lahendatud, ju see on sama millest openbsd vabastamisega tegeldakse, nt https://www.openbsd.org/76.html - 'Removed net lock from sysctl(8) net.inet.ip.forwarding, net.inet6.ip6.forwarding, net.inet6.ip6.redirect, net.inet.ip.directed-broadcast.'

===Riistvara===

TODO

* MacBook Air 13" M4 protsessoriga arvuti
* compute resource - 1. cpu (risc arm), 2. gpu, 3. secure enclave, 4. neural engine
* 16 G ddr5 non-ecc memory - kõik compute resource'id kasutavad sama mälu, st ühisest pool'ist võetakse kasutuseks, ja antakse tagasi jne
* kaks Dell U2725QE monitori
* kaks thunderbolt 4 kaablit
* Logitech nö 9 eurone pc hiir
* lai apple magic keyboard
* väline andmekandja - SanDisk PRO-G40, https://www.apple.com/shop/mac/accessories/storage?f=thunderbolt3&fh=3783%2B47f6&page=1
* port saver - https://www.delock.com/produkt/66433/merkmale.html
* arvuti puhul ei ole kohta nagu pc arvuti puhul on 'enter bios' või 'enter setup' - ainuke realistlik sisenemiskoht on hoides alla toite nuppu arvuti käivitumise ajal

Väited

* macbookpro, air jt on non-ecc mäluga; mac pro ja mac studio on ecc mäluga
* arvuti on ühendatud ühe monitoriga TB4 kaabli abil
* esimese monitoriga on ühendatud usb klaviatuur ja hiir
* arvuti võrk töötab wifi abil, aga saaks töötada ka monitori rj45 ethernet kaabliga (arvutisse saabub üle thunderbolt neli nö signaali: 1. usb klaviatuur ja hiir, 2. ethenet, 3. video, 4. toide)
* teine monitor on ühendatud esimesega teise TB4 kaabliga nn daisy-chain ühenduses
* tundub, et monitoride pilt on vastuvõetava kvaliteediga ka non-4k režiimis (nt 3008 x 1692)

<pre>
system_profiler SPHardwareDataType # CPU, memory, model
system_profiler SPDisplaysDataType # GPU / monitor info
system_profiler SPUSBDataType # USB controllers and devices
system_profiler SPThunderboltDataType # Thunderbolt controllers
system_profiler SPNetworkDataType # Network interfaces
</pre>

Näiteks

<pre>
Imres-MacBook-Air:~ root# system_profiler SPHardwareDataType
Hardware:

Hardware Overview:

Model Name: MacBook Air
Model Identifier: Mac16,12
Model Number: MW0W3KS/A
Chip: Apple M4
Total Number of Cores: 10 (4 performance and 6 efficiency)
Memory: 16 GB
System Firmware Version: 11881.81.2
OS Loader Version: 11881.81.2
Serial Number (system): KGHGX652VT
Hardware UUID: 27AE0C7C-DCC6-5F5C-A133-8F10726347EC
Provisioning UDID: 00008132-001A618E0121801C
Activation Lock Status: Enabled

Imres-MacBook-Air:~ root# system_profiler SPDisplaysDataType
Graphics/Displays:

Apple M4:

Chipset Model: Apple M4
Type: GPU
Bus: Built-In
Total Number of Cores: 8
Vendor: Apple (0x106b)
Metal Support: Metal 3
Displays:
Color LCD:
Display Type: Built-in Liquid Retina Display
Resolution: 2560 x 1664 Retina
Main Display: Yes
Mirror: Off
Online: Yes
Automatically Adjust Brightness: Yes
Connection Type: Internal
DELL U2725QE:
Resolution: 6016 x 3384
UI Looks like: 3008 x 1692 @ 120.00Hz
Mirror: Off
Online: Yes
Rotation: Supported
</pre>

====Neural Engine====

TODO

* On-device machine learning
* Siri's voice recognition
* Image analysis in Photos
* Real-time video processing in apps like FaceTime

====Misc OS====

* cpu instructions - toimuvad kernel -> cpu vahel
* syscalls - toimuvad rakendustarkvara -> kernel vahel
* ei ole user-space-syscall'isid - kõik syscallid on nö kernel-space-syscall'd ehk lihtsalt syscall'id
* macos ei ole real-time operating system
* macos puhul on realiseeritud preemtion st ka tundlike kerneli kihi tegevuste puhul on võimalik teha nö katkestusi-tagasipöördumisi
* ei ole sellist storage-io lahenduste mitmekesisust nagu on linux puhul (nt io-uring, libaio) - nimetatakse 'Dispatch I/O'
* ei ole sellist network-io lahenduste mitmekesisust nagu on linux puhul (nt dpdk) - nimetatakse 'Network Framework'
* dpdk, rdma jms puudub kuna macos puhul tegevused käivad läbi kernel selleks, et toimuv oleks maksimaalselt kontrolli all (toimub kernel by-pass)
* tcp-offload jms siiski on kasutusel - kernel kontrollib siis ikkagi toimivat piisavalt
* XNU kernel ei võimalda linux namespace ja cgroup laadseid nö isolatsioone - st naturaalselt ei ole olemas native macos konteinerindust (nagu on linux jaoks olemas docker või freebsd jaoks daemonless) - kui on vajalik conteinerindus, siis on lahenduseks kasutada konteineri ja xnu kerneli vahel lisa kihti - linux-arm64)

Palju on https://www.openbsd.org/innovations.html nimekirjast olemas macos puhul, kas otseselt või siis kontseptuaalselt, aga implementatsioon on macos juhtumile iseloomulik

* OpenBSD: retguard uses a unique XOR-based canary on a function's return address to prevent a specific type of buffer overflow attack (ROP).
* macOS: macOS does not have a feature called retguard. However, the same concept is implemented by Apple's Clang compiler. macOS has used stack canaries (or stack cookies) for years, which are values placed on the stack to detect if the return address has been overwritten. Both systems use different implementations to solve the same problem.
* OpenBSD: pledge is a security mechanism where a program "pledges" to only use a limited set of system calls. If it tries to make a syscall outside of its "pledge," the program is killed.
* macOS: macOS does not have a pledge equivalent. The concept is not present in the same form. Instead, macOS uses sandboxing, which is a more comprehensive and declarative security model. Sandboxing restricts an application's access to files, network connections, and system resources based on a detailed set of rules (called entitlements) defined in a profile, which is part of the application itself. It's a different, but arguably more powerful, approach to the same problem.
* OpenBSD: W^X is a fundamental security policy that ensures a memory page is either writable or executable, but not both.
* macOS: This concept is directly implemented and has been a core security feature of macOS for many years. It is an integral part of the kernel and is enforced on all applications, making it impossible for an attacker to write shellcode to a memory page and then execute it.
* OpenBSD has long been a pioneer in security, and its implementation of ASLR is a core part of its "secure by default" philosophy.
* macOS introduced ASLR in Mac OS X Leopard (10.5) and has since continuously improved and strengthened it with each new release. Today, ASLR on macOS is a mandatory security feature for all modern applications.
* OpenBSD relinking
* Randomizing per-process: Instead of a single, system-wide reordering at boot, dyld randomizes the base addresses of shared libraries for every single process that is launched.
* Using a shared cache: To speed up program loading, macOS bundles commonly used system libraries into a single large file called the dyld_shared_cache. The location of this entire cache in memory is randomized at boot, and all processes then use this randomized location.

====User mode vs Kernel mode====

Väited

* User mode ja Kernel mode on kaks erinevat protsessori olekut
* esimesel puhul käitub arvuti nagu nö loogiline-masin, teisel juhul nagu riistvaraline-masin
* kontseptuaalselt võiks ette kujutada, et arvutis on kaks protsessorit - üks on pidevalt füüsilises ja teine loogilises olekus
* loogilist laadi tegevusteks on nt protsessi mällu laaditud mälu abil andmete sorteerimine, st kõik tegevused on taandatud matemaatikaks
* füüsilist laadi tegevusteks on nt võrku andmete saatmine, või plokkseadmelt andmete lugemine

====Seadme draiver====

Ettekujutuseks on nvme storage seade. Selleks, et andmed jõuaksid füüsilise plokkseadme pealt ühe user-space protsessi mällu nt postgresql andmebaas, liiguvad andmed läbi sellistest lõikudest koosneva teekonna

<pre>
plokkseade
control plain peal toimuv käsu tulemusel -> plokkseadmega seostatud fragment arvuti rom mälust
-> cpu kopeerib andmed oma registrite abil user-space mällu
..
</pre>

====SanDisk PRO-G40====

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Thunderbolt 4 porti ühendatud seade paistab selline

[[Fail:20250916-imre-sandisk-pro-g40-01.png|900px]]

kus

* seadet koheldakse pcie siinile ühendatud nvme seadmena

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Non-Thuderbolt-USB-C porti ühendatud seade paistab selline

TODO

kus

* seadet koheldakse usb-storage ühendatud plokkseadmena

===Kasutajaliides===

====Magic Apple Keyboard====

klahvikombinatsioonid

* command + nool paremale/vasakule - tekstikursori viimine vastavalt rea lõppu või algusse
* command + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt rea lõppu või algusse
* command + shift + suurem/väiksem - mitme aknalise programmi akende vahel liikumine (nt iterm/terminal/chrome/safari)
* option + nool paremale/vasakule - tekstikursori viimine vastavalt järgmise või eelmise sõna juurde
* option + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt sõna edasi või tagasi
* command + tühik - spotlight otsingu avamine
* control + nool paremal/vasakule - järgmise virtuaalse desktop juurde liikumine (spaces)
* control + nool üles/esc - xxx vaate avamine (üleval on virtuaalsete desktopide riba)
* command + nool üles/alla - teksti algusse või lõppu liikumine (nt chrome brauseris)
* option + nool üles/alla - tekstis nö page-up-page-down võtta liikumine (nt chrome brauseris)

====Touchpad====

gestured

* kahe sõrmega üles-alla swipe - hiirega skrollimine
* kolme sõrmega vasakule-paremale swipe - virtuaalsete desktopide vahel liikumine

===alt-grab - BetterTouchTool (BTT)===

====Tööpõhimõte====

Tegevuse eesmärk on alt-grab kasutamine akna asukohta muutmiseks ja akna suuruse muutmiseks. Linux desktop (gnome, xfce4 jt) puhul paistab see olevat tavaline, et akna asukoha muutmiseks ei pea tingimata haarama hiire vasaku nupuga akna tiitelribast ja siis vedama; või akna suuruse muutmiseks haarama hiire vasaku nupuga täpselt nurgast või servast ja siis vedama. Piisab hoida vasakut alt klahvi all ja haarata kuskilt akna seest hiire vasaku nupuga ning vedada; või hoida vasakut alt klahivi all ja haarata akna seest nurga lähedusest hiire parema nupuga ning vedada.

====BTT kopeerimine ja paigaldamine====

Väited

* https://folivora.ai/
* tundub, et BTT on usaldusväärne tarkvara (nt https://www.macworld.com/article/551700/mac-gems-bettertouchtool-review.html)
* BetterTouchTool ei ole tasuta tarkvara
* BetterTouchTool ei ole kõige parem lahendus nn alt-drag jaoks, aga paistab, et paremat ka pole (ja tundub, et ei saa olla kuna MacOS nö sisemiselt eriti ei võimalda alt-drag laadi tegevusi)
* BTT abil saab akna suurust muuta ainult paremas alumises nurgas
* akent ei saa ekraanilt osaliselt välja suruda üles suunas (nt alla saab)
* tundub, et paigaldamisel antakse rakendusele rikkalikult privileege

====Seadistamine====

Tööpõhimõte

* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse down', millele vastab tegevus (action) 'Start Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse up', millele vastab tegevus 'Stop Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse down', millele vastab tegevus 'Start Resizing'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse up', millele vastab tegevus 'Stop Resizing'

alt-drag seadistamine paistab selliselt, rightclick triggeri ja vastava tegevuse (action) kirjeldamine, basic

[[Fail:20250903-btt-rightclick-01.png|1000px]]

kus

* valitud programmid on For All Apps st kirjeldatavad võimed tekivad kõigi programmide akendele
* valitud seade on Normal Mouse (mitte magic mouse)
* on valitud ka modifer - opt (magic keyboard klahv 'option')

ning advanced

[[Fail:20250903-btt-rightclick-02.png|1000px]]

kus

* Trigger Conditions - Trigger on Mouse Down (vaikimisi)

Analoogselt kirjeldatakse ülejäänud triggerid ja tegevused - seejuures tuleb kindlasti valida modifier, vastasel korral võib olla väga halb kasutuskogemus kuna hiire vasaku klahvi nö tavaline töö on häiritud).

====Kasutamine====

Kasutamine paistab välja natuke puudulikumalt kui linux desktop keskkonnas

* suurust saab muuta vaid alumist paremat nurka sisse või väljapoole surudes (linux all saab tegeleda igas nurgas)
* asukohta saab muuta kuid see mõjub fookuses olevale aknale (vahel on see üsna nö eba kogemus, et hiir on mitte fookuses oleva akna kohal ja kõrval oleva akna asukoht muutub)
* tegelemise ajal on aken nö täidetud (linux all saab valida kas aken paistab nö täidetuna või wireframe'ina)

====Kasulikud lisamaterjalid====

* https://community.folivora.ai/t/resize-window-on-modifier-right-mouse-button-press/41430

===iterm2===

iterm2 võimaldab muu hulgas

* akende arrangement ettevalmistusi - st akende avamist komplektidena, seejuures logitakse automaatselt serveritesse ssh abil sisse, näiteks
* profile abil värvikasutust kirjeldada (taust, tekst, esiletoodud (bold), allajoonitud tekst jms)

[[Fail:20260302-iterm2-01.png|700px]]

avades

iTerm2 -> Settings -> Profiles

kus

* esiletoodud tekst esitatakse roheliselt (seda esineb linux puhul nt top, 'systemctl status postfix' ja dmesg väljundis)

aknale kerge ääre näitamine

iTerm2 -> Settings -> Appearence -> Windows -> Aestetics -> Heavy border around windows in light mode

Profiilid

<pre>
imreoolberg@Imres-MacBook-Air ~ % egrep -r wrx "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Command" : "ssh root@pve-wrx90e",
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Name" : "pve-wrx90e",
imreoolberg@Imres-MacBook-Air ~ % egrep -r svc "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
imreoolberg@Imres-MacBook-Air ~ % plutil -p ~/Library/Preferences/com.googlecode.iterm2.plist | grep -i "pve-svc-0"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-02"
</pre>

Tarkvara uuendamine

[[Fail:20260704-macos-01.png|900px]]

* ei toimu app store kaudu
* toimib rakenduse enda menüüst

===timemachine===

====Tööpõhimõte====

TODO

* võrgus failiserver
* võrgus avahi vms server
* macos süsteem

====Ettevalmistamine====

Väited

* tundub, et macos webgui kaudu ei õnnestu samba põhist tm lahendust ära seadistada, tuleb toimetada käsurealt (hüpotees on, et kuna cifs failisüsteemi monteerimisel Finder abil tekib .DS_Store vms faile automaatselt share peale, siis see eksitab tm lahendust

Samba serveri ettevalmistamine, Debian v. 12 (samba v. 4.17)

<pre>
# apt-get install --no-install-recommends samba
# apt-get install samba-vfs-modules

# cat /etc/samba/smb.conf
[global]
client min protocol = SMB3
client max protocol = SMB3
workgroup = MORAALCIFS
dns proxy = no
log file = /var/log/samba/log.%m
max log size = 1000
panic action = /usr/share/samba/panic-action %d
server role = standalone server

[timemachine]
path = /zpool_wdc/timemachine/
browsable =yes
writable = yes
guest ok = no
valid users = timemachine
smb encrypt = required
vfs objects = catia fruit streams_xattr
fruit:metadata = stream
fruit:resource = file
fruit:time machine = yes
fruit:time machine max size = 500G
</pre>

käivitamine

<pre>
# systemctl restart smbd
</pre>

Varundatava arvuti ettevalmistamine

<pre>
Imres-MacBook-Air:~ root# tmutil setdestination "smb://timemachine:parool@192.168.10.168/timemachine"
Imres-MacBook-Air:~ root# tmutil destinationinfo
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : 2E3ED96D-4626-4D55-BDD5-A0ED6CDDF973
</pre>

Varunduse käivitamine

<pre>
Imres-MacBook-Air:~ root# tmutil startbackup --auto
Imres-MacBook-Air:~ root# log stream --predicate 'process == "backupd"' --info
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 157Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 709 0 100% /dev
/dev/disk3s6 228Gi 20Ki 157Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 157Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 157Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 157Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 157Gi 2% 76 1.6G 0% /Volumes/Recovery
//timemachine@192.168.10.168/timemachine 500Gi 20Gi 480Gi 5% 21M 503M 4% /Volumes/.timemachine/192.168.10.168/CEF57214-AE85-44D1-86EB-D0D69E41EA1C/timemachine
/dev/disk5s1 15Ti 20Gi 480Gi 4% 383k 5.0G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
Imres-MacBook-Air:~ root#
</pre>

Tulemusena

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-015533.backup/2025-09-05-015533.backup
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# tmutil listlocalsnapshots /
Snapshots for volume group containing disk /:
com.apple.TimeMachine.2025-09-05-012346.local
com.apple.TimeMachine.2025-09-05-015510.local
com.apple.os.update-35F83766A7728F08A2DF1CFD45DF39CAB4C00F8C1A4A0DBECD314305426E5C549569F373D02B15DDC5C3E22E8E9D0A2F
com.apple.os.update-4278EFCBF37708F6ABE958C2E59447D754411B4697E4891DE3D58BC37F433306
com.apple.os.update-MSUPrepareUpdate
</pre>

====Kasutamine - süsteemi varundamine====

Time machine graafilise liidese peal, kui on kirjeldatud mitu time-machine varunduskohta, saab ühe peal hiire parema klõpsuga avada hüpikmenüü ja öelda, et käivitada varundus

[[Fail:20251109-timemachine-01.png|600px]]

====Kasutamine - üksiku faili taastamine====

TODO

====Kasutamine - süsteemi taastamine====

TODO

====Misc====

tm destinationinfo esitamine

<pre>
Imres-MacBook-Air:~ root# tmutil destinationinfo
> ==================================================
Name : volume-tm-backup-01
Kind : Local
Mount Point : /Volumes/volume-tm-backup-01 1
ID : B23C58B0-C5F1-4FE6-8CCE-B90B5FAA3C7A
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : ECA95A15-3033-460C-B928-46E809CC1C58
</pre>

korra time machine gui utiliidiga läbi browsitud taaste vaates (tundub, et siis ta nö monteerib külge jne), df

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 10Gi 99Gi 10% 427k 1.0G 0% /
devfs 219Ki 219Ki 0Bi 100% 758 0 100% /dev
/dev/disk3s6 228Gi 24Ki 99Gi 1% 0 1.0G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 13Gi 99Gi 12% 2.6k 1.0G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 7.5Mi 99Gi 1% 104 1.0G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 480Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 6.0Mi 480Mi 2% 38 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 3.6Mi 480Mi 1% 100 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 56Gi 99Gi 37% 696k 1.0G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk7s1 3.6Ti 5.9Gi 3.5Ti 1% 24 38G 0% /Volumes/PRO-G40
/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/volume-tm-backup-01
com.apple.TimeMachine.2025-09-19-012830.backup@/dev/disk7s3 3.6Ti 122Gi 3.5Ti 4% 541k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup
com.apple.TimeMachine.2025-11-09-213757.local@/dev/disk3s5 228Gi 55Gi 99Gi 36% 687k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-213757/Data
com.apple.TimeMachine.2025-11-09-213824.backup@/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup
com.apple.TimeMachine.2025-11-09-165402.backup@/dev/disk7s3 3.6Ti 140Gi 3.5Ti 4% 568k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup
com.apple.TimeMachine.2025-11-09-160153.local@/dev/disk3s5 228Gi 50Gi 99Gi 34% 711k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-160153/Data
//timemachine@192.168.10.168/timemachine 500Gi 71Gi 429Gi 15% 74M 450M 14% /Volumes/.timemachine/192.168.10.168/D4D414B7-3607-44F6-8151-4F53ECDEF964/timemachine
/dev/disk5s1 15Ti 44Gi 429Gi 10% 568k 4.5G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-11-09-162452.backup@/dev/disk5s1 15Ti 78Gi 429Gi 16% 568k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup
com.apple.TimeMachine.2025-09-05-014511.backup@/dev/disk5s1 15Ti 23Gi 429Gi 6% 500k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup
</pre>

samal ajal diskutil

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 11.3 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 11.3 GB disk3s1s1
3: APFS Volume Preboot 14.2 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 60.0 GB disk3s5
6: APFS Volume VM 24.6 KB disk3s6
7: APFS Volume macOS Restored - Data 40.1 GB disk3s7
8: APFS Volume macOS Restored 11.3 GB disk3s8

/dev/disk4 (disk image):
#: TYPE NAME SIZE IDENTIFIER
0: +16.0 TB disk4

/dev/disk5 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +16.0 TB disk5
Physical Store disk4
1: APFS Volume Backups of Imre’s Ma... 47.7 GB disk5s1

/dev/disk6 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *4.0 TB disk6
1: EFI EFI 209.7 MB disk6s1
2: Apple_APFS Container disk7 4.0 TB disk6s2

/dev/disk7 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +4.0 TB disk7
Physical Store disk6s2
1: APFS Volume PRO-G40 6.4 GB disk7s1
2: APFS Volume volume-tm-backup-01 152.3 GB disk7s3

Imres-MacBook-Air:~ root#
</pre>

kus

* võrgus samba põhise time-machine varundusele sünteesitakse vastav plokkseade /dev/disk4 ja omakorda /dev/disk5
* lokaalselt külge kinnitatud välisele sandisk-pro-g40 plokkseade on /dev/disk6 ja edasi on seal sünteesitud /dev/disk7 ning eriti /dev/disk7s3
* samba serveris on tm varunduse jaoks üks kataloog välja jagatud 16 TB suuremalt failisüsteemilt, st sellest siin väljundis 16 TB märge

üksiku tm ressursi kohta info küsimine

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/Backups\ of\ Imre’s\ MacBook\ Air
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup/2025-11-09-162452.backup

Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/volume-tm-backup-01
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup/2025-09-19-012830.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup/2025-11-09-165402.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup/2025-11-09-213824.backup
</pre>

===Storage===

Mõisted

* Seal
* Secure Enclave
* FileVault
* Volume Group

Tööpõhimõte

* füüsiline salvestusseade on jaotatud partitsioonideks
* partitsioonile vastab nn konteiner
* konteinerile vastab midagi lvm volume group või zfs pool laadset
* konteineris sisaldub hulk volume'eid
* volumile vastab failisüsteem (apfs - apple file system)
* sama konteineri sees asuvad failisüsteemid opereerivad sama jagatud vaba ruumi tingimustes

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 16.0 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 16.0 GB disk3s1s1
3: APFS Volume Preboot 13.1 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 45.9 GB disk3s5
6: APFS Volume VM 20.5 KB disk3s6
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 156Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 713 0 100% /dev
/dev/disk3s6 228Gi 20Ki 156Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 156Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 156Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 43Gi 156Gi 22% 582k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 156Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 156Gi 2% 76 1.6G 0% /Volumes/Recovery
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
com.apple.TimeMachine.2025-09-05-015510.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-015510/Data
</pre>

Juurika suhtes ressursid

<pre>
Imres-MacBook-Air:/ root# ls -lO /
total 10
lrwxr-xr-x 1 root admin - 36 Jan 15 2025 .VolumeIcon.icns -> System/Volumes/Data/.VolumeIcon.icns
---------- 1 root admin - 0 Jan 15 2025 .file
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .nofollow
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .resolve
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 .vol
drwxrwxr-x 16 root admin sunlnk 512 Sep 5 12:56 Applications
drwxr-xr-x 66 root wheel sunlnk 2112 Sep 3 21:05 Library
drwxr-xr-x@ 10 root wheel restricted 320 Jan 15 2025 System
drwxr-xr-x 5 root admin sunlnk 160 Sep 2 22:41 Users
drwxr-xr-x 6 root wheel hidden 192 Sep 7 11:57 Volumes
drwxr-xr-x@ 39 root wheel restricted,hidden 1248 Jan 15 2025 bin
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 cores
dr-xr-xr-x 4 root wheel hidden 5047 Sep 5 01:14 dev
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 etc -> private/etc
lrwxr-xr-x 1 root wheel hidden 25 Sep 5 01:14 home -> /System/Volumes/Data/home
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 opt
drwxr-xr-x 6 root wheel sunlnk,hidden 192 Sep 5 01:14 private
drwxr-xr-x@ 77 root wheel restricted,hidden 2464 Jan 15 2025 sbin
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 tmp -> private/tmp
drwxr-xr-x@ 11 root wheel restricted,hidden 352 Jan 15 2025 usr
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 var -> private/var
</pre>

kus

* sunlnk - apfs lahendusele iseloomulik nn sünteetline link (teine variatsioon on firmlink)
* /private sisuks on tegelikult volume /System/Volumes/Data
* / on unionfs laadne lahendus, st kokku on kogutud erinevad ressrussid, mõned on read-only, mõned on read-write
* / endale vastav /dev/disk3s1s1 on /dev/disk3s1 read-only apfs snapshot - sedasi on väga madalas kihis tagatud süsteemi osa immutability

ning

<pre>
Imres-MacBook-Air:~ root# diskutil apfs list
APFS Containers (3 found)
|
+-- Container disk3 71D88332-123F-4F15-99AA-FDD26D7118F7
====================================================
APFS Container Reference: disk3
Size (Capacity Ceiling): 245107195904 B (245.1 GB)
Capacity In Use By Volumes: 77898416128 B (77.9 GB) (31.8% used)
Capacity Not Allocated: 167208779776 B (167.2 GB) (68.2% free)
|
+-< Physical Store disk0s2 F202FF0C-8102-4C98-8DEA-BFC6BE9C61B4
| -----------------------------------------------------------
| APFS Physical Store Disk: disk0s2
| Size: 245107195904 B (245.1 GB)
|
+-> Volume disk3s1 9D894F4B-1ADA-47A9-9864-CECA47F5CC54
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s1 (System)
| Name: Macintosh HD (Case-insensitive)
| Mount Point: /System/Volumes/Update/mnt1
| Capacity Consumed: 15970652160 B (16.0 GB)
| Sealed: Broken
| FileVault: Yes (Unlocked)
| Encrypted: No
| |
| Snapshot: E4EE5A50-F503-4DC3-BB9E-6C3EF76A9105
| Snapshot Disk: disk3s1s1
| Snapshot Mount Point: /
| Snapshot Sealed: Yes
|
+-> Volume disk3s2 5C7FF5F7-C059-4568-879D-AEE09DB60CF7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s2 (Preboot)
| Name: Preboot (Case-insensitive)
| Mount Point: /System/Volumes/Preboot
| Capacity Consumed: 13066547200 B (13.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s3 8A6ADAED-7C32-4DFB-8731-005DA53BB3FF
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s3 (Recovery)
| Name: Recovery (Case-insensitive)
| Mount Point: /Volumes/Recovery
| Capacity Consumed: 2082414592 B (2.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s5 53270D80-303A-47F4-83DE-D2B9228E9FC7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s5 (Data)
| Name: Data (Case-insensitive)
| Mount Point: /System/Volumes/Data
| Capacity Consumed: 45915893760 B (45.9 GB)
| Sealed: No
| FileVault: Yes (Unlocked)
|
+-> Volume disk3s6 5B9AA026-E765-4922-BFEA-B48FD11A79C6
---------------------------------------------------
APFS Volume Disk (Role): disk3s6 (VM)
Name: VM (Case-insensitive)
Mount Point: /System/Volumes/VM
Capacity Consumed: 20480 B (20.5 KB)
Sealed: No
FileVault: No
</pre>

iostat esitab ainult füüsiliste seadmete kohta info, huvitaval kombel ka time machine lahendusele vastava seadme (disk4) oma

<pre>
imreoolberg@Imres-MacBook-Air ~ % iostat 5
disk0 disk4 cpu load average
KB/t tps MB/s KB/t tps MB/s us sy id 1m 5m 15m
17.03 37 0.61 52.37 0 0.00 3 1 96 1.12 1.52 1.63
6.17 7 0.04 0.00 0 0.00 2 1 97 1.11 1.51 1.63
4.00 2 0.01 0.00 0 0.00 1 1 98 1.11 1.51 1.63
...
</pre>

Automaatse monteerimise vältimine

<pre>
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored" | grep "Volume UUID"
Volume UUID: CB4A4A81-A9EE-471D-90CA-7A116C740AC6
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored - Data" | grep "Volume UUID"
Volume UUID: 6AB10166-A262-4E22-8FE6-0D5C97C731FB

Imres-MacBook-Air:~ root# vifs

Imres-MacBook-Air:~ root# cat /etc/fstab
#
# Warning - this file should only be modified with vifs(8)
#
# Failure to do so is unsupported and may be destructive.
#

UUID=6AB10166-A262-4E22-8FE6-0D5C97C731FB none apfs rw,noauto
UUID=CB4A4A81-A9EE-471D-90CA-7A116C740AC6 none apfs rw,noauto
</pre>

Vastasel korral süsteem otsib teiselt volume'ilt ka nt Applicationid üles

[[Fail:20250903-spotlight-01.png|600px]]

Kopeerimine failisüsteemis

<pre>
Imres-MacBook-Air:~ root# ditto /Applications/Yubico\ Authenticator.app/ /Users/imreoolberg/Documents/Yubico\ Authenticator.app/
</pre>

Finder GUI liidesega programm.

USB pulk abil apsf opereerimine, volume lisamine

<pre>
Imres-MacBook-Air:~ root# diskutil eraseDisk APFS "USBTEST" /dev/disk4

Imres-MacBook-Air:~ root# diskutil apfs unlockVolume /dev/disk5s4

Imres-MacBook-Air:~ root# diskutil apfs addVolume disk5 APFS volume-05
Will export new APFS Volume "volume-05" from APFS Container Reference disk5
Started APFS operation on disk5
Preparing to add APFS Volume to APFS Container disk5
Creating APFS Volume
Created new APFS Volume disk5s5
Mounting APFS Volume
Setting volume permissions
Disk from APFS operation: disk5s5
Finished APFS operation on disk5

Imres-MacBook-Air:~ root# diskutil unmount /dev/disk5s5
Volume volume-05 on disk5s5 unmounted
Imres-MacBook-Air:~ root# diskutil mount /dev/disk5s5
Volume volume-05 on /dev/disk5s5 mounted

Imres-MacBook-Air:~ root# diskutil apfs deleteVolume /dev/disk5s4
Started APFS operation
Deleting APFS Volume from its APFS Container
Unmounting disk5s4
Erasing any xART session referenced by 9AC9146E-455D-45BA-99EC-3FE32D2CE59B
Deleting Volume
Removing any Preboot and Recovery Directories
Finished APFS operation
</pre>

Konteinerid ja volume'id

<pre>
Imres-MacBook-Air:~ root# df -h | grep part- | sort
/dev/disk5s1 1.9Gi 1.0Mi 1.9Gi 1% 109 19M 0% /Volumes/part-01-volume-01
/dev/disk6s1 3.7Gi 1.0Mi 3.7Gi 1% 109 39M 0% /Volumes/part-02-volume-01
/dev/disk7s1 11Gi 1.0Mi 11Gi 1% 113 119M 0% /Volumes/part-03-volume-01
/dev/disk8s1 12Gi 992Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-01
/dev/disk8s2 12Gi 988Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-02
/dev/disk8s3 12Gi 1.0Mi 11Gi 1% 105 120M 0% /Volumes/part-04-volume-03
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# diskutil list disk4
/dev/disk4 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *30.8 GB disk4
1: EFI EFI 209.7 MB disk4s1
2: Apple_APFS Container disk5 2.0 GB disk4s2
3: Apple_APFS Container disk6 4.0 GB disk4s3
4: Apple_APFS Container disk7 12.2 GB disk4s4
5: Apple_APFS Container disk8 12.4 GB disk4s5
</pre>

kus

* füüsiline ketas on /dev/disk4
* füüsilise ketta partitsioonid on konteinerid /dev/disk5, /dev/disk6 jne
* konteinerite sees on volume'id, nt disk8 sees on kolm tükki, s1, s2 ja s3

ning

[[Fail:20250909-disk-utility-01.png|800px]]

kus

* TODO

Failide arhiveerime ja kopeerimine süsteemist välja

<pre>
imreoolberg@Imres-MacBook-Air ~ % ditto -ck --sequesterRsrc /Users/imreoolberg /Volumes/imre-data-01/users-imreoolberg.zip
</pre>

====TRIM====

<pre>
Imres-MacBook-Air:~ root# system_profiler SPNVMeDataType
NVMExpress:

Apple SSD Controller:

APPLE SSD AP0256Z:

Capacity: 251 GB (251,000,193,024 bytes)
TRIM Support: Yes
Model: APPLE SSD AP0256Z
Revision: 2,077.140
Serial Number: 0ba028eb8328ce39
Detachable Drive: No
BSD Name: disk0
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
iSCPreboot:
Capacity: 524.3 MB (524,288,000 bytes)
BSD Name: disk0s1
Content: Apple_APFS_ISC
Macintosh HD:
Capacity: 245.11 GB (245,107,195,904 bytes)
BSD Name: disk0s2
Content: Apple_APFS
Recovery:
Capacity: 5.37 GB (5,368,664,064 bytes)
BSD Name: disk0s3
Content: Apple_APFS_Recovery

Generic SSD Controller:

WD_BLACK SN850XE 4000GB:

Capacity: 4 TB (4,000,787,030,016 bytes)
TRIM Support: Yes
Model: WD_BLACK SN850XE 4000GB
Revision: 624131EX
Serial Number: 24525S801688
Link Width: x4
Link Speed: 8.0 GT/s
Detachable Drive: No
BSD Name: disk4
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
EFI:
Capacity: 209.7 MB (209,715,200 bytes)
File System: MS-DOS FAT32
BSD Name: disk4s1
Content: EFI
Volume UUID: 0E239BC6-F960-3107-89CF-1C97F78BB46B
PRO-G40:
Capacity: 4 TB (4,000,577,273,856 bytes)
BSD Name: disk4s2
Content: Apple_APFS
</pre>

kus

* TRIM Support: Yes - trim on nendel seadmetel asuvatel apfs failisüsteemidel võimalik ja kohal st sisselülitatud
* apfs trim on ext4 fstab 'discard' sarnane, mitte 'fstrim /' cron jobs abil ütlemise sarnane
* Model: APPLE SSD AP0256Z - '256' väljendab suurust 256 GB, nt teine mudel on AP1024Z ja väljendab suurust 1 TB

===Launchd kasutamine===

<pre>
Imres-MacBook-Air:/ root# cat /Library/LaunchDaemons/com.myname.addroute.plist
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key>
<string>com.myname.addroute</string>
<key>ProgramArguments</key>
<array>
<string>/sbin/route</string>
<string>-n</string>
<string>add</string>
<string>192.0.2.1/32</string>
<string>192.168.64.2</string>
</array>
<key>RunAtLoad</key>
<true/>
</dict>
</plist>
</pre>

käivitamiseks

<pre>
Imres-MacBook-Air:/ root# launchctl load /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

tulemusena

<pre>
Imres-MacBook-Air:/ root# netstat -nr | grep 192.0.
192.0.2.1/32 192.168.64.2 UGSc bridge100
</pre>

Ta on olemas globaalses launched listis

<pre>
Imres-MacBook-Air:/ root# launchctl list | grep myn
- 0 com.myname.addroute
</pre>

Põhimõtteliselt peaks töötama ka unload, aga antud juhul ei oma see toimet selle konkreetse nähtuse one-shot olemuse tõttu

<pre>
Imres-MacBook-Air:/ root# launchctl unload /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

====Cron====

TODO

<pre>
Imres-MacBook-Air:~ root# plutil -p /System/Library/LaunchDaemons/com.apple.tmp_cleaner.plist
{
"Label" => "com.apple.tmp_cleaner"
"LowPriorityIO" => 1
"Nice" => 1
"ProgramArguments" => [
0 => "/usr/libexec/tmp_cleaner"
]
"StartCalendarInterval" => {
"Hour" => 0
}
}
</pre>

===Virtualiseerimine - UTM===

Süsteemis kirjeldatud virtuaalsed arvutid

<pre>
Imres-MacBook-Air:/ root# /System/Volumes/Data/Applications/UTM.app/Contents/MacOS/utmctl list
UUID Status Name
DE2A3E49-B049-40F9-9D79-3C1448B446C9 started vm-deb13-01
</pre>

Virtuaalse arvuti virtuaalne plokkseade

<pre>
Imres-MacBook-Air:/ root# du -sh /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
5.9G /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
</pre>

Virtuaalsele arvutile vastav võrgundus

<pre>
Imres-MacBook-Air:/ root# ifconfig bridge100
bridge100: flags=8a63<UP,BROADCAST,SMART,RUNNING,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
options=3<RXCSUM,TXCSUM>
ether fa:73:df:a0:51:64
inet 192.168.64.1 netmask 0xffffff00 broadcast 192.168.64.255
inet6 fe80::f873:dfff:fea0:5164%bridge100 prefixlen 64 scopeid 0x19
inet6 fda5:2ff0:49ee:6d45:14d7:6e80:6b22:c592 prefixlen 64 autoconf secured
Configuration:
id 0:0:0:0:0:0 priority 0 hellotime 0 fwddelay 0
maxage 0 holdcnt 0 proto stp maxaddr 100 timeout 1200
root id 0:0:0:0:0:0 priority 0 ifcost 0 port 0
ipfilter disabled flags 0x0
member: vmenet0 flags=3<LEARNING,DISCOVER>
ifmaxaddr 0 port 24 priority 0 path cost 0
Address cache:
5e:7f:36:30:6b:51 Vlan1 vmenet0 1161 flags=0<>
nd6 options=201<PERFORMNUD,DAD>
media: autoselect
status: active

Imres-MacBook-Air:/ root# ifconfig vmenet0
vmenet0: flags=8963<UP,BROADCAST,SMART,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
ether b2:7a:48:40:de:47
media: autoselect
status: active
</pre>

===Virtualiseerimine - Virtualization.framework===

TODO

Väited

* Virtualization.framework kasutamine on võimalik UTM lahendusega
* Virtualization.framework'i kasutab Rancher Desktop lahendendus
* Virtualization.framework'i kasutab Claude Desktop lahendendus (Claude Cowork ja Claude Code puhul)

Virtuaalsetele arvutitele vastavad protsessid paistavad sellised

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep Virtuali
imreoolberg 9439 0.9 4.3 439637536 728784 ?? Ss 5:05PM 8:35.18 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
imreoolberg 2439 0.3 0.3 439691712 46720 ?? Ss 10:05AM 4:55.14 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 2439 -P -n | grep claudevm
com.apple 2439 imreoolberg txt REG 1,13 131072 124423025 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/efivars.fd
com.apple 2439 imreoolberg 6u REG 1,13 10737418240 124154442 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/rootfs.img
com.apple 2439 imreoolberg 11u REG 1,13 35880960 124155054 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/sessiondata.img
</pre>

Kasulikud lisamaterjalid

* https://developer.apple.com/documentation/virtualization?language=objc

===Võrk===

Vaikimisi on application firewall välja lülitatud

<pre>
Imres-MacBook-Air:~ root# /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is disabled. (State = 0)
</pre>

ning pfctl olukord

<pre>
Imres-MacBook-Air:~ root# pfctl -si
No ALTQ support in kernel
ALTQ related functions disabled
Status: Enabled for 0 days 00:05:41 Debug: Urgent

State Table Total Rate
current entries 113
searches 11661 34.2/s
inserts 370 1.1/s
removals 257 0.8/s
Counters
match 579 1.7/s
bad-offset 0 0.0/s

Imres-MacBook-Air:~ root# pfctl -ss
No ALTQ support in kernel
ALTQ related functions disabled
ALL tcp 192.168.134.76:57540 -> 192.168.10.77:8291 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61048 <- 104.18.39.21:443 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61225 -> 192.168.10.196:80 ESTABLISHED:ESTABLISHED
ALL udp 192.168.134.76:49898 -> 142.251.151.119:443 MULTIPLE:MULTIPLE
..
</pre>

Parasjagu avatud võrgusoketid

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4TCP -sTCP:LISTEN
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 8u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 12u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 36u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
launchd 1 root 38u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
ControlCe 632 imreoolberg 10u IPv4 0xde3561cefae81e29 0t0 TCP *:7000 (LISTEN)
ControlCe 632 imreoolberg 12u IPv4 0xbbbca5f5375388e5 0t0 TCP *:5000 (LISTEN)
rapportd 633 imreoolberg 10u IPv4 0x7505a25821d3a7df 0t0 TCP *:49152 (LISTEN)
zabbix_ag 6815 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
zabbix_ag 6816 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
...
</pre>

kus

* vaikimisi pfctl ei ole aktiivne, aga nt utm virtuaalse arvuti käivitamine aktiveerib (pfctl teeb utm arvutile src-nat teisendust
* pfctl laseb praktiliselt igasuguse liikluse läbi (nö tavaline brauser -> internet liiklus jms nö registreeritakse pfctl paketifiltriga, aga lubatakse läbi)
* 8021 on pfctl ftp-proxy mooduliga seotud
* 7000 ja 5000 pordid on seotud airdrop ja airport jms osakondadega (airport on vana aja nimetus everything-wifi kohta mac puhul)

Misc

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4UDP
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 7u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 8u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 39u IPv4 0x8d461240652f3ced 0t0 UDP *:138
launchd 1 root 40u IPv4 0xb4b96b1c5de038ec 0t0 UDP *:137
mDNSRespo 441 _mdnsresponder 6u IPv4 0x2d5727fb23b4e854 0t0 UDP *:5353
mDNSRespo 441 _mdnsresponder 14u IPv4 0x1ed59c3cb4235fee 0t0 UDP *:53
airportd 455 root 4u IPv4 0x6e0c4f2c444299c 0t0 UDP *:*
airportd 455 root 9u IPv6 0xea04c0f07ef2ac65 0t0 UDP *:*
airportd 455 root 11u IPv4 0xb4a853f1977e96bf 0t0 UDP *:*
airportd 455 root 12u IPv4 0x6e9d20d0d8a5c95f 0t0 UDP *:*
...
</pre>

====Riistvara====

Võrguliidese MTU muutmiseks

<pre>
imreoolberg@Imres-MacBook-Air ~ % networksetup -listallnetworkservices
An asterisk (*) denotes that a network service is disabled.
USB 10/100/1000 LAN
USB 10/100/1G/2.5G LAN
USB 10/100/1G/2.5G LAN 2
Thunderbolt Bridge
Wi-Fi

imreoolberg@Imres-MacBook-Air ~ % networksetup -getMTU Wi-Fi
Active MTU: 1500 (Current Setting: 1500)

# networksetup -setMTU Wi-Fi 1400
</pre>

====Ruuting====

ipv4 ruutingutabeli esitamine

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet
Routing tables

Internet:
Destination Gateway Flags Netif Expire
default 192.168.134.77 UGScg en0
127 127.0.0.1 UCS lo0
127.0.0.1 127.0.0.1 UH lo0
169.254 link#12 UCS en0 !
192.168.134 link#12 UCS en0 !
192.168.134.2/32 link#12 UCS en0 !
192.168.134.77/32 link#12 UCS en0 !
192.168.134.77 64:d1:54:a7:cc:99 UHLWIir en0 1199
192.168.134.255 ff:ff:ff:ff:ff:ff UHLWbI en0 !
224.0.0/4 link#12 UmCS en0 !
224.0.0.251 1:0:5e:0:0:fb UHmLWI en0
255.255.255.255/32 link#12 UCS en0 !
</pre>

====Võrk - bluetooth====

Kuigi 2025 aastal müüdavate Apple Magic Keyboard puhul paljuski väljendatakse, et nad on kasutatavad wireless režiimis ja jääb mulje, et ainult nii, siis osutub, et tegelikult neil on toiteks mõeldud usb kaabel usb siiski ka andmevahetuseks võimaline. non-radio kasutamiseks

* system setting - bluetooth osakonnas lülitada välja bluetooth terviklikult, näiteks
* klaviatuur jätkab töötamist

====Võrk - wireless====

<pre>
Imres-MacBook-Air:~ root# wdutil info | head -n 44
————————————————————————————————————————————————————————————————————
NETWORK
————————————————————————————————————————————————————————————————————
Primary IPv4 : en0 (Wi-Fi / 9B1345E5-7303-47E8-9C98-5C1D150E7921)
: 192.168.134.74
Primary IPv6 : None
DNS Addresses : 1.1.1.1
Apple : Reachable
————————————————————————————————————————————————————————————————————
WIFI
————————————————————————————————————————————————————————————————————
MAC Address : <redacted> (hw=<redacted>)
Interface Name : en0
Power : On [On]
Op Mode : STA
SSID : <redacted>
BSSID : <redacted>
RSSI : -83 dBm
CCA : 2 %
Noise : -94 dBm
Tx Rate : 65.0 Mbps
Security : WPA2 Personal
PHY Mode : 11ac
MCS Index : 1
Guard Interval : 400
NSS : 1
Channel : 5g36/80
Country Code : EE
Scan Cache Count : 3
NetworkServiceID : 9B1345E5-7303-47E8-9C98-5C1D150E7921
IPv4 Config Method : DHCP
IPv4 Address : 192.168.134.74
IPv4 Router : 192.168.134.77
IPv6 Config Method : Automatic
IPv6 Address : fe80::ccb:dc0f:9b07:4271
IPv6 Router : None
DNS : 1.1.1.1
BTC Mode : Off
Desense :
Chain Ack : []
BTC Profile 2.4GHz : Disabled
BTC Profile 5GHz : Disabled
Sniffer Supported : YES
Supports 6e : Yes
</pre>

kus

* alumiselt pildilt tunneb ära sama info, nt channel 5g36/80
* 11ac tähistab protokolli 802.11ac

Visuaalne kujutis samas olukorras

[[Fail:20260718-macos-wifi-01.png|1000px]]

kus

* TODO

====SSH kaugligipääs====

Eemalt ligipääsu võimaldamiseks, ei pruugi olla hea mõte

[[Fail:20260706-macos-ssh-remote-access-01.png|600px]]

kus

* Remote Login

===Tarkvara haldus===

====Mõisted====

* DMG - disk image

====Sissejuhatus====

Üldiselt tekib tarkvara macos süsteemi kolmest allikast

* süsteemne tarkvara - nö süsteemi enda paigaldamise tagajärel, nt Safari brauser
* App Store - apple.com standardne viis tarkvara levitada, nt Yubico Authenticator
* tootja levitab - igasugused huvilised, ausama ja vähem ausamad levitavad .dmg formaadis tõmmist oma veebikohas/repos/jms - nt BetterTouchTool

Tarkvara paigaldamisel võiks eelistada App Store lahendust võimalusel

* tarkvara on läbinud teatud turvalisuse jms kaanonitega seotud protseduurid
* paigaldamise järgne uuendamine toimub automaatselt, sarnaselt põhisüsteemi tarkvaraga

Rakenduste jaoks on üldiselt kolm asukohta failisüsteemis

* /System/Applications - read only
* /Applications - read write
* ~/Applications ehk nt /Users/imreoolberg/Applications - read write

~/Applications kataloogi on realistlik paigaldada nö lihtsat tarkvara, nt mis ei sisalda kernel extensioneid vms (nt OpenVPN ei saa, aga XCA saab). Paigaldamine toimub Finder gui liideses .dmg sees oleva .app kataloogi vedamise teel ~/Applications kataloogi või käsureal nt

$ ditto /Volumes/XCA/xca.app ~/Applications

====Tarkvara allikad====

TODO

Mitte-ametlikud registrid

* https://www.macupdate.com/
* https://www.apponic.com/mac/

====Tööpõhimõte - drag-and-drop install====

Tundub, et lihtsamal juhul tarkvara paigaldamine seisneb lihtsalt failide kopeerimises .dmg failist arvuti kataloogi /Applications. .dmg faili moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil create -ov -fs "APFS" -size 200m -volname "SimpleCalc" MyDisk.dmg
</pre>

monteerimine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil attach MyDisk.dmg
</pre>

Sisu moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % date > /Volumes/SimpleCalc/testfile.txt
</pre>

lahti ühendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil detach /Volumes/SimpleCalc
</pre>

teisendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil convert MyDisk.dmg -format UDZO -o SimpleCalc-1.0.dmg
</pre>

Kui on soov läbi proovida nö omatehtud .dmg ja elamus, siis sobib

* mingi olemasolev lihtne .app põhine rakendus võtta aluseks - nt xca rakendus
* tema sisu kopeerida omatehtud .dmg sisse
* lõpuks selle abil tarkvara paigaldada

Osutub, et kui Finderis öelda Open siis monteeritaks .dmg nagu virtuaalne failipõhine plokkseade, mille juurkataloogi sisuks on peamiselt kaks sissekannet

* link /Applications kataloogile
* xca.app kataloog rakendusega

Ja Open avab ka nö erilises vaates Finderi, kus on näha nö traditsiooniline hiirega drag-and-drop install vaade, tehniliselt toimub tavaline kataloog-kopeeritakse-kataloogi muudatus.

MacOS sellist drag viisil tehtud tarkvara paigalduse ei registreeri kuskil keskses tarkvara-registris vms. Selline tarkvara paigaldamine on tehniliselt kataloogi kopeerimine, millega kaasneb signatuuri kontroll jms administratiivne element.

====Tööpõhimõte - installer packages====

<pre>
$ pkgutil --packages
$ pkgutil --files paketinimi
</pre>

====Paigaldatud tarkvara nimekirja esitamine====

GUI

<pre>
System Settings -> General -> System report -> Software -> Applications -> not obtained-from Apple
</pre>

käsurealt

<pre>
imreoolberg@Imres-MacBook-Air ~ % system_profiler SPApplicationsDataType | grep -B 3 -A 5 "Identified De" | head -n 20
Google Chrome:

Version: 140.0.7339.81
Obtained from: Identified Developer
Last Modified: 30.08.2025, 01:47
Kind: Universal
Signed by: Developer ID Application: Google LLC (EQHXZ8M8AV), Developer ID Certification Authority, Apple Root CA
Location: /Applications/Google Chrome.app
Get Info String: Google Chrome 140.0.7339.81, Copyright 2025 Google LLC. All rights reserved.
--
iTerm:

Version: 3.5.14
Obtained from: Identified Developer
Last Modified: 16.05.2025, 02:59
Kind: Universal
Signed by: Developer ID Application: GEORGE NACHMAN (H7V7XYVQ7D), Developer ID Certification Authority, Apple Root CA
Location: /Applications/iTerm.app
Get Info String: 3.5.14
--
</pre>

Üks viis on küsida failisüsteemis

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep imreoo
drwxr-xr-x@ 3 imreoolberg staff 96 Sep 3 11:10 /Applications/BetterTouchTool.app
drwxrwxr-x@ 3 imreoolberg admin 96 Aug 30 01:47 /Applications/Google Chrome.app
drwxr-xr-x@ 3 imreoolberg staff 96 May 16 02:59 /Applications/iTerm.app
drwxr-xr-x@ 3 imreoolberg admin 96 Apr 8 08:11 /Applications/UTM.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 25 15:41 /Applications/Visual Studio Code.app

imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep qdigi
drwxr-xr-x@ 3 root wheel 96 Sep 8 16:56 /Applications/qdigidoc4.app
</pre>

kus

* sõltuvalt paigaldusviisist on faili omanik erinev
* põhimõtteliselt tekib sellisest lähenemisest probleeme, nt mis siis kui süsteemil on mitu kasutajat, installinud kasutaja eemaldatakse jne - üks viis on kasutada süsteemis ühte non-personal administraator kasutajat kes tegeleb tarkvara paigaldamisega jms, ja ülejäänud kasutavad tarkvara
* @ tähistab asjaolu, et failiga on seotud apfs failisüsteemi extended attributs omadused, nt registreeritakse sedasi autor

<pre>
imreoolberg@Imres-MacBook-Air ~ % xattr -p com.apple.appstore.vendor_name "/Applications/Yubico Authenticator.app"
Yubico
</pre>

====Paigaldamine - App Store====

TODO

[[Fail:20250908-app-store-yubico-authenticator-01.png|900px]]

kus

* pressida Get -> Install -> Open
* tarkvara 'Obtained from' väärtuseks on 'App store'
* online otsing - https://www.apple.com/us/search/yubico?src=globalnav

====Paigaldamine - tootja juurest kopeerides====

TODO

====Tarkvara uuendamine====

Väited

* tarkvara uuendusi ei väljastata kindlaksmääratud aegadel (nt nagu Ubuntu või OpenBSD puhul)
* tarkvara uuendusi väljastatakse mitmel korral aastas ja vastavalt vajadusele
* tarkvara uuendused jaotuvad: 1. turva-uuendused, 2. vigade parandused, 3. funktsionaalsed muudatused
* tarkvara uuendusi koheldatakse terviklikult, st ei ole eraldi nt süsteemi osas ja rakendustarkvara, või pakettide nimekiri, millest saab teha käesoleva uuenduse korra jaoks valiku

Nt 2025 aastal on olnud selline uuenduste ajalugu

* January 27: macOS Sequoia 15.3, macOS Sonoma 14.7.3, and macOS Ventura 13.7.3 were released with security patches.
* February 10: An urgent security update, macOS Sequoia 15.3.1, was released.
* March 11: macOS Sequoia 15.3.2 was released, addressing security vulnerabilities in WebKit.
* March 31: macOS Sequoia 15.4, macOS Sonoma 14.7.5, and macOS Ventura 13.7.5 were released.
* April 16: macOS Sequoia 15.4.1 was released, providing security patches.
* May 12: macOS Sequoia 15.5, macOS Sonoma 14.7.6, and macOS Ventura 13.7.6 were released.
* July 29: macOS Sequoia 15.6, macOS Sonoma 14.7.7, and macOS Ventura 13.7.7 were released.
* August 20: macOS Sequoia 15.6.1 was released with security updates.

Käsundamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % sw_vers
ProductName: macOS
ProductVersion: 15.3
BuildVersion: 24D2059

imreoolberg@Imres-MacBook-Air ~ % softwareupdate -l
Software Update Tool

Finding available software
Software Update found the following new or updated software:
* Label: macOS Sequoia 15.6.1-24G90
Title: macOS Sequoia 15.6.1, Version: 15.6.1, Size: 6160384KiB, Recommended: YES, Action: restart,
</pre>

====Tarkvara uuendamine - App Store====

App Store rakendus vasakus paneelis on kõige all valik

Updates

[[Fail:20251203-macos-app-store-updates-01.png|800px]]

===Logi===

TODO

Kui klaviatuuri ja hiire kasutamine olid ebastabiilsed, siis soovitas gemini.google midagi sellist küsida, ei tea mis siit järeldada

<pre>
imreoolberg@Imres-MacBook-Air ~ % log show --predicate 'process == "WindowServer"' --style syslog --last 40m| grep -i skyl | tail -n 10
2026-07-06 00:49:00.495406+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:00.600614+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.751674+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.767823+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.824865+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] pid 771 failed to act on a ping it dequeued before timing out.
2026-07-06 00:49:00.847454+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.083920+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.175320+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.498496+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:01.498503+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
</pre>

===Misc===

====Screen Lock====

Tundub, et caffeinate on hästi efektiivne

$ caffeinate -di

====Watchdog====

Väited

* hardware watchdog on paratamatult sisse lülitatud
* software watchdog on seaditatav, vaikimisi on sisse lülitatud

<pre>
TODO
</pre>

====Programm====

Käivitamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % open -a BetterTouchTool
imreoolberg@Imres-MacBook-Air ~ %

imreoolberg@Imres-MacBook-Air ~ % "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
13:09:53.164 [desktop.init] INFO: Logging initialized, outputting to stderr
13:09:53.173 [desktop.init] INFO: Window hidden on startup: false
13:09:53.174 [desktop.init] INFO: Starting Helper subprocess: /Applications/Yubico Authenticator.app/Contents/Resources/helper/authenticator-helper
13:09:53.175 [desktop.init] INFO: Helper process started
13:09:53.176 [main] INFO: Running Yubico Authenticator...
{app_version: 7.2.3, dart: 3.8.1 (stable) (Wed May 28 00:47:25 2025 -0700) on "macos_arm64", os: macos, os_version: Version 15.6.1 (Build 24G90)}
13:09:53.302 [helper.ykman.logging] INFO: Logging at level: INFO
13:09:53.302 [helper.helper.device] INFO: Log level set to: INFO
13:09:53.302 [desktop.init] INFO: Helper log level set
13:09:53.327 [desktop.devices] INFO: USB state change
{"data":{"state":5740354900026072187,"pids":{}},"actions":["get","scan"],"children":{}}
13:09:53.327 [desktop.devices] INFO: USB state updated, unaccounted for: {}
..
</pre>

edasi

<pre>
Imres-MacBook-Air:/ root# file "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator: Mach-O universal binary with 2 architectures: [x86_64:Mach-O 64-bit executable x86_64] [arm64:Mach-O 64-bit executable arm64]
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture x86_64): Mach-O 64-bit executable x86_64
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture arm64): Mach-O 64-bit executable arm64
Imres-MacBook-Air:/ root#
</pre>

<pre>
imreoolberg@Imres-MacBook-Air Documents % cat hello.c
#include <stdio.h>

int main() {
printf("Hello, World!\n");
return 0;
}
</pre>

kompileerimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % clang hello.c -o hello
</pre>

käivitamine

<pre>
imreoolberg@Imres-MacBook-Air Documents % ./hello
Hello, World!
</pre>

otool abil binary uurimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % otool -L hello
hello:
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1351.0.0)
</pre>

yubico authenticator binary uurimine

<pre>
Imres-MacBook-Air:/ root# otool -L "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture x86_64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture arm64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
</pre>

kus

* @rpath viitab rakenduse kapsli sisestele ressurssidele

====dtruss====

<pre>
Imres-MacBook-Air:/ root# dtruss -p 65630 2>&1 | tail -n 1

: probe description syscall:::entry does not match any probes. System Integrity Protection is on

imreoolberg@Imres-MacBook-Air Documents % dtruss ./hello
dtrace: system integrity protection is on, some features will not be available
dtrace: failed to initialize dtrace: DTrace requires additional privileges
</pre>

====Screenshot====

Tähistatud ala

<pre>
Command + Shift + 4
</pre>

Kogu ekraan

<pre>
Command + Shift + 3
</pre>

Screen cast

<pre>
Command + Shift + 5
</pre>

Vaikimisi asub pildistus iseloomuliku nimega failis desktopil.

===Süsteemi taastamine===

====Recovery meedia ettevalmistamine====

<pre>
Imres-MacBook-Air:/ root# diskutil eraseDisk JHFS+ "MyVolume" /dev/disk4
Started erase on disk4
Unmounting disk
Creating the partition map
Waiting for partitions to activate
Formatting disk4s2 as Mac OS Extended (Journaled) with name MyVolume
Initialized /dev/rdisk4s2 as a 28 GB case-insensitive HFS Plus volume with a 8192k journal
Mounting disk
Finished erase on disk4

Imres-MacBook-Air:/ root# /Applications/Install\ macOS\ Sequoia.app/Contents/Resources/createinstallmedia --volume /Volumes/MyVolume
Ready to start.
To continue we need to erase the volume at /Volumes/MyVolume.
If you wish to continue type (Y) then press return: y
Erasing disk: 0%... 10%... 20%... 30%... 100%
Copying essential files...
Copying the macOS RecoveryOS...
Making disk bootable...
Copying to disk: 0%... 10%... 20%... 30%... 40%... 50%... 60%... 70%... 80%... 90%... 100%
Install media now available at "/Volumes/Install macOS Sequoia"
Imres-MacBook-Air:/ root# echo $?
0

# diskutil unmount /Volumes/Install\ macOS\ Sequoia
</pre>

Protseduur

1. Create a New APFS Volume
The first step is to create a new, separate volume on your internal drive where you will restore the backup.

Boot from your USB installer by holding the Option key on startup.

In the macOS Utilities window, select Disk Utility and click Continue.

In Disk Utility, go to the menu bar and select View > Show All Devices.

In the sidebar, select the APFS container (the device, not the volume) that holds your current macOS installation.

Click the + button in the toolbar to add a new APFS volume.

Give the new volume a name (e.g., "macOS Restored") and click Add. This process is very fast as APFS volumes share the same free space.

Once the new volume appears in the sidebar, close Disk Utility.

2. Restore the Backup to the New Volume
Now that the new volume is ready, you can restore your Time Machine backup to it.

From the macOS Utilities window, select Restore From Time Machine Backup and click Continue.

Follow the on-screen instructions, selecting your Time Machine backup drive when prompted.

When the installer asks you to choose a destination disk, you will see your original macOS volume and the new "macOS Restored" volume you just created.

Select the new "macOS Restored" volume as the destination for the restoration. The installer will then proceed to restore the system to that specific volume only.

After the restoration is complete, you can restart your Mac and, by holding down the Option key, you will be able to choose between your original macOS system and the restored system on the second volume.

===homebrew===

<pre>
imre@imre-mac ~ % /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
==> Checking for `sudo` access (which may request your password)...
Password:
==> This script will install:
/opt/homebrew/bin/brew
/opt/homebrew/share/doc/homebrew
/opt/homebrew/share/man/man1/brew.1
/opt/homebrew/share/zsh/site-functions/_brew
/opt/homebrew/etc/bash_completion.d/brew
/opt/homebrew
/etc/paths.d/homebrew
==> The following new directories will be created:
/opt/homebrew/bin
/opt/homebrew/etc
/opt/homebrew/include
/opt/homebrew/lib
/opt/homebrew/sbin
/opt/homebrew/share
/opt/homebrew/var
/opt/homebrew/opt
/opt/homebrew/share/zsh
/opt/homebrew/share/zsh/site-functions
/opt/homebrew/var/homebrew
/opt/homebrew/var/homebrew/linked
/opt/homebrew/Cellar
/opt/homebrew/Caskroom
/opt/homebrew/Frameworks
==> The Xcode Command Line Tools will be installed.

Press RETURN/ENTER to continue or any other key to abort:
==> /usr/bin/sudo /usr/bin/install -d -o root -g wheel -m 0755 /opt/homebrew
==> /usr/bin/sudo /bin/mkdir -p /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod ug=rwx /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod go-w /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions
==> /usr/bin/sudo /usr/sbin/chown imre /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/bin/chgrp admin /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/sbin/chown -R imre:admin /opt/homebrew
==> Searching online for the Command Line Tools
==> /usr/bin/sudo /usr/bin/touch /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Installing Command Line Tools for Xcode-16.4
==> /usr/bin/sudo /usr/sbin/softwareupdate -i Command\ Line\ Tools\ for\ Xcode-16.4
Software Update Tool

Finding available software

Downloading Command Line Tools for Xcode

Downloaded Command Line Tools for Xcode
Installing Command Line Tools for Xcode
Done with Command Line Tools for Xcode
Done.
==> /usr/bin/sudo /usr/bin/xcode-select --switch /Library/Developer/CommandLineTools
Password:
Sorry, try again.
Password:
==> /usr/bin/sudo /bin/rm -f /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Downloading and installing Homebrew...
remote: Enumerating objects: 310493, done.
remote: Counting objects: 100% (16399/16399), done.
remote: Compressing objects: 100% (608/608), done.
remote: Total 310493 (delta 15991), reused 15838 (delta 15791), pack-reused 294094 (from 3)
remote: Enumerating objects: 55, done.
remote: Counting objects: 100% (34/34), done.
remote: Total 55 (delta 33), reused 33 (delta 33), pack-reused 21 (from 1)
==> /usr/bin/sudo /bin/mkdir -p /etc/paths.d
==> /usr/bin/sudo tee /etc/paths.d/homebrew
/opt/homebrew/bin
==> /usr/bin/sudo /usr/sbin/chown root:wheel /etc/paths.d/homebrew
==> /usr/bin/sudo /bin/chmod a+r /etc/paths.d/homebrew
==> Updating Homebrew...
==> Downloading https://ghcr.io/v2/homebrew/portable-ruby/portable-ruby/blobs/sha256:20fa657858e44a4b39171d6e4111f8a9716eb62a78ebbd1491d94f90bb7b830a
################################################################################################################################################################ 100.0%
==> Pouring portable-ruby-3.4.5.arm64_big_sur.bottle.tar.gz
==> Installation successful!

==> Homebrew has enabled anonymous aggregate formulae and cask analytics.
Read the analytics documentation (and how to opt-out) here:
https://docs.brew.sh/Analytics
No analytics data has been sent yet (nor will any be during this install run).

==> Homebrew is run entirely by unpaid volunteers. Please consider donating:
https://github.com/Homebrew/brew#donations

==> Next steps:
- Run these commands in your terminal to add Homebrew to your PATH:
echo >> /Users/imre/.zprofile
echo 'eval "$(/opt/homebrew/bin/brew shellenv)"' >> /Users/imre/.zprofile
eval "$(/opt/homebrew/bin/brew shellenv)"
- Run brew help to get started
- Further documentation:
https://docs.brew.sh

imre@imre-mac ~ %
</pre>

pyhton 3.13

<pre>
imre@imre-mac ti % brew install python@3.13
==> Fetching downloads for: python@3.13
==> Downloading https://ghcr.io/v2/homebrew/core/python/3.13/manifests/3.13.7
#################################################################################################################### 100.0%
==> Fetching dependencies for python@3.13: mpdecimal, ca-certificates, openssl@3, readline, sqlite and xz
==> Downloading https://ghcr.io/v2/homebrew/core/mpdecimal/manifests/4.0.1
#################################################################################################################### 100.0%
==> Fetching mpdecimal
...

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
==> Summary
🍺 /opt/homebrew/Cellar/python@3.13/3.13.7: 3,620 files, 66.6MB
==> Running `brew cleanup python@3.13`...
Disable this behaviour by setting `HOMEBREW_NO_INSTALL_CLEANUP=1`.
Hide these hints with `HOMEBREW_NO_ENV_HINTS=1` (see `man brew`).
==> No outdated dependents to upgrade!
==> Caveats
==> python@3.13
Python is installed as
/opt/homebrew/bin/python3

Unversioned symlinks `python`, `python-config`, `pip` etc. pointing to
`python3`, `python3-config`, `pip3` etc., respectively, are installed into
/opt/homebrew/opt/python@3.13/libexec/bin

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
imre@imre-mac ti %

(py_venv) imre@imre-mac ti % brew tap hashicorp/tap
==> Tapping hashicorp/tap
Cloning into '/opt/homebrew/Library/Taps/hashicorp/homebrew-tap'...
remote: Enumerating objects: 5818, done.
remote: Counting objects: 100% (1132/1132), done.
remote: Compressing objects: 100% (221/221), done.
remote: Total 5818 (delta 1015), reused 913 (delta 911), pack-reused 4686 (from 3)
Receiving objects: 100% (5818/5818), 1.01 MiB | 1.18 MiB/s, done.
Resolving deltas: 100% (4104/4104), done.
Tapped 2 casks and 32 formulae (93 files, 1.3MB).
(py_venv) imre@imre-mac ti % brew install hashicorp/tap/vault
</pre>

===Xcode Command Line Tools===

Xcide CLI koosseisu kuuluvad muu hulgas

* git
* clang
* gcc

Paigaldamiseks sobib öelda

<pre>
# xcode-select --install
</pre>

to check

<pre>
imreoolberg@Imres-MacBook-Air ~ % xcode-select -p
/Library/Developer/CommandLineTools
</pre>

===Spaces===

Väited

* Spaces võimaldab tegeleda macos peal virtuaalsete desktop'idega
* käitumist kontrollib üldiselt 'System Settings -> Desktop & Dock -> Displays have separate Spaces' väärtus (vaikimisi 'On')
* F3 klahv abil saab Spaces riba kuvada monitoride üleosas
* Space'i saab liigutada monitoride vahel hiirega tirides, v.a. aktiivset space'i
* Space'ide vahel saab liikuda Control + left/righ arrow key abil
* Rakendust saab liigutada space'ide vahel minnes nn Mission Control vaatesse ja siis hiirega rakenduse akent lohistades
* Space sulgemisel paigutatakse vastavad aknad eelmisele space'ile

===Kellaaeg===

Süsteemi aeg

<pre>
Imres-MacBook-Air:~ root# date
Sat Sep 13 23:36:17 EEST 2025
</pre>

NTP serverilt kellaaja küsimine

<pre>
Imres-MacBook-Air:~ root# sntp time.apple.com
+0.049514 +/- 0.014280 time.apple.com 17.253.38.35
</pre>

Väärtuse küsimine

<pre>
Imres-MacBook-Air:~ root# systemsetup -getnetworktimeserver
Network Time Server: time.euro.apple.com
</pre>

Väärtuse muutmine

<pre>
Imres-MacBook-Air:~ root# systemsetup -setnetworktimeserver time.euro.apple.com
</pre>

Logist kellaajaga seotud sündmuste kohta küsimine

<pre>
Imres-MacBook-Air:~ root# log stream --predicate 'subsystem == "com.apple.timed"
</pre>

Kas kellaaeg automaatne hoidmine on kasutuses

<pre>
Imres-MacBook-Air:~ root# systemsetup -getusingnetworktime
Network Time: On
</pre>

===BSD pärand===

<pre>
imreoolberg@Imres-MacBook-Air ~ % which openssl
/usr/bin/openssl
imreoolberg@Imres-MacBook-Air ~ % openssl version
LibreSSL 3.3.6

Imres-MacBook-Air:~ root# ssh -V
OpenSSH_9.9p2, LibreSSL 3.3.6

Imres-MacBook-Air:~ root# pfctl -v
No ALTQ support in kernel
ALTQ related functions disabled

Imres-MacBook-Air:~ root# netstat -nr -f inet
</pre>

Süsteemsete kasutajate nimed algavad alakriipsuga (nt sarnaselt toimib OpenBSD), nt timed (ntp local protsess) töötab kasutajana _timed

<pre>
Imres-MacBook-Air:~ root# ps aux | grep timed
_timed 373 0.0 0.0 426967056 4576 ?? Ss Tue02PM 0:03.41 /usr/libexec/timed
</pre>

/etc/passwd failis on palju nö legacy kasutajad mille nimi viitab nö klassikalisele lahendusele

<pre>
Imres-MacBook-Air:~ root# egrep "_postgres|_dovenull|_postfix|_avamis|_clamav|_cyrus|_mailman|_cvs|_mysql|_jabber|_ftp" /etc/passwd
_postfix:*:27:27:Postfix Mail Server:/var/spool/postfix:/usr/bin/false
_cvs:*:72:72:CVS Server:/var/empty:/usr/bin/false
_mysql:*:74:74:MySQL Server:/var/empty:/usr/bin/false
_cyrus:*:77:6:Cyrus Administrator:/var/imap:/usr/bin/false
_mailman:*:78:78:Mailman List Server:/var/empty:/usr/bin/false
_clamav:*:82:82:ClamAV Daemon:/var/virusmails:/usr/bin/false
_jabber:*:84:84:Jabber XMPP Server:/var/empty:/usr/bin/false
_ftp:*:98:-2:FTP Daemon:/var/empty:/usr/bin/false
_postgres:*:216:216:PostgreSQL Server:/var/empty:/usr/bin/false
_dovenull:*:227:227:Dovecot Authentication:/var/empty:/usr/bin/false
</pre>

===Süsteemi paigaldamine===

Eesmärk

* paigaldada töötav töökoha keskkond
* valmituda juhtumiks kui kasutaja parool kaob ja on vaja seda taastada (teha reset)

TODO

===Google Chrome brauser===

TODO

Google Chrome brauseril on lubatud kuvada ssh privaatset võtit, nt

file:///Users/imreoolberg/.ssh/id_ed25519

Analoogliselt on see lubatud Ubuntu 24.04 platvormil, aga nt OpenBSD puhul mitte (tänu unveil tehnoloogiale).

===GateKeeper===

Kui kopeerida internetist tarkvara nt .dmg kujul ja paigaldada, siis esimesel käivitamisel küsib süsteem, et kas ikka käivitada see internetist kopeeritud programm, küsimus ja vastusega tegelemine on seotud xattr parameetriga com.apple.quarantine

<pre>
Imres-MacBook-Air:~ root# xattr -p com.apple.quarantine /Applications/KeePassXC.app
0181;68c6f083;Chrome;AF698614-F806-4A2B-B66C-4B09CB133779
</pre>
ja
<pre>
# spctl
</pre>

ja

<pre>
Imres-MacBook-Air:~ root# sqlite3 /Users/imreoolberg/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2
SQLite version 3.43.2 2023-10-10 13:08:14
Enter ".help" for usage hints.

sqlite> .schema
CREATE TABLE LSQuarantineEvent ( LSQuarantineEventIdentifier TEXT PRIMARY KEY NOT NULL, LSQuarantineTimeStamp REAL, LSQuarantineAgentBundleIdentifier TEXT, LSQuarantineAgentName TEXT, LSQuarantineDataURLString TEXT, LSQuarantineSenderName TEXT, LSQuarantineSenderAddress TEXT, LSQuarantineTypeNumber INTEGER, LSQuarantineOriginTitle TEXT, LSQuarantineOriginURLString TEXT, LSQuarantineOriginAlias BLOB );
CREATE INDEX LSQuarantineEventIndex ON LSQuarantineEvent ( LSQuarantineEventIdentifier );
CREATE INDEX LSQuarantineTimeStampIndex ON LSQuarantineEvent ( LSQuarantineTimeStamp );

sqlite> select * from LSQuarantineEvent;
9446C9BF-45BE-49C7-8EBE-2F15796AC8C8|778543831.0|com.google.Chrome|Chrome||||0|||
BDC2404B-51CD-4561-B50B-97C0C4272BF4|778543831.0|com.google.Chrome|Chrome||||0|||
295142B0-B654-4691-9F45-774441058E9A|778543831.0|com.google.Chrome|Chrome||||0|||
E806F7A8-856B-4A57-ADD6-0FFC2CAEECCB|778543833.0|com.google.Chrome|Chrome||||0|||
</pre>

===Transparency, Consent, and Control (TCC)===

Esmakordsel käivitamisel küsitakse vahel kataloogide ja failide avamise õiguse kohta, sellega tegeleb TCC. Tulemus on paista nt

System Settings -> Privacy & Security -> KeePassXC -> xxx

<pre>
Imres-MacBook-Air:~ root# mdls -name kMDItemCFBundleIdentifier /Applications/KeePassXC.app
kMDItemCFBundleIdentifier = "org.keepassxc.keepassxc"
</pre>

ning eemaldamiseks

<pre>
Imres-MacBook-Air:~ root# tccutil reset All org.keepassxc.keepassxc
Successfully reset All approval status for org.keepassxc.keepassxc
</pre>

===Kasutajate haldamine===

Kasutaja tekitamiseks sobib

System Settings -> Users & Groups -> Add User -> ...

Teise kasutajana lisaks sisse logimiseks sobib kasutada

System Settings -> Control Center -> Fast User Switching -> ...

===Eesti id kaart===

TODO

Peale paigaldamist on

System Settings -> ID-updater

===Finder===

Finder programm on sarnane nö vana-aja Windows Explorer programmile või XFCE4 prorammile Thunar.

Vasaku sidebar ehk paneeli sisu muutmiseks sobib kasutada Finder -> Settings ja nt muuta nähtavaks kasutaja kodukataloog.

===XQuartz===

Väited

* X11 põhiste rakenduste töötamiseks vajalik tarkvara (nö linux traditsiooni juhtumiks)
* X2go töötamise eelduseks

===Locale===

MacOS on väga utf-8 keskne süsteem, graafiliste rakenduste ja käsurea osakonnas

<pre>
imreoolberg@Imres-MacBook-Air ~ % env | grep LANG
LANG=en_US.UTF-8

imreoolberg@Imres-MacBook-Air ~ % locale
LANG="en_US.UTF-8"
LC_COLLATE="en_US.UTF-8"
LC_CTYPE="en_US.UTF-8"
LC_MESSAGES="en_US.UTF-8"
LC_MONETARY="en_US.UTF-8"
LC_NUMERIC="en_US.UTF-8"
LC_TIME="en_US.UTF-8"
LC_ALL=
</pre>

Juhtimiseks sobib kasutada faili ~/.zshrc

===Mälu haldus===

Käesolevat mälukasutust saab jälgida Activity Monitor utiliidi abil

[[Fail:20250918-macos-memory-01.png|900px]]

kus

* physical memory - arvuti riistvaralise mälu hulk
* memory used - mälu hulk mida operatsioonisüteem moel või teisel aktiivsemalt/vähem-aktiivsemalt/jne kasutab
* swap used - plokkseadmele/failisüsteemi salvestatud/puhverdatud mälu sisu

Memory Used koosneb neljast osast

* app memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis on välja swapitav, kokku pakitav jms paindlik
* wired memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis ei ole välja swapitav, kokku pakitav jms paindlik
* cached files - apfs jt failisüsteemide cache, st mällu puhverdatud sisu (tõenäoliselt teeb lugemise oluliselt kiiremaks)
* kokku pakitud mälule vastav maht mis kulub pakitud sisu hoidmiseks (mis on pakitud kujul)

'Compressed' väärtus väljendab, milline kokkupakkimata maht õnnestus kokku pakkida.

Väited

* arvutis on 'available memory' maht 16.00 - 12.84 = 3.16 G mälu - st see on ressurss, mida saab süsteem kohe kasutada täiendavate vajaduste jaoks
* kokku pakitud kujul olevate andmete maht on 12.84 - 5.90 - 2.17 - 3.30 = 1.47
* kokku pakkkimise efektiivsus on 3.96/1.47 = 2.69 st peaaegu 3x
* kuigi süsteemis on vaba mälu, siis on süsteem otsustanud siiski 175.6 MB välja swappida, ju ta teab mis teeb, ja nii on olnud otstarbekas
* cached files maht on selline ressurss, mille saab süsteem kiiresti võtta uude kasutusse, st nt rakenduse koodi jaoks

Swap asub failisüsteemis kataloogis /private/var/vm.

===Yubico Authenticator===

====Tööpõhimõte====

Yubico tootja krüptoseadmed on hästi populaarsed ja korralikud, Eestis on ka nende kasutamine päris levinud

[[Fail:20260718-macos-yubico-01.png|700px]]

Füüsilise seadme haldamiseks on kasutada tarkvara 'Yubico Authenticator'

[[Fail:20260718-macos-yubico-02.png|600px]]

kus

* nime 'Authenticator' viitab justkui TOTP tüüpi rakendusele, tegelikult on see palju funktsionaalsem (FIDO2 saladuste haldamine, PIV saladuste haldamine jne)

====Paigaldamine====

Yubico Authenticator paigaldamine toimub nö tavalisel viisil Apple App Store abil, samuti edasine tarkvara uuendamine.

====Kasulikud lisamaterjalid====

* https://www.auul.pri.ee/wiki/Yubikey

===Yubikey===

TODO

Kui ssh kliendi kasutamisel tekib olukord

<pre>
... sign_and_send_pubkey: signing failed for ECDSA .. from agent: agent refused operation
</pre>

võib abistada

<pre>
% ssh-add -e /usr/local/lib/libykcs11.dylib
Card removed: /usr/local/lib/libykcs11.dylib

% ssh-add -s /usr/local/lib/libykcs11.dylib
Enter passphrase for PKCS#11:
Card added: /usr/local/lib/libykcs11.dylib

%
</pre>

===Apple riistvara-tarkvara ajalugu===

Küsimus chatgpt'le

'what operating system apple computers have used, please give timeline of cpu and operating system with mentioning whether is was single or two-mode privilege separation solution'

Vastus chatgpt'lt - eristatakse 6 ajastut

The Early Days (1976-1984)

* Computer: Apple I, Apple II series.
* CPU: MOS Technology 6502.
* Operating System: Apple DOS, ProDOS.
* Privilege Mode: Single-mode. The CPU and OS lacked a concept of privilege separation. All software, including the operating system, ran with full, unrestricted access to the hardware.

The Early Macintosh (1984-1987)

* Computer: Macintosh 128K, Macintosh Plus, Mac SE.
* CPU: Motorola 68000.
* Operating System: System Software (System 1.0 - 4.0).
* Privilege Mode: The CPU had a two-mode (Supervisor/User) architecture. However, the early Mac OS did not fully use it for memory protection. The OS was based on a cooperative multitasking model, and a buggy program could still crash the entire system.

The 32-bit Transition (1987-1994)

* Computer: Macintosh II series.
* CPU: Motorola 68020, 68030, 68040.
* Operating System: Mac OS (System 5.0 - 7.5).
* Privilege Mode: The CPUs were fully capable of two-mode operation. The OS began to use some of these features, but it was still not a truly protected-mode, preemptive multitasking system.

The PowerPC Era (1994-2006)

* Computer: Power Macintosh series.
* CPU: PowerPC 601, 603, G3, G4.
* Operating System: Mac OS 7.5 - Mac OS 9.
* Privilege Mode: The PowerPC was a modern two-mode RISC architecture with a robust privilege model. Despite the powerful hardware, the underlying Mac OS remained non-preemptive and lacked true memory protection between applications. This was a key reason why Apple chose to adopt a BSD-based foundation for its next-generation OS.

The Intel Era (2006-2020)

* Computer: MacBook, MacBook Pro, iMac, Mac Mini, Mac Pro (Intel models).
* CPU: Intel Core 2 Duo, Core i3/i5/i7/i9, Xeon (x86 architecture).
* Operating System: Mac OS X (versions 10.4 to 10.15), later renamed macOS (from 10.12 onward).
* Privilege Mode: Two-mode (Ring 0 for the kernel, Ring 3 for applications). This was a pivotal time for Apple, as their BSD-based Mac OS X was finally running on a CPU architecture with a robust, industry-standard privilege model. The operating system could now fully leverage preemptive multitasking and true memory protection, making the Mac far more stable and secure than in the previous eras.

The ARM Era (2020-Present)

* Computer: MacBook Air, MacBook Pro, iMac, Mac Mini (Apple Silicon models).
* CPU: Apple Silicon (M1, M2, M3, and so on), which are custom ARM-based processors.
* Operating System: macOS (starting with macOS 11 Big Sur).
* Privilege Mode: The ARM architecture uses a sophisticated multi-level privilege model. The OS runs in EL1 (Kernel Mode), while user applications run in EL0 (User Mode). The system also utilizes EL2 (Hypervisor Mode) for virtualization and security features. The transition to ARM allowed Apple to fully integrate hardware and software, creating a highly efficient platform where the CPU, GPU, and memory are on a single chip. The macOS operating system is built specifically to take advantage of this architecture and its robust privilege model.

===Apple Continuity===

Apple Continuity initsiatiiv võimaldab ühe appleid konto külge kinnitatud seadmete vahel teha koostööd, nt selliste seadmete ja tegevuste osas

* veebikaamera
* Universal Control - clipboard st kopi-paste üle seadmete (Synergy/Barrier/jms sarnane)
* rakenduste kasutamise jätkamine - nt brauser
* Contacts

Kasulikud lisamaterjalid

* https://www.apple.com/macos/continuity/

===Ansible===

export OBJC_DISABLE_INITIALIZE_FORK_SAFETY=YES

===vnc klient===

vnc kliendi kasutamise eelduseks on kuskil võrgus töötav ja ligipääsetav vnc server. MacOS operatsioonisüsteemiga tuleb kaasa vnc klient, kasutamiseks sobib käivitada programm Finder

Finder -> Go -> Go to server

ning sisestada lahtrisse nt

vnc://192.168.10.187:5901

===Mail - IMAP ja SMTP klient===

TODO

===DFU - Device Firmware Update===

====Mõisted====

* Revive - tegevuse tulemusena asendatakse arvuti tava-firmware ja restore partitsioon - macos operatsioonisüsteem ja kasutaja andmed säilivad
* Restore - tegevuse tulemusena asendatakse arvuti tava-firmware, restore partition jne sh macos operatsioonisüsteem - st kõik
* IPSW - iphone software - praktiliselt kõik moodsad seadmed, nt https://ipsw.me/

====Tööpõhimõte====

Väited

* DFU puudutab 'macos all oleva tava-firmware all olevat eri-firmware kihti
* erinevalt nö x86 riistvara lahendustest saab mac riistvara puhul kasutada kahte seadet komplektis - seadmed ühendatakse tavalise thunderbolt vms kaabliga ning seejärel üks seade võimaldab teist ravida kasutades Apple Configurator tarkvara
* Apple Configurator ei võimalda tegeleda selle sama arvuti riistvaraga millel ta töötab, ta võimaldab tegeleda selle arvuti riistvaraga, mis on ühendatud thunderbolt kaabliga

====Apple Configurator tarkvara kasutamine====

* Apple Configurator paigaldatakse tavalisel viisil AppStore platvormi abil

====Kasulikud lisamaterjalid====

* youtube kanal lapfix sisaldab saateid - https://www.youtube.com/@lapfix

===Windows remote desktop klient===

AppStore abil on kasutada tasuta tarkvara 'Windows App'.

[[Fail:20251119-macos-windows-app-01.jpg|700px]]

===WireGuard===

WireGuard vpn klienti saab paigaldada tavalisel viisil App Store keskkonna abil. Peale paigaldamist ja esmast käivitamist valides spotlight otsingus wireguard, tuleks ilmselt kirjaldada vpn ühendus wireguard nö serveriga ning pressides + nuppu

[[Fail:20251215-macos-wireguard-04.png|700px]]

ning

[[Fail:20251215-macos-wireguard-01.png|700px]]

Käivitatud st aktiivse vpn tunneli olek paistab selline

[[Fail:20251215-macos-wireguard-02.png|700px]]

ning üldises vpn ühenduste nimekirjas

[[Fail:20251215-macos-wireguard-03.png|700px]]

<pre>
Imres-MacBook-Air:~ root# ifconfig utun6
utun6: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1420
options=6460<TSO4,TSO6,CHANNEL_IO,PARTIAL_CSUM,ZEROINVERT_CSUM>
inet 10.168.112.68 --> 10.168.112.68 netmask 0xffffff00
</pre>

ning ruuting

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet | grep utun6
default link#22 UCSIg utun6
10.168.10.177/32 link#22 UCS utun6
10.168.112/24 10.168.112.68 UGSc utun6
10.168.112.68 10.168.112.68 UH utun6
192.168.112 link#22 UCS utun6
224.0.0/4 link#22 UmCSI utun6
255.255.255.255/32 link#22 UCSI utun6
</pre>

Tundub, et mingitel hetkedel wireguard klient nö ei allu eriti, siis võib olla abiks protsessi lõpetamine teminali aknas ning käivitamine 'open -a ..' abil

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i wireg
imreoolberg 757 0.0 0.4 435612624 63120 ?? S Wed12PM 0:01.19 /Applications/WireGuard.app/Contents/MacOS/WireGuard
imreoolberg 30026 0.0 0.0 435300208 1344 s014 S+ 5:10AM 0:00.01 grep -i wireg

imreoolberg@Imres-MacBook-Air ~ % killall WireGuard

imreoolberg@Imres-MacBook-Air ~ % open -a WireGuard
</pre>

vpn kasutamisel tuleb arvestada, et kui MacOS tulemüür ei ole sisselülitatud ja ei takista, siis saab vpn serveri poolelt pöörduda ka macos arvuti poole.

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_OpenBSD_kasutamine#Wireguard
* https://www.auul.pri.ee/wiki/MikroTik_RouterOS#WireGuard

===Eesti ID kaardi kasutamine===

Eesti ID kaardi tarkvara paistab esindatud nn System Settings vasakus paneelis

[[Fail:20251216-macos-software-01.png|700px]]

Ning App Store peal

[[Fail:20251203-macos-app-store-updates-02.png|700px]]

ning

System Report -> Software -> Applications

juures

[[Fail:20251216-macos-software-02.png|700px]]

Lisaks Eesti ID kaardi tarkvara paistab nö .pkg osakonnas esindatud

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -v ^com.apple
..
eu.web-eid.web-eid-chrome
ee.ria.open-eid
ee.ria.qdigidoc4
eu.web-eid.web-eid
eu.web-eid.web-eid-safari
ee.ria.ID-updater
...
</pre>

kusjuures konkreetsed versioonid on sellest pkgutil vaatest

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.5.0.1954
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.15.0
volume: /
location: /
install-time: 1757342106
</pre>

Kusjuures siit paistab vastuolu: pkgutil eistab nt paketi ee.ria.qdigidoc4 versiooniks 4.8.2 kuid muud 4.9.1. Kui küsida käsurealt teisiti versiooni

<pre>
Imres-MacBook-Air:~ root# defaults read /Applications/qdigidoc4.app/Contents/Info.plist CFBundleShortVersionString
4.9.1
</pre>

Ning programmi enda gui liides ütleb samuti versiooniks 4.9.1, lisaks tundub, et tegu on siiski sama tarkvara eksemplariga

<pre>
Imres-MacBook-Air:~ root# ps aux | grep qdigidoc4 | grep -v grep
imreoolberg 38841 0.0 0.4 436001936 63600 ?? S 4:19AM 0:01.45 /Applications/qdigidoc4.app/Contents/MacOS/qdigidoc4
</pre>

ning

[[Fail:20251216-macos-software-03.png|700px]]

====System Settings vasaku paneeli ID-updater kasutamine====

Peale System Settings vasaku paneeli ID-update kasutamist ja jaatavat vastamist vaikimisi valikutega

[[Fail:20251216-macos-eid-updater-01.png|700px]]

tessa

[[Fail:20251216-macos-eid-updater-02.png|700px]]

kossa

[[Fail:20251216-macos-eid-updater-03.png|700px]]

nessa

[[Fail:20251216-macos-eid-updater-04.png|700px]]

on tulemuseks

[[Fail:20251216-macos-eid-updater-05.png|700px]]

ning käsurealt küsides, st mõne komponendi versioon uuenes

* eu.web-eid.web-eid-chrome
* ee.ria.open-eid
* eu.web-eid.web-eid
* ee.ria.ID-updater

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.10.0.235
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.18.0
volume: /
location: /
install-time: 1765858910
</pre>

20260630 kogemus

[[Fail:20260630-macos-eid-updater-01.png|900px]]

kus

* tundub, et macos lähenemisele natuke iseloomulikult erinevad kohad kirjutavad versiooni uuenduse kohta erinevat infot

===Mikrotik Winbox===

Paistab, et alates winbox v. 4 on toetatud MacOS

[[Fail:20260330-macos-mikrotik-install-01.png|800px]]

kus

* .dmg on Finder peal 'Open with' -> 'Diskmounter' abil avatud (monteeritud)
* paigaldamiseks tuleb nihutada .dmg sees paistev nö ressurss Applications alla kõrvale avatud Finder programmis (tavaliselt on .dmg avatud image nö ristkülikus kaks ikooni, rakendus ja Application ja tuleb nihutada selle akna sees
* Finder vasakus paneelis on Windbox disk image lahti monteeritud

kasutamine paistab välja nii

[[Fail:20260311-mikrotik-winbox-4-01.png|800px]]

Andmefailid asuvad

<pre>
imreoolberg@Imres-MacBook-Air ~ % find ~/Library/Application\ Support/MikroTik/WinBox -type f -ls
105559824 8 -rw-r--r-- 1 imreoolberg staff 1998 Jun 3 23:34 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.78.cfg.viw2
119606360 16 -rw-r--r-- 1 imreoolberg staff 5126 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.77.cfg.viw2
..

105555588 8 -rw-r--r-- 1 imreoolberg staff 502 Jun 3 23:29 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/Addresses.cdb
119606359 8 -rw-r--r-- 1 imreoolberg staff 383 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/settings.cfg.viw2
</pre>

====WindBox 4.1 -> 4.2 uuendamine====

Winbox uuendamine toimub üsna manuaalselt

[[Fail:20260709-mikrotik-01.png|900px]]

kus

* tootja jagab .dmg faili
* see fail tuleb eraldi liigutusena kopeerida tootja veebikohast
* antud juhtum on hea näide kuidas MacOS Application kataloogi alamkataloogis asendab vana versiooni uuega

Kusjuures paigaldamise ajal midagi ei küsitud st privileegide saamiseks, tundub, et põhjusel kuna kataloog oli juba olemas ja kuulus kasutajale

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/*
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 29 2025 /Applications/balenaEtcher.app
drwxr-xr-x@ 3 imreoolberg staff 96 Jul 3 07:43 /Applications/BetterTouchTool.app
drwxr-xr-x 13 root staff 416 Jul 5 16:07 /Applications/DDPM
..
drwxr-xr-x@ 3 root wheel 96 Dec 3 2025 /Applications/web-eid-safari.app
drwxr-xr-x@ 3 root wheel 96 Jun 30 19:52 /Applications/WhatsApp.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 8 10:25 /Applications/WinBox.app
drwxr-xr-x@ 3 root wheel 96 Jul 4 19:44 /Applications/Windows App.app
drwxr-xr-x@ 3 root wheel 96 Dec 9 2025 /Applications/WireGuard.app
...
</pre>

kus

* sõltuvalt paigalduse viisist on kataloogil omanikuks kasutaja või root
* nt tundub, et app store ja pkgutil puhul on omanikuks root
* niisama kasutajana nö visuaalselt liigutades rakenduse Applications osakonda esmakordsel paigaldusel küsitakse täiendavalt privileegide kohta, ja seejärel enam mitte (st uuendamisel)

===MacOS virtualiseerimine===

TODO

===QR Journal===

TODO

===etcher===

TODO

===Rosetta paigaldamine===

<pre>
$ softwareupdate --install-rosetta
</pre>

===Dell U2725QE monitor===

Kuigi kõik niisamagi töötab, monitori tootja veebikohas on üsna huvitavat tarkvara

[[Fail:20260705-dell-macos-01.png|900px]]

kus

* DDPM - Dell Display and Peripherial Manager
* Monitor Firmware Update Utility

====DDPM====

Mõisted

* DDPM - Dell Display and Peripherial Manager

Peale allkopeerimist paistab .pkg pakenduses tarkvara

[[Fail:20260705-dell-macos-02.png|1100px]]

kus

* TODO

Paigaldamine paistab

[[Fail:20260705-dell-macos-03.png|500px]]

ja kasutamine

[[Fail:20260705-dell-macos-04.png|700px]]

* paistab midagi sellist nagu monitori enda peal füüsiliselt

====Dell U2725QE Monitor Firmware Update Utility====

Väited

* monitori firmware uuendmaine toimub üle arvuti ja monitori vahelise thunderbolt kaabli

Paigaldamine paistab selline .pkg pakett

[[Fail:20260705-dell-macos-05.png|600px]]

Firmware uuendamine toimub üle thunderbolt kaabli

[[Fail:20260705-dell-macos-06.png|700px]]

kus

* oluline mitte lasta monitori screen saverisse, power save'i jms - nt 'caffeinate -di' abil
* firmware versioon muutab M2T101 -> M2T102

====Kahe monitori kasutamine====

Osutub võimalikuks ühe MacBook Air arvutiga ühendada kaks Dell monitori nö tunderbolt mõttes järjestikuliselt

[[Fail:20260718-macos-dell-01.png|800px]]

ning

[[Fail:20260718-macos-dell-02.png|800px]]

kus

* TODO

Tegu ei ole Dell monitor daisy-chain tehnoloogiaga, sest daisy-chain töötab display protocol kihis, antud juhul toimub kontakt thunderbolt kihis.

===character terminal seadme kasutamine===

character teminal seadme kasutamine paistab nii, väga analoogne ubuntu ja debian operatsioonisüsteemiga

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i iterm2
imreoolberg 1112 11.2 1.8 436586496 306448 ?? S 6:11PM 3:08.34 /Applications/iTerm.app/Contents/MacOS/iTerm2
</pre>

ning iterm protsessis on pseudo-terminal master multiplexer seadmed

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1112 -P -n | grep ptmx
iTerm2 1112 imreoolberg 5u CHR 15,0 0t23863949 609 /dev/ptmx
iTerm2 1112 imreoolberg 44u CHR 15,1 0t1199 609 /dev/ptmx
iTerm2 1112 imreoolberg 45u CHR 15,2 0t204098 609 /dev/ptmx
</pre>

zsh shelli avatud terminaliga seotud

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep zsh
imreoolberg 1398 0.0 0.0 435312416 2784 s003 S 6:17PM 0:00.01 -zsh
imreoolberg 1380 0.0 0.0 435313360 3472 s002 S 6:17PM 0:00.11 -zsh
imreoolberg 1376 0.0 0.0 435308624 2672 s001 S 6:17PM 0:00.01 -zsh
imreoolberg 1115 0.0 0.0 435313184 2896 s000 S+ 6:11PM 0:00.06 -zsh
imreoolberg 2434 0.0 0.0 435299552 1392 s002 S+ 7:16PM 0:00.00 grep zsh

imreoolberg@Imres-MacBook-Air ~ % lsof -p 1376 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
zsh 1376 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
zsh 1376 imreoolberg txt REG 1,15 1361216 1152921500312571448 /bin/zsh
zsh 1376 imreoolberg txt REG 1,15 81288 1152921500312585080 /usr/share/locale/en_US.UTF-8/LC_COLLATE
zsh 1376 imreoolberg txt REG 1,15 118896 1152921500312574306 /usr/lib/zsh/5.9/zsh/terminfo.so
zsh 1376 imreoolberg txt REG 1,15 593088 1152921500312574312 /usr/lib/zsh/5.9/zsh/zle.so
zsh 1376 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
zsh 1376 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 1u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 10u CHR 16,1 0t683 733 /dev/ttys001
</pre>

ssh kliendis on

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1437 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
ssh 1437 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
ssh 1437 imreoolberg txt REG 1,15 1555472 1152921500312572845 /usr/bin/ssh
ssh 1437 imreoolberg txt REG 1,15 72984 121429580 /Library/Preferences/Logging/.plist-cache.a1S8PMuK
ssh 1437 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
ssh 1437 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 1u CHR 3,2 0t0 340 /dev/null
ssh 1437 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 3u IPv4 0x79fda12a4e8825b1 0t0 TCP 192.168.134.76:49197->192.168.10.166:22 (ESTABLISHED)
ssh 1437 imreoolberg 4u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 5u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 6u CHR 16,1 0t513 733 /dev/ttys001
</pre>

kus

* ilusti on paista järgnevus iterm2 -> zsh -> ssh

Selline pilt võiks

[[Fail:20260706-macos-char-01.png|800px]]

kus

* ptmx - pseudo-terminal master multiplexer
* ttys - teletypewriter slave
* console - füüsiline laptop graafilisse osakonda sisselogimise kohalolek
* Sun18 - kuna klassikaliselt on see tulp olnud max pikkusega 6 sümbolit, sellest selline notatsioon - kell 18, pühapäev

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_Debian_GNU/Linux_kasutamine#Seadmed_2

===Zabbix agent===

<pre>
imreoolberg@Imres-MacBook-Air ~ % sudo -i
Password:
Imres-MacBook-Air:~ root# file /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg: xar archive compressed TOC: 5108, SHA-1 checksum
</pre>

Misc

<pre>
imreoolberg@Imres-MacBook-Air ~ % installer -volinfo -pkg Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Volumes/PRO-G40
/Volumes/volume-tm-backup-01
/
</pre>

Paigaldamine

<pre>
Imres-MacBook-Air:~ root# installer -pkg /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg -target /
installer: Package name is Zabbix Agent
installer: Installing at base path /
installer: The install was successful.
</pre>

Tulemusena tekib süsteemi

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -i zabbix
com.zabbix.pkg.ZabbixAgent

Imres-MacBook-Air:~ root# pkgutil --files com.zabbix.pkg.ZabbixAgent
Library
Library/LaunchDaemons
Library/LaunchDaemons/com.zabbix.zabbix_agentd.plist
usr
usr/local
usr/local/bin
usr/local/bin/zabbix_get
usr/local/bin/zabbix_sender
usr/local/etc
usr/local/etc/zabbix
usr/local/etc/zabbix/zabbix_agentd
usr/local/etc/zabbix/zabbix_agentd/userparameter_examples.conf.NEW
usr/local/etc/zabbix/zabbix_agentd/userparameter_mysql.conf.NEW
usr/local/etc/zabbix/zabbix_agentd.conf.NEW
usr/local/sbin
usr/local/sbin/zabbix_agentd
</pre>

Seadistused

<pre>
Imres-MacBook-Air:~ root# egrep -v "^$|^#" /usr/local/etc/zabbix/zabbix_agentd.conf
LogFile=/var/log/zabbix/zabbix_agentd.log
Server=192.168.10.196
Hostname=macos-air.auul.pri.ee
</pre>

Tulemusena paistab vaikimisi Zabbix kaasa tuleva template abil selline pilt

[[Fail:20260706-macos-zabbix-01.png|1100px]]

kus

* võrreldes nt vaikimisi top utiliidi väljundiga, mis esitab muu hulgas andmeid cpu interruptide kohta, on zabbix esitus üsna tagasihoidlik

[[Fail:20260706-macos-zabbix-02.png|1400px]]

===Rancher desktop===

TODO

===scutil===

Osutub, et arvuti dhcp serveriga kohtumisele omandab lisaks ip aadressile jms võrguseadistusele ka uue hostname'i väärtuse, st mida vastab 'hostname' käsk kui kinnitatud uus dünaamiline ip address omab revers teisendust nimesüsteemis

<pre>
imreoolberg@orcl2-vip ~ % scutil --get LocalHostName
Imres-MacBook-Air
imreoolberg@orcl2-vip ~ % scutil --get ComputerName
Imre’s MacBook Air
imreoolberg@orcl2-vip ~ % scutil --get HostName
HostName: not set
</pre>

pinnimiseks sobib öelda

<pre>
orcl2-vip:~ root# scutil --set HostName "Imres-MacBook-Air"
</pre>

===Trash===

<pre>
imreoolberg@Imres-MacBook-Air ~ % du -sh .Trash
18G .Trash
</pre>

graafiliselt

[[Fail:20260729-macos-trash-01.png|600px]]

kus

* TODO

===Kasulikud lisamaterjalid===

* https://github.com/luchina-gabriel/OSX-PROXMOX
* https://www.apple.com/mac/compare/

MacOS operatsioonisüsteemi kasutamine füüsilise MacBook Air M4 arvutiga

2026-07-28T22:29:41Z

Imre: /* Trash */

===Sissejuhatus===

TODO

Apple system level innovations

* XNU hybrid kernel (Mach + BSD + I/O Kit).
* Read-only, sealed root filesystem.
* APFS (snapshots, sealing, native encryption).
* Secure Enclave (separate CPU/resources).
* Cryptographic boot chain (from Boot ROM → kernel → apps).
* System Integrity Protection (SIP).
* Gatekeeper & notarization.
* Launchd (unified service/daemon manager).
* Unified logging & tracing (dtrace, signpost).
* Rosetta + Universal binaries (smooth arch transitions).
* Quartz compositor + Core Animation (graphics pipeline).
* Metal API (low-level GPU abstraction).
* mälu pakkimine käigult (vt Activity Monitor -> Memory -> Bottom)

Misc

* Aqua - desktop visuaal
* Quartz - desktop mootor
* UTM - qemu-based virtulization
* AWDL (Apple Wireless Direct Link) - midagi Wifi-Direct laadset

Väited

* Apple lahendustele on iseloomulik, et sama it shop kontrolli all on nii riistvara kui tarkvara (põhimõtteliselt sarnane olukord nagu kunagi Sun sparc lahendustega)
* macos on pigem threaded orienteeritud lahendus (mitte process-is-single-thread) - märksõnad: Grand Central Dispatch, Operation Queues, Swift Concurrency)
* nn 'giant lock (https://en.wikipedia.org/wiki/Giant_lock)' probleem on macos puhul pigem praktiliselt lahendatud, ju see on sama millest openbsd vabastamisega tegeldakse, nt https://www.openbsd.org/76.html - 'Removed net lock from sysctl(8) net.inet.ip.forwarding, net.inet6.ip6.forwarding, net.inet6.ip6.redirect, net.inet.ip.directed-broadcast.'

===Riistvara===

TODO

* MacBook Air 13" M4 protsessoriga arvuti
* compute resource - 1. cpu (risc arm), 2. gpu, 3. secure enclave, 4. neural engine
* 16 G ddr5 non-ecc memory - kõik compute resource'id kasutavad sama mälu, st ühisest pool'ist võetakse kasutuseks, ja antakse tagasi jne
* kaks Dell U2725QE monitori
* kaks thunderbolt 4 kaablit
* Logitech nö 9 eurone pc hiir
* lai apple magic keyboard
* väline andmekandja - SanDisk PRO-G40, https://www.apple.com/shop/mac/accessories/storage?f=thunderbolt3&fh=3783%2B47f6&page=1
* port saver - https://www.delock.com/produkt/66433/merkmale.html
* arvuti puhul ei ole kohta nagu pc arvuti puhul on 'enter bios' või 'enter setup' - ainuke realistlik sisenemiskoht on hoides alla toite nuppu arvuti käivitumise ajal

Väited

* macbookpro, air jt on non-ecc mäluga; mac pro ja mac studio on ecc mäluga
* arvuti on ühendatud ühe monitoriga TB4 kaabli abil
* esimese monitoriga on ühendatud usb klaviatuur ja hiir
* arvuti võrk töötab wifi abil, aga saaks töötada ka monitori rj45 ethernet kaabliga (arvutisse saabub üle thunderbolt neli nö signaali: 1. usb klaviatuur ja hiir, 2. ethenet, 3. video, 4. toide)
* teine monitor on ühendatud esimesega teise TB4 kaabliga nn daisy-chain ühenduses
* tundub, et monitoride pilt on vastuvõetava kvaliteediga ka non-4k režiimis (nt 3008 x 1692)

<pre>
system_profiler SPHardwareDataType # CPU, memory, model
system_profiler SPDisplaysDataType # GPU / monitor info
system_profiler SPUSBDataType # USB controllers and devices
system_profiler SPThunderboltDataType # Thunderbolt controllers
system_profiler SPNetworkDataType # Network interfaces
</pre>

Näiteks

<pre>
Imres-MacBook-Air:~ root# system_profiler SPHardwareDataType
Hardware:

Hardware Overview:

Model Name: MacBook Air
Model Identifier: Mac16,12
Model Number: MW0W3KS/A
Chip: Apple M4
Total Number of Cores: 10 (4 performance and 6 efficiency)
Memory: 16 GB
System Firmware Version: 11881.81.2
OS Loader Version: 11881.81.2
Serial Number (system): KGHGX652VT
Hardware UUID: 27AE0C7C-DCC6-5F5C-A133-8F10726347EC
Provisioning UDID: 00008132-001A618E0121801C
Activation Lock Status: Enabled

Imres-MacBook-Air:~ root# system_profiler SPDisplaysDataType
Graphics/Displays:

Apple M4:

Chipset Model: Apple M4
Type: GPU
Bus: Built-In
Total Number of Cores: 8
Vendor: Apple (0x106b)
Metal Support: Metal 3
Displays:
Color LCD:
Display Type: Built-in Liquid Retina Display
Resolution: 2560 x 1664 Retina
Main Display: Yes
Mirror: Off
Online: Yes
Automatically Adjust Brightness: Yes
Connection Type: Internal
DELL U2725QE:
Resolution: 6016 x 3384
UI Looks like: 3008 x 1692 @ 120.00Hz
Mirror: Off
Online: Yes
Rotation: Supported
</pre>

====Neural Engine====

TODO

* On-device machine learning
* Siri's voice recognition
* Image analysis in Photos
* Real-time video processing in apps like FaceTime

====Misc OS====

* cpu instructions - toimuvad kernel -> cpu vahel
* syscalls - toimuvad rakendustarkvara -> kernel vahel
* ei ole user-space-syscall'isid - kõik syscallid on nö kernel-space-syscall'd ehk lihtsalt syscall'id
* macos ei ole real-time operating system
* macos puhul on realiseeritud preemtion st ka tundlike kerneli kihi tegevuste puhul on võimalik teha nö katkestusi-tagasipöördumisi
* ei ole sellist storage-io lahenduste mitmekesisust nagu on linux puhul (nt io-uring, libaio) - nimetatakse 'Dispatch I/O'
* ei ole sellist network-io lahenduste mitmekesisust nagu on linux puhul (nt dpdk) - nimetatakse 'Network Framework'
* dpdk, rdma jms puudub kuna macos puhul tegevused käivad läbi kernel selleks, et toimuv oleks maksimaalselt kontrolli all (toimub kernel by-pass)
* tcp-offload jms siiski on kasutusel - kernel kontrollib siis ikkagi toimivat piisavalt
* XNU kernel ei võimalda linux namespace ja cgroup laadseid nö isolatsioone - st naturaalselt ei ole olemas native macos konteinerindust (nagu on linux jaoks olemas docker või freebsd jaoks daemonless) - kui on vajalik conteinerindus, siis on lahenduseks kasutada konteineri ja xnu kerneli vahel lisa kihti - linux-arm64)

Palju on https://www.openbsd.org/innovations.html nimekirjast olemas macos puhul, kas otseselt või siis kontseptuaalselt, aga implementatsioon on macos juhtumile iseloomulik

* OpenBSD: retguard uses a unique XOR-based canary on a function's return address to prevent a specific type of buffer overflow attack (ROP).
* macOS: macOS does not have a feature called retguard. However, the same concept is implemented by Apple's Clang compiler. macOS has used stack canaries (or stack cookies) for years, which are values placed on the stack to detect if the return address has been overwritten. Both systems use different implementations to solve the same problem.
* OpenBSD: pledge is a security mechanism where a program "pledges" to only use a limited set of system calls. If it tries to make a syscall outside of its "pledge," the program is killed.
* macOS: macOS does not have a pledge equivalent. The concept is not present in the same form. Instead, macOS uses sandboxing, which is a more comprehensive and declarative security model. Sandboxing restricts an application's access to files, network connections, and system resources based on a detailed set of rules (called entitlements) defined in a profile, which is part of the application itself. It's a different, but arguably more powerful, approach to the same problem.
* OpenBSD: W^X is a fundamental security policy that ensures a memory page is either writable or executable, but not both.
* macOS: This concept is directly implemented and has been a core security feature of macOS for many years. It is an integral part of the kernel and is enforced on all applications, making it impossible for an attacker to write shellcode to a memory page and then execute it.
* OpenBSD has long been a pioneer in security, and its implementation of ASLR is a core part of its "secure by default" philosophy.
* macOS introduced ASLR in Mac OS X Leopard (10.5) and has since continuously improved and strengthened it with each new release. Today, ASLR on macOS is a mandatory security feature for all modern applications.
* OpenBSD relinking
* Randomizing per-process: Instead of a single, system-wide reordering at boot, dyld randomizes the base addresses of shared libraries for every single process that is launched.
* Using a shared cache: To speed up program loading, macOS bundles commonly used system libraries into a single large file called the dyld_shared_cache. The location of this entire cache in memory is randomized at boot, and all processes then use this randomized location.

====User mode vs Kernel mode====

Väited

* User mode ja Kernel mode on kaks erinevat protsessori olekut
* esimesel puhul käitub arvuti nagu nö loogiline-masin, teisel juhul nagu riistvaraline-masin
* kontseptuaalselt võiks ette kujutada, et arvutis on kaks protsessorit - üks on pidevalt füüsilises ja teine loogilises olekus
* loogilist laadi tegevusteks on nt protsessi mällu laaditud mälu abil andmete sorteerimine, st kõik tegevused on taandatud matemaatikaks
* füüsilist laadi tegevusteks on nt võrku andmete saatmine, või plokkseadmelt andmete lugemine

====Seadme draiver====

Ettekujutuseks on nvme storage seade. Selleks, et andmed jõuaksid füüsilise plokkseadme pealt ühe user-space protsessi mällu nt postgresql andmebaas, liiguvad andmed läbi sellistest lõikudest koosneva teekonna

<pre>
plokkseade
control plain peal toimuv käsu tulemusel -> plokkseadmega seostatud fragment arvuti rom mälust
-> cpu kopeerib andmed oma registrite abil user-space mällu
..
</pre>

====SanDisk PRO-G40====

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Thunderbolt 4 porti ühendatud seade paistab selline

[[Fail:20250916-imre-sandisk-pro-g40-01.png|900px]]

kus

* seadet koheldakse pcie siinile ühendatud nvme seadmena

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Non-Thuderbolt-USB-C porti ühendatud seade paistab selline

TODO

kus

* seadet koheldakse usb-storage ühendatud plokkseadmena

===Kasutajaliides===

====Magic Apple Keyboard====

klahvikombinatsioonid

* command + nool paremale/vasakule - tekstikursori viimine vastavalt rea lõppu või algusse
* command + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt rea lõppu või algusse
* command + shift + suurem/väiksem - mitme aknalise programmi akende vahel liikumine (nt iterm/terminal/chrome/safari)
* option + nool paremale/vasakule - tekstikursori viimine vastavalt järgmise või eelmise sõna juurde
* option + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt sõna edasi või tagasi
* command + tühik - spotlight otsingu avamine
* control + nool paremal/vasakule - järgmise virtuaalse desktop juurde liikumine (spaces)
* control + nool üles/esc - xxx vaate avamine (üleval on virtuaalsete desktopide riba)
* command + nool üles/alla - teksti algusse või lõppu liikumine (nt chrome brauseris)
* option + nool üles/alla - tekstis nö page-up-page-down võtta liikumine (nt chrome brauseris)

====Touchpad====

gestured

* kahe sõrmega üles-alla swipe - hiirega skrollimine
* kolme sõrmega vasakule-paremale swipe - virtuaalsete desktopide vahel liikumine

===alt-grab - BetterTouchTool (BTT)===

====Tööpõhimõte====

Tegevuse eesmärk on alt-grab kasutamine akna asukohta muutmiseks ja akna suuruse muutmiseks. Linux desktop (gnome, xfce4 jt) puhul paistab see olevat tavaline, et akna asukoha muutmiseks ei pea tingimata haarama hiire vasaku nupuga akna tiitelribast ja siis vedama; või akna suuruse muutmiseks haarama hiire vasaku nupuga täpselt nurgast või servast ja siis vedama. Piisab hoida vasakut alt klahvi all ja haarata kuskilt akna seest hiire vasaku nupuga ning vedada; või hoida vasakut alt klahivi all ja haarata akna seest nurga lähedusest hiire parema nupuga ning vedada.

====BTT kopeerimine ja paigaldamine====

Väited

* https://folivora.ai/
* tundub, et BTT on usaldusväärne tarkvara (nt https://www.macworld.com/article/551700/mac-gems-bettertouchtool-review.html)
* BetterTouchTool ei ole tasuta tarkvara
* BetterTouchTool ei ole kõige parem lahendus nn alt-drag jaoks, aga paistab, et paremat ka pole (ja tundub, et ei saa olla kuna MacOS nö sisemiselt eriti ei võimalda alt-drag laadi tegevusi)
* BTT abil saab akna suurust muuta ainult paremas alumises nurgas
* akent ei saa ekraanilt osaliselt välja suruda üles suunas (nt alla saab)
* tundub, et paigaldamisel antakse rakendusele rikkalikult privileege

====Seadistamine====

Tööpõhimõte

* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse down', millele vastab tegevus (action) 'Start Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse up', millele vastab tegevus 'Stop Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse down', millele vastab tegevus 'Start Resizing'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse up', millele vastab tegevus 'Stop Resizing'

alt-drag seadistamine paistab selliselt, rightclick triggeri ja vastava tegevuse (action) kirjeldamine, basic

[[Fail:20250903-btt-rightclick-01.png|1000px]]

kus

* valitud programmid on For All Apps st kirjeldatavad võimed tekivad kõigi programmide akendele
* valitud seade on Normal Mouse (mitte magic mouse)
* on valitud ka modifer - opt (magic keyboard klahv 'option')

ning advanced

[[Fail:20250903-btt-rightclick-02.png|1000px]]

kus

* Trigger Conditions - Trigger on Mouse Down (vaikimisi)

Analoogselt kirjeldatakse ülejäänud triggerid ja tegevused - seejuures tuleb kindlasti valida modifier, vastasel korral võib olla väga halb kasutuskogemus kuna hiire vasaku klahvi nö tavaline töö on häiritud).

====Kasutamine====

Kasutamine paistab välja natuke puudulikumalt kui linux desktop keskkonnas

* suurust saab muuta vaid alumist paremat nurka sisse või väljapoole surudes (linux all saab tegeleda igas nurgas)
* asukohta saab muuta kuid see mõjub fookuses olevale aknale (vahel on see üsna nö eba kogemus, et hiir on mitte fookuses oleva akna kohal ja kõrval oleva akna asukoht muutub)
* tegelemise ajal on aken nö täidetud (linux all saab valida kas aken paistab nö täidetuna või wireframe'ina)

====Kasulikud lisamaterjalid====

* https://community.folivora.ai/t/resize-window-on-modifier-right-mouse-button-press/41430

===iterm2===

iterm2 võimaldab muu hulgas

* akende arrangement ettevalmistusi - st akende avamist komplektidena, seejuures logitakse automaatselt serveritesse ssh abil sisse, näiteks
* profile abil värvikasutust kirjeldada (taust, tekst, esiletoodud (bold), allajoonitud tekst jms)

[[Fail:20260302-iterm2-01.png|700px]]

avades

iTerm2 -> Settings -> Profiles

kus

* esiletoodud tekst esitatakse roheliselt (seda esineb linux puhul nt top, 'systemctl status postfix' ja dmesg väljundis)

aknale kerge ääre näitamine

iTerm2 -> Settings -> Appearence -> Windows -> Aestetics -> Heavy border around windows in light mode

Profiilid

<pre>
imreoolberg@Imres-MacBook-Air ~ % egrep -r wrx "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Command" : "ssh root@pve-wrx90e",
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Name" : "pve-wrx90e",
imreoolberg@Imres-MacBook-Air ~ % egrep -r svc "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
imreoolberg@Imres-MacBook-Air ~ % plutil -p ~/Library/Preferences/com.googlecode.iterm2.plist | grep -i "pve-svc-0"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-02"
</pre>

Tarkvara uuendamine

[[Fail:20260704-macos-01.png|900px]]

* ei toimu app store kaudu
* toimib rakenduse enda menüüst

===timemachine===

====Tööpõhimõte====

TODO

* võrgus failiserver
* võrgus avahi vms server
* macos süsteem

====Ettevalmistamine====

Väited

* tundub, et macos webgui kaudu ei õnnestu samba põhist tm lahendust ära seadistada, tuleb toimetada käsurealt (hüpotees on, et kuna cifs failisüsteemi monteerimisel Finder abil tekib .DS_Store vms faile automaatselt share peale, siis see eksitab tm lahendust

Samba serveri ettevalmistamine, Debian v. 12 (samba v. 4.17)

<pre>
# apt-get install --no-install-recommends samba
# apt-get install samba-vfs-modules

# cat /etc/samba/smb.conf
[global]
client min protocol = SMB3
client max protocol = SMB3
workgroup = MORAALCIFS
dns proxy = no
log file = /var/log/samba/log.%m
max log size = 1000
panic action = /usr/share/samba/panic-action %d
server role = standalone server

[timemachine]
path = /zpool_wdc/timemachine/
browsable =yes
writable = yes
guest ok = no
valid users = timemachine
smb encrypt = required
vfs objects = catia fruit streams_xattr
fruit:metadata = stream
fruit:resource = file
fruit:time machine = yes
fruit:time machine max size = 500G
</pre>

käivitamine

<pre>
# systemctl restart smbd
</pre>

Varundatava arvuti ettevalmistamine

<pre>
Imres-MacBook-Air:~ root# tmutil setdestination "smb://timemachine:parool@192.168.10.168/timemachine"
Imres-MacBook-Air:~ root# tmutil destinationinfo
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : 2E3ED96D-4626-4D55-BDD5-A0ED6CDDF973
</pre>

Varunduse käivitamine

<pre>
Imres-MacBook-Air:~ root# tmutil startbackup --auto
Imres-MacBook-Air:~ root# log stream --predicate 'process == "backupd"' --info
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 157Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 709 0 100% /dev
/dev/disk3s6 228Gi 20Ki 157Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 157Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 157Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 157Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 157Gi 2% 76 1.6G 0% /Volumes/Recovery
//timemachine@192.168.10.168/timemachine 500Gi 20Gi 480Gi 5% 21M 503M 4% /Volumes/.timemachine/192.168.10.168/CEF57214-AE85-44D1-86EB-D0D69E41EA1C/timemachine
/dev/disk5s1 15Ti 20Gi 480Gi 4% 383k 5.0G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
Imres-MacBook-Air:~ root#
</pre>

Tulemusena

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-015533.backup/2025-09-05-015533.backup
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# tmutil listlocalsnapshots /
Snapshots for volume group containing disk /:
com.apple.TimeMachine.2025-09-05-012346.local
com.apple.TimeMachine.2025-09-05-015510.local
com.apple.os.update-35F83766A7728F08A2DF1CFD45DF39CAB4C00F8C1A4A0DBECD314305426E5C549569F373D02B15DDC5C3E22E8E9D0A2F
com.apple.os.update-4278EFCBF37708F6ABE958C2E59447D754411B4697E4891DE3D58BC37F433306
com.apple.os.update-MSUPrepareUpdate
</pre>

====Kasutamine - süsteemi varundamine====

Time machine graafilise liidese peal, kui on kirjeldatud mitu time-machine varunduskohta, saab ühe peal hiire parema klõpsuga avada hüpikmenüü ja öelda, et käivitada varundus

[[Fail:20251109-timemachine-01.png|600px]]

====Kasutamine - üksiku faili taastamine====

TODO

====Kasutamine - süsteemi taastamine====

TODO

====Misc====

tm destinationinfo esitamine

<pre>
Imres-MacBook-Air:~ root# tmutil destinationinfo
> ==================================================
Name : volume-tm-backup-01
Kind : Local
Mount Point : /Volumes/volume-tm-backup-01 1
ID : B23C58B0-C5F1-4FE6-8CCE-B90B5FAA3C7A
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : ECA95A15-3033-460C-B928-46E809CC1C58
</pre>

korra time machine gui utiliidiga läbi browsitud taaste vaates (tundub, et siis ta nö monteerib külge jne), df

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 10Gi 99Gi 10% 427k 1.0G 0% /
devfs 219Ki 219Ki 0Bi 100% 758 0 100% /dev
/dev/disk3s6 228Gi 24Ki 99Gi 1% 0 1.0G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 13Gi 99Gi 12% 2.6k 1.0G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 7.5Mi 99Gi 1% 104 1.0G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 480Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 6.0Mi 480Mi 2% 38 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 3.6Mi 480Mi 1% 100 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 56Gi 99Gi 37% 696k 1.0G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk7s1 3.6Ti 5.9Gi 3.5Ti 1% 24 38G 0% /Volumes/PRO-G40
/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/volume-tm-backup-01
com.apple.TimeMachine.2025-09-19-012830.backup@/dev/disk7s3 3.6Ti 122Gi 3.5Ti 4% 541k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup
com.apple.TimeMachine.2025-11-09-213757.local@/dev/disk3s5 228Gi 55Gi 99Gi 36% 687k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-213757/Data
com.apple.TimeMachine.2025-11-09-213824.backup@/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup
com.apple.TimeMachine.2025-11-09-165402.backup@/dev/disk7s3 3.6Ti 140Gi 3.5Ti 4% 568k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup
com.apple.TimeMachine.2025-11-09-160153.local@/dev/disk3s5 228Gi 50Gi 99Gi 34% 711k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-160153/Data
//timemachine@192.168.10.168/timemachine 500Gi 71Gi 429Gi 15% 74M 450M 14% /Volumes/.timemachine/192.168.10.168/D4D414B7-3607-44F6-8151-4F53ECDEF964/timemachine
/dev/disk5s1 15Ti 44Gi 429Gi 10% 568k 4.5G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-11-09-162452.backup@/dev/disk5s1 15Ti 78Gi 429Gi 16% 568k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup
com.apple.TimeMachine.2025-09-05-014511.backup@/dev/disk5s1 15Ti 23Gi 429Gi 6% 500k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup
</pre>

samal ajal diskutil

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 11.3 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 11.3 GB disk3s1s1
3: APFS Volume Preboot 14.2 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 60.0 GB disk3s5
6: APFS Volume VM 24.6 KB disk3s6
7: APFS Volume macOS Restored - Data 40.1 GB disk3s7
8: APFS Volume macOS Restored 11.3 GB disk3s8

/dev/disk4 (disk image):
#: TYPE NAME SIZE IDENTIFIER
0: +16.0 TB disk4

/dev/disk5 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +16.0 TB disk5
Physical Store disk4
1: APFS Volume Backups of Imre’s Ma... 47.7 GB disk5s1

/dev/disk6 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *4.0 TB disk6
1: EFI EFI 209.7 MB disk6s1
2: Apple_APFS Container disk7 4.0 TB disk6s2

/dev/disk7 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +4.0 TB disk7
Physical Store disk6s2
1: APFS Volume PRO-G40 6.4 GB disk7s1
2: APFS Volume volume-tm-backup-01 152.3 GB disk7s3

Imres-MacBook-Air:~ root#
</pre>

kus

* võrgus samba põhise time-machine varundusele sünteesitakse vastav plokkseade /dev/disk4 ja omakorda /dev/disk5
* lokaalselt külge kinnitatud välisele sandisk-pro-g40 plokkseade on /dev/disk6 ja edasi on seal sünteesitud /dev/disk7 ning eriti /dev/disk7s3
* samba serveris on tm varunduse jaoks üks kataloog välja jagatud 16 TB suuremalt failisüsteemilt, st sellest siin väljundis 16 TB märge

üksiku tm ressursi kohta info küsimine

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/Backups\ of\ Imre’s\ MacBook\ Air
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup/2025-11-09-162452.backup

Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/volume-tm-backup-01
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup/2025-09-19-012830.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup/2025-11-09-165402.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup/2025-11-09-213824.backup
</pre>

===Storage===

Mõisted

* Seal
* Secure Enclave
* FileVault
* Volume Group

Tööpõhimõte

* füüsiline salvestusseade on jaotatud partitsioonideks
* partitsioonile vastab nn konteiner
* konteinerile vastab midagi lvm volume group või zfs pool laadset
* konteineris sisaldub hulk volume'eid
* volumile vastab failisüsteem (apfs - apple file system)
* sama konteineri sees asuvad failisüsteemid opereerivad sama jagatud vaba ruumi tingimustes

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 16.0 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 16.0 GB disk3s1s1
3: APFS Volume Preboot 13.1 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 45.9 GB disk3s5
6: APFS Volume VM 20.5 KB disk3s6
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 156Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 713 0 100% /dev
/dev/disk3s6 228Gi 20Ki 156Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 156Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 156Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 43Gi 156Gi 22% 582k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 156Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 156Gi 2% 76 1.6G 0% /Volumes/Recovery
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
com.apple.TimeMachine.2025-09-05-015510.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-015510/Data
</pre>

Juurika suhtes ressursid

<pre>
Imres-MacBook-Air:/ root# ls -lO /
total 10
lrwxr-xr-x 1 root admin - 36 Jan 15 2025 .VolumeIcon.icns -> System/Volumes/Data/.VolumeIcon.icns
---------- 1 root admin - 0 Jan 15 2025 .file
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .nofollow
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .resolve
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 .vol
drwxrwxr-x 16 root admin sunlnk 512 Sep 5 12:56 Applications
drwxr-xr-x 66 root wheel sunlnk 2112 Sep 3 21:05 Library
drwxr-xr-x@ 10 root wheel restricted 320 Jan 15 2025 System
drwxr-xr-x 5 root admin sunlnk 160 Sep 2 22:41 Users
drwxr-xr-x 6 root wheel hidden 192 Sep 7 11:57 Volumes
drwxr-xr-x@ 39 root wheel restricted,hidden 1248 Jan 15 2025 bin
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 cores
dr-xr-xr-x 4 root wheel hidden 5047 Sep 5 01:14 dev
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 etc -> private/etc
lrwxr-xr-x 1 root wheel hidden 25 Sep 5 01:14 home -> /System/Volumes/Data/home
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 opt
drwxr-xr-x 6 root wheel sunlnk,hidden 192 Sep 5 01:14 private
drwxr-xr-x@ 77 root wheel restricted,hidden 2464 Jan 15 2025 sbin
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 tmp -> private/tmp
drwxr-xr-x@ 11 root wheel restricted,hidden 352 Jan 15 2025 usr
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 var -> private/var
</pre>

kus

* sunlnk - apfs lahendusele iseloomulik nn sünteetline link (teine variatsioon on firmlink)
* /private sisuks on tegelikult volume /System/Volumes/Data
* / on unionfs laadne lahendus, st kokku on kogutud erinevad ressrussid, mõned on read-only, mõned on read-write
* / endale vastav /dev/disk3s1s1 on /dev/disk3s1 read-only apfs snapshot - sedasi on väga madalas kihis tagatud süsteemi osa immutability

ning

<pre>
Imres-MacBook-Air:~ root# diskutil apfs list
APFS Containers (3 found)
|
+-- Container disk3 71D88332-123F-4F15-99AA-FDD26D7118F7
====================================================
APFS Container Reference: disk3
Size (Capacity Ceiling): 245107195904 B (245.1 GB)
Capacity In Use By Volumes: 77898416128 B (77.9 GB) (31.8% used)
Capacity Not Allocated: 167208779776 B (167.2 GB) (68.2% free)
|
+-< Physical Store disk0s2 F202FF0C-8102-4C98-8DEA-BFC6BE9C61B4
| -----------------------------------------------------------
| APFS Physical Store Disk: disk0s2
| Size: 245107195904 B (245.1 GB)
|
+-> Volume disk3s1 9D894F4B-1ADA-47A9-9864-CECA47F5CC54
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s1 (System)
| Name: Macintosh HD (Case-insensitive)
| Mount Point: /System/Volumes/Update/mnt1
| Capacity Consumed: 15970652160 B (16.0 GB)
| Sealed: Broken
| FileVault: Yes (Unlocked)
| Encrypted: No
| |
| Snapshot: E4EE5A50-F503-4DC3-BB9E-6C3EF76A9105
| Snapshot Disk: disk3s1s1
| Snapshot Mount Point: /
| Snapshot Sealed: Yes
|
+-> Volume disk3s2 5C7FF5F7-C059-4568-879D-AEE09DB60CF7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s2 (Preboot)
| Name: Preboot (Case-insensitive)
| Mount Point: /System/Volumes/Preboot
| Capacity Consumed: 13066547200 B (13.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s3 8A6ADAED-7C32-4DFB-8731-005DA53BB3FF
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s3 (Recovery)
| Name: Recovery (Case-insensitive)
| Mount Point: /Volumes/Recovery
| Capacity Consumed: 2082414592 B (2.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s5 53270D80-303A-47F4-83DE-D2B9228E9FC7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s5 (Data)
| Name: Data (Case-insensitive)
| Mount Point: /System/Volumes/Data
| Capacity Consumed: 45915893760 B (45.9 GB)
| Sealed: No
| FileVault: Yes (Unlocked)
|
+-> Volume disk3s6 5B9AA026-E765-4922-BFEA-B48FD11A79C6
---------------------------------------------------
APFS Volume Disk (Role): disk3s6 (VM)
Name: VM (Case-insensitive)
Mount Point: /System/Volumes/VM
Capacity Consumed: 20480 B (20.5 KB)
Sealed: No
FileVault: No
</pre>

iostat esitab ainult füüsiliste seadmete kohta info, huvitaval kombel ka time machine lahendusele vastava seadme (disk4) oma

<pre>
imreoolberg@Imres-MacBook-Air ~ % iostat 5
disk0 disk4 cpu load average
KB/t tps MB/s KB/t tps MB/s us sy id 1m 5m 15m
17.03 37 0.61 52.37 0 0.00 3 1 96 1.12 1.52 1.63
6.17 7 0.04 0.00 0 0.00 2 1 97 1.11 1.51 1.63
4.00 2 0.01 0.00 0 0.00 1 1 98 1.11 1.51 1.63
...
</pre>

Automaatse monteerimise vältimine

<pre>
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored" | grep "Volume UUID"
Volume UUID: CB4A4A81-A9EE-471D-90CA-7A116C740AC6
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored - Data" | grep "Volume UUID"
Volume UUID: 6AB10166-A262-4E22-8FE6-0D5C97C731FB

Imres-MacBook-Air:~ root# vifs

Imres-MacBook-Air:~ root# cat /etc/fstab
#
# Warning - this file should only be modified with vifs(8)
#
# Failure to do so is unsupported and may be destructive.
#

UUID=6AB10166-A262-4E22-8FE6-0D5C97C731FB none apfs rw,noauto
UUID=CB4A4A81-A9EE-471D-90CA-7A116C740AC6 none apfs rw,noauto
</pre>

Vastasel korral süsteem otsib teiselt volume'ilt ka nt Applicationid üles

[[Fail:20250903-spotlight-01.png|600px]]

Kopeerimine failisüsteemis

<pre>
Imres-MacBook-Air:~ root# ditto /Applications/Yubico\ Authenticator.app/ /Users/imreoolberg/Documents/Yubico\ Authenticator.app/
</pre>

Finder GUI liidesega programm.

USB pulk abil apsf opereerimine, volume lisamine

<pre>
Imres-MacBook-Air:~ root# diskutil eraseDisk APFS "USBTEST" /dev/disk4

Imres-MacBook-Air:~ root# diskutil apfs unlockVolume /dev/disk5s4

Imres-MacBook-Air:~ root# diskutil apfs addVolume disk5 APFS volume-05
Will export new APFS Volume "volume-05" from APFS Container Reference disk5
Started APFS operation on disk5
Preparing to add APFS Volume to APFS Container disk5
Creating APFS Volume
Created new APFS Volume disk5s5
Mounting APFS Volume
Setting volume permissions
Disk from APFS operation: disk5s5
Finished APFS operation on disk5

Imres-MacBook-Air:~ root# diskutil unmount /dev/disk5s5
Volume volume-05 on disk5s5 unmounted
Imres-MacBook-Air:~ root# diskutil mount /dev/disk5s5
Volume volume-05 on /dev/disk5s5 mounted

Imres-MacBook-Air:~ root# diskutil apfs deleteVolume /dev/disk5s4
Started APFS operation
Deleting APFS Volume from its APFS Container
Unmounting disk5s4
Erasing any xART session referenced by 9AC9146E-455D-45BA-99EC-3FE32D2CE59B
Deleting Volume
Removing any Preboot and Recovery Directories
Finished APFS operation
</pre>

Konteinerid ja volume'id

<pre>
Imres-MacBook-Air:~ root# df -h | grep part- | sort
/dev/disk5s1 1.9Gi 1.0Mi 1.9Gi 1% 109 19M 0% /Volumes/part-01-volume-01
/dev/disk6s1 3.7Gi 1.0Mi 3.7Gi 1% 109 39M 0% /Volumes/part-02-volume-01
/dev/disk7s1 11Gi 1.0Mi 11Gi 1% 113 119M 0% /Volumes/part-03-volume-01
/dev/disk8s1 12Gi 992Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-01
/dev/disk8s2 12Gi 988Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-02
/dev/disk8s3 12Gi 1.0Mi 11Gi 1% 105 120M 0% /Volumes/part-04-volume-03
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# diskutil list disk4
/dev/disk4 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *30.8 GB disk4
1: EFI EFI 209.7 MB disk4s1
2: Apple_APFS Container disk5 2.0 GB disk4s2
3: Apple_APFS Container disk6 4.0 GB disk4s3
4: Apple_APFS Container disk7 12.2 GB disk4s4
5: Apple_APFS Container disk8 12.4 GB disk4s5
</pre>

kus

* füüsiline ketas on /dev/disk4
* füüsilise ketta partitsioonid on konteinerid /dev/disk5, /dev/disk6 jne
* konteinerite sees on volume'id, nt disk8 sees on kolm tükki, s1, s2 ja s3

ning

[[Fail:20250909-disk-utility-01.png|800px]]

kus

* TODO

Failide arhiveerime ja kopeerimine süsteemist välja

<pre>
imreoolberg@Imres-MacBook-Air ~ % ditto -ck --sequesterRsrc /Users/imreoolberg /Volumes/imre-data-01/users-imreoolberg.zip
</pre>

====TRIM====

<pre>
Imres-MacBook-Air:~ root# system_profiler SPNVMeDataType
NVMExpress:

Apple SSD Controller:

APPLE SSD AP0256Z:

Capacity: 251 GB (251,000,193,024 bytes)
TRIM Support: Yes
Model: APPLE SSD AP0256Z
Revision: 2,077.140
Serial Number: 0ba028eb8328ce39
Detachable Drive: No
BSD Name: disk0
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
iSCPreboot:
Capacity: 524.3 MB (524,288,000 bytes)
BSD Name: disk0s1
Content: Apple_APFS_ISC
Macintosh HD:
Capacity: 245.11 GB (245,107,195,904 bytes)
BSD Name: disk0s2
Content: Apple_APFS
Recovery:
Capacity: 5.37 GB (5,368,664,064 bytes)
BSD Name: disk0s3
Content: Apple_APFS_Recovery

Generic SSD Controller:

WD_BLACK SN850XE 4000GB:

Capacity: 4 TB (4,000,787,030,016 bytes)
TRIM Support: Yes
Model: WD_BLACK SN850XE 4000GB
Revision: 624131EX
Serial Number: 24525S801688
Link Width: x4
Link Speed: 8.0 GT/s
Detachable Drive: No
BSD Name: disk4
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
EFI:
Capacity: 209.7 MB (209,715,200 bytes)
File System: MS-DOS FAT32
BSD Name: disk4s1
Content: EFI
Volume UUID: 0E239BC6-F960-3107-89CF-1C97F78BB46B
PRO-G40:
Capacity: 4 TB (4,000,577,273,856 bytes)
BSD Name: disk4s2
Content: Apple_APFS
</pre>

kus

* TRIM Support: Yes - trim on nendel seadmetel asuvatel apfs failisüsteemidel võimalik ja kohal st sisselülitatud
* apfs trim on ext4 fstab 'discard' sarnane, mitte 'fstrim /' cron jobs abil ütlemise sarnane
* Model: APPLE SSD AP0256Z - '256' väljendab suurust 256 GB, nt teine mudel on AP1024Z ja väljendab suurust 1 TB

===Launchd kasutamine===

<pre>
Imres-MacBook-Air:/ root# cat /Library/LaunchDaemons/com.myname.addroute.plist
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key>
<string>com.myname.addroute</string>
<key>ProgramArguments</key>
<array>
<string>/sbin/route</string>
<string>-n</string>
<string>add</string>
<string>192.0.2.1/32</string>
<string>192.168.64.2</string>
</array>
<key>RunAtLoad</key>
<true/>
</dict>
</plist>
</pre>

käivitamiseks

<pre>
Imres-MacBook-Air:/ root# launchctl load /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

tulemusena

<pre>
Imres-MacBook-Air:/ root# netstat -nr | grep 192.0.
192.0.2.1/32 192.168.64.2 UGSc bridge100
</pre>

Ta on olemas globaalses launched listis

<pre>
Imres-MacBook-Air:/ root# launchctl list | grep myn
- 0 com.myname.addroute
</pre>

Põhimõtteliselt peaks töötama ka unload, aga antud juhul ei oma see toimet selle konkreetse nähtuse one-shot olemuse tõttu

<pre>
Imres-MacBook-Air:/ root# launchctl unload /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

====Cron====

TODO

<pre>
Imres-MacBook-Air:~ root# plutil -p /System/Library/LaunchDaemons/com.apple.tmp_cleaner.plist
{
"Label" => "com.apple.tmp_cleaner"
"LowPriorityIO" => 1
"Nice" => 1
"ProgramArguments" => [
0 => "/usr/libexec/tmp_cleaner"
]
"StartCalendarInterval" => {
"Hour" => 0
}
}
</pre>

===Virtualiseerimine - UTM===

Süsteemis kirjeldatud virtuaalsed arvutid

<pre>
Imres-MacBook-Air:/ root# /System/Volumes/Data/Applications/UTM.app/Contents/MacOS/utmctl list
UUID Status Name
DE2A3E49-B049-40F9-9D79-3C1448B446C9 started vm-deb13-01
</pre>

Virtuaalse arvuti virtuaalne plokkseade

<pre>
Imres-MacBook-Air:/ root# du -sh /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
5.9G /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
</pre>

Virtuaalsele arvutile vastav võrgundus

<pre>
Imres-MacBook-Air:/ root# ifconfig bridge100
bridge100: flags=8a63<UP,BROADCAST,SMART,RUNNING,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
options=3<RXCSUM,TXCSUM>
ether fa:73:df:a0:51:64
inet 192.168.64.1 netmask 0xffffff00 broadcast 192.168.64.255
inet6 fe80::f873:dfff:fea0:5164%bridge100 prefixlen 64 scopeid 0x19
inet6 fda5:2ff0:49ee:6d45:14d7:6e80:6b22:c592 prefixlen 64 autoconf secured
Configuration:
id 0:0:0:0:0:0 priority 0 hellotime 0 fwddelay 0
maxage 0 holdcnt 0 proto stp maxaddr 100 timeout 1200
root id 0:0:0:0:0:0 priority 0 ifcost 0 port 0
ipfilter disabled flags 0x0
member: vmenet0 flags=3<LEARNING,DISCOVER>
ifmaxaddr 0 port 24 priority 0 path cost 0
Address cache:
5e:7f:36:30:6b:51 Vlan1 vmenet0 1161 flags=0<>
nd6 options=201<PERFORMNUD,DAD>
media: autoselect
status: active

Imres-MacBook-Air:/ root# ifconfig vmenet0
vmenet0: flags=8963<UP,BROADCAST,SMART,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
ether b2:7a:48:40:de:47
media: autoselect
status: active
</pre>

===Virtualiseerimine - Virtualization.framework===

TODO

Väited

* Virtualization.framework kasutamine on võimalik UTM lahendusega
* Virtualization.framework'i kasutab Rancher Desktop lahendendus
* Virtualization.framework'i kasutab Claude Desktop lahendendus (Claude Cowork ja Claude Code puhul)

Virtuaalsetele arvutitele vastavad protsessid paistavad sellised

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep Virtuali
imreoolberg 9439 0.9 4.3 439637536 728784 ?? Ss 5:05PM 8:35.18 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
imreoolberg 2439 0.3 0.3 439691712 46720 ?? Ss 10:05AM 4:55.14 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 2439 -P -n | grep claudevm
com.apple 2439 imreoolberg txt REG 1,13 131072 124423025 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/efivars.fd
com.apple 2439 imreoolberg 6u REG 1,13 10737418240 124154442 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/rootfs.img
com.apple 2439 imreoolberg 11u REG 1,13 35880960 124155054 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/sessiondata.img
</pre>

Kasulikud lisamaterjalid

* https://developer.apple.com/documentation/virtualization?language=objc

===Võrk===

Vaikimisi on application firewall välja lülitatud

<pre>
Imres-MacBook-Air:~ root# /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is disabled. (State = 0)
</pre>

ning pfctl olukord

<pre>
Imres-MacBook-Air:~ root# pfctl -si
No ALTQ support in kernel
ALTQ related functions disabled
Status: Enabled for 0 days 00:05:41 Debug: Urgent

State Table Total Rate
current entries 113
searches 11661 34.2/s
inserts 370 1.1/s
removals 257 0.8/s
Counters
match 579 1.7/s
bad-offset 0 0.0/s

Imres-MacBook-Air:~ root# pfctl -ss
No ALTQ support in kernel
ALTQ related functions disabled
ALL tcp 192.168.134.76:57540 -> 192.168.10.77:8291 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61048 <- 104.18.39.21:443 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61225 -> 192.168.10.196:80 ESTABLISHED:ESTABLISHED
ALL udp 192.168.134.76:49898 -> 142.251.151.119:443 MULTIPLE:MULTIPLE
..
</pre>

Parasjagu avatud võrgusoketid

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4TCP -sTCP:LISTEN
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 8u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 12u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 36u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
launchd 1 root 38u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
ControlCe 632 imreoolberg 10u IPv4 0xde3561cefae81e29 0t0 TCP *:7000 (LISTEN)
ControlCe 632 imreoolberg 12u IPv4 0xbbbca5f5375388e5 0t0 TCP *:5000 (LISTEN)
rapportd 633 imreoolberg 10u IPv4 0x7505a25821d3a7df 0t0 TCP *:49152 (LISTEN)
zabbix_ag 6815 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
zabbix_ag 6816 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
...
</pre>

kus

* vaikimisi pfctl ei ole aktiivne, aga nt utm virtuaalse arvuti käivitamine aktiveerib (pfctl teeb utm arvutile src-nat teisendust
* pfctl laseb praktiliselt igasuguse liikluse läbi (nö tavaline brauser -> internet liiklus jms nö registreeritakse pfctl paketifiltriga, aga lubatakse läbi)
* 8021 on pfctl ftp-proxy mooduliga seotud
* 7000 ja 5000 pordid on seotud airdrop ja airport jms osakondadega (airport on vana aja nimetus everything-wifi kohta mac puhul)

Misc

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4UDP
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 7u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 8u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 39u IPv4 0x8d461240652f3ced 0t0 UDP *:138
launchd 1 root 40u IPv4 0xb4b96b1c5de038ec 0t0 UDP *:137
mDNSRespo 441 _mdnsresponder 6u IPv4 0x2d5727fb23b4e854 0t0 UDP *:5353
mDNSRespo 441 _mdnsresponder 14u IPv4 0x1ed59c3cb4235fee 0t0 UDP *:53
airportd 455 root 4u IPv4 0x6e0c4f2c444299c 0t0 UDP *:*
airportd 455 root 9u IPv6 0xea04c0f07ef2ac65 0t0 UDP *:*
airportd 455 root 11u IPv4 0xb4a853f1977e96bf 0t0 UDP *:*
airportd 455 root 12u IPv4 0x6e9d20d0d8a5c95f 0t0 UDP *:*
...
</pre>

====Riistvara====

Võrguliidese MTU muutmiseks

<pre>
imreoolberg@Imres-MacBook-Air ~ % networksetup -listallnetworkservices
An asterisk (*) denotes that a network service is disabled.
USB 10/100/1000 LAN
USB 10/100/1G/2.5G LAN
USB 10/100/1G/2.5G LAN 2
Thunderbolt Bridge
Wi-Fi

imreoolberg@Imres-MacBook-Air ~ % networksetup -getMTU Wi-Fi
Active MTU: 1500 (Current Setting: 1500)

# networksetup -setMTU Wi-Fi 1400
</pre>

====Ruuting====

ipv4 ruutingutabeli esitamine

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet
Routing tables

Internet:
Destination Gateway Flags Netif Expire
default 192.168.134.77 UGScg en0
127 127.0.0.1 UCS lo0
127.0.0.1 127.0.0.1 UH lo0
169.254 link#12 UCS en0 !
192.168.134 link#12 UCS en0 !
192.168.134.2/32 link#12 UCS en0 !
192.168.134.77/32 link#12 UCS en0 !
192.168.134.77 64:d1:54:a7:cc:99 UHLWIir en0 1199
192.168.134.255 ff:ff:ff:ff:ff:ff UHLWbI en0 !
224.0.0/4 link#12 UmCS en0 !
224.0.0.251 1:0:5e:0:0:fb UHmLWI en0
255.255.255.255/32 link#12 UCS en0 !
</pre>

====Võrk - bluetooth====

Kuigi 2025 aastal müüdavate Apple Magic Keyboard puhul paljuski väljendatakse, et nad on kasutatavad wireless režiimis ja jääb mulje, et ainult nii, siis osutub, et tegelikult neil on toiteks mõeldud usb kaabel usb siiski ka andmevahetuseks võimaline. non-radio kasutamiseks

* system setting - bluetooth osakonnas lülitada välja bluetooth terviklikult, näiteks
* klaviatuur jätkab töötamist

====Võrk - wireless====

<pre>
Imres-MacBook-Air:~ root# wdutil info | head -n 44
————————————————————————————————————————————————————————————————————
NETWORK
————————————————————————————————————————————————————————————————————
Primary IPv4 : en0 (Wi-Fi / 9B1345E5-7303-47E8-9C98-5C1D150E7921)
: 192.168.134.74
Primary IPv6 : None
DNS Addresses : 1.1.1.1
Apple : Reachable
————————————————————————————————————————————————————————————————————
WIFI
————————————————————————————————————————————————————————————————————
MAC Address : <redacted> (hw=<redacted>)
Interface Name : en0
Power : On [On]
Op Mode : STA
SSID : <redacted>
BSSID : <redacted>
RSSI : -83 dBm
CCA : 2 %
Noise : -94 dBm
Tx Rate : 65.0 Mbps
Security : WPA2 Personal
PHY Mode : 11ac
MCS Index : 1
Guard Interval : 400
NSS : 1
Channel : 5g36/80
Country Code : EE
Scan Cache Count : 3
NetworkServiceID : 9B1345E5-7303-47E8-9C98-5C1D150E7921
IPv4 Config Method : DHCP
IPv4 Address : 192.168.134.74
IPv4 Router : 192.168.134.77
IPv6 Config Method : Automatic
IPv6 Address : fe80::ccb:dc0f:9b07:4271
IPv6 Router : None
DNS : 1.1.1.1
BTC Mode : Off
Desense :
Chain Ack : []
BTC Profile 2.4GHz : Disabled
BTC Profile 5GHz : Disabled
Sniffer Supported : YES
Supports 6e : Yes
</pre>

kus

* alumiselt pildilt tunneb ära sama info, nt channel 5g36/80
* 11ac tähistab protokolli 802.11ac

Visuaalne kujutis samas olukorras

[[Fail:20260718-macos-wifi-01.png|1000px]]

kus

* TODO

====SSH kaugligipääs====

Eemalt ligipääsu võimaldamiseks, ei pruugi olla hea mõte

[[Fail:20260706-macos-ssh-remote-access-01.png|600px]]

kus

* Remote Login

===Tarkvara haldus===

====Mõisted====

* DMG - disk image

====Sissejuhatus====

Üldiselt tekib tarkvara macos süsteemi kolmest allikast

* süsteemne tarkvara - nö süsteemi enda paigaldamise tagajärel, nt Safari brauser
* App Store - apple.com standardne viis tarkvara levitada, nt Yubico Authenticator
* tootja levitab - igasugused huvilised, ausama ja vähem ausamad levitavad .dmg formaadis tõmmist oma veebikohas/repos/jms - nt BetterTouchTool

Tarkvara paigaldamisel võiks eelistada App Store lahendust võimalusel

* tarkvara on läbinud teatud turvalisuse jms kaanonitega seotud protseduurid
* paigaldamise järgne uuendamine toimub automaatselt, sarnaselt põhisüsteemi tarkvaraga

Rakenduste jaoks on üldiselt kolm asukohta failisüsteemis

* /System/Applications - read only
* /Applications - read write
* ~/Applications ehk nt /Users/imreoolberg/Applications - read write

~/Applications kataloogi on realistlik paigaldada nö lihtsat tarkvara, nt mis ei sisalda kernel extensioneid vms (nt OpenVPN ei saa, aga XCA saab). Paigaldamine toimub Finder gui liideses .dmg sees oleva .app kataloogi vedamise teel ~/Applications kataloogi või käsureal nt

$ ditto /Volumes/XCA/xca.app ~/Applications

====Tarkvara allikad====

TODO

Mitte-ametlikud registrid

* https://www.macupdate.com/
* https://www.apponic.com/mac/

====Tööpõhimõte - drag-and-drop install====

Tundub, et lihtsamal juhul tarkvara paigaldamine seisneb lihtsalt failide kopeerimises .dmg failist arvuti kataloogi /Applications. .dmg faili moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil create -ov -fs "APFS" -size 200m -volname "SimpleCalc" MyDisk.dmg
</pre>

monteerimine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil attach MyDisk.dmg
</pre>

Sisu moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % date > /Volumes/SimpleCalc/testfile.txt
</pre>

lahti ühendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil detach /Volumes/SimpleCalc
</pre>

teisendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil convert MyDisk.dmg -format UDZO -o SimpleCalc-1.0.dmg
</pre>

Kui on soov läbi proovida nö omatehtud .dmg ja elamus, siis sobib

* mingi olemasolev lihtne .app põhine rakendus võtta aluseks - nt xca rakendus
* tema sisu kopeerida omatehtud .dmg sisse
* lõpuks selle abil tarkvara paigaldada

Osutub, et kui Finderis öelda Open siis monteeritaks .dmg nagu virtuaalne failipõhine plokkseade, mille juurkataloogi sisuks on peamiselt kaks sissekannet

* link /Applications kataloogile
* xca.app kataloog rakendusega

Ja Open avab ka nö erilises vaates Finderi, kus on näha nö traditsiooniline hiirega drag-and-drop install vaade, tehniliselt toimub tavaline kataloog-kopeeritakse-kataloogi muudatus.

MacOS sellist drag viisil tehtud tarkvara paigalduse ei registreeri kuskil keskses tarkvara-registris vms. Selline tarkvara paigaldamine on tehniliselt kataloogi kopeerimine, millega kaasneb signatuuri kontroll jms administratiivne element.

====Tööpõhimõte - installer packages====

<pre>
$ pkgutil --packages
$ pkgutil --files paketinimi
</pre>

====Paigaldatud tarkvara nimekirja esitamine====

GUI

<pre>
System Settings -> General -> System report -> Software -> Applications -> not obtained-from Apple
</pre>

käsurealt

<pre>
imreoolberg@Imres-MacBook-Air ~ % system_profiler SPApplicationsDataType | grep -B 3 -A 5 "Identified De" | head -n 20
Google Chrome:

Version: 140.0.7339.81
Obtained from: Identified Developer
Last Modified: 30.08.2025, 01:47
Kind: Universal
Signed by: Developer ID Application: Google LLC (EQHXZ8M8AV), Developer ID Certification Authority, Apple Root CA
Location: /Applications/Google Chrome.app
Get Info String: Google Chrome 140.0.7339.81, Copyright 2025 Google LLC. All rights reserved.
--
iTerm:

Version: 3.5.14
Obtained from: Identified Developer
Last Modified: 16.05.2025, 02:59
Kind: Universal
Signed by: Developer ID Application: GEORGE NACHMAN (H7V7XYVQ7D), Developer ID Certification Authority, Apple Root CA
Location: /Applications/iTerm.app
Get Info String: 3.5.14
--
</pre>

Üks viis on küsida failisüsteemis

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep imreoo
drwxr-xr-x@ 3 imreoolberg staff 96 Sep 3 11:10 /Applications/BetterTouchTool.app
drwxrwxr-x@ 3 imreoolberg admin 96 Aug 30 01:47 /Applications/Google Chrome.app
drwxr-xr-x@ 3 imreoolberg staff 96 May 16 02:59 /Applications/iTerm.app
drwxr-xr-x@ 3 imreoolberg admin 96 Apr 8 08:11 /Applications/UTM.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 25 15:41 /Applications/Visual Studio Code.app

imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep qdigi
drwxr-xr-x@ 3 root wheel 96 Sep 8 16:56 /Applications/qdigidoc4.app
</pre>

kus

* sõltuvalt paigaldusviisist on faili omanik erinev
* põhimõtteliselt tekib sellisest lähenemisest probleeme, nt mis siis kui süsteemil on mitu kasutajat, installinud kasutaja eemaldatakse jne - üks viis on kasutada süsteemis ühte non-personal administraator kasutajat kes tegeleb tarkvara paigaldamisega jms, ja ülejäänud kasutavad tarkvara
* @ tähistab asjaolu, et failiga on seotud apfs failisüsteemi extended attributs omadused, nt registreeritakse sedasi autor

<pre>
imreoolberg@Imres-MacBook-Air ~ % xattr -p com.apple.appstore.vendor_name "/Applications/Yubico Authenticator.app"
Yubico
</pre>

====Paigaldamine - App Store====

TODO

[[Fail:20250908-app-store-yubico-authenticator-01.png|900px]]

kus

* pressida Get -> Install -> Open
* tarkvara 'Obtained from' väärtuseks on 'App store'
* online otsing - https://www.apple.com/us/search/yubico?src=globalnav

====Paigaldamine - tootja juurest kopeerides====

TODO

====Tarkvara uuendamine====

Väited

* tarkvara uuendusi ei väljastata kindlaksmääratud aegadel (nt nagu Ubuntu või OpenBSD puhul)
* tarkvara uuendusi väljastatakse mitmel korral aastas ja vastavalt vajadusele
* tarkvara uuendused jaotuvad: 1. turva-uuendused, 2. vigade parandused, 3. funktsionaalsed muudatused
* tarkvara uuendusi koheldatakse terviklikult, st ei ole eraldi nt süsteemi osas ja rakendustarkvara, või pakettide nimekiri, millest saab teha käesoleva uuenduse korra jaoks valiku

Nt 2025 aastal on olnud selline uuenduste ajalugu

* January 27: macOS Sequoia 15.3, macOS Sonoma 14.7.3, and macOS Ventura 13.7.3 were released with security patches.
* February 10: An urgent security update, macOS Sequoia 15.3.1, was released.
* March 11: macOS Sequoia 15.3.2 was released, addressing security vulnerabilities in WebKit.
* March 31: macOS Sequoia 15.4, macOS Sonoma 14.7.5, and macOS Ventura 13.7.5 were released.
* April 16: macOS Sequoia 15.4.1 was released, providing security patches.
* May 12: macOS Sequoia 15.5, macOS Sonoma 14.7.6, and macOS Ventura 13.7.6 were released.
* July 29: macOS Sequoia 15.6, macOS Sonoma 14.7.7, and macOS Ventura 13.7.7 were released.
* August 20: macOS Sequoia 15.6.1 was released with security updates.

Käsundamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % sw_vers
ProductName: macOS
ProductVersion: 15.3
BuildVersion: 24D2059

imreoolberg@Imres-MacBook-Air ~ % softwareupdate -l
Software Update Tool

Finding available software
Software Update found the following new or updated software:
* Label: macOS Sequoia 15.6.1-24G90
Title: macOS Sequoia 15.6.1, Version: 15.6.1, Size: 6160384KiB, Recommended: YES, Action: restart,
</pre>

====Tarkvara uuendamine - App Store====

App Store rakendus vasakus paneelis on kõige all valik

Updates

[[Fail:20251203-macos-app-store-updates-01.png|800px]]

===Logi===

TODO

Kui klaviatuuri ja hiire kasutamine olid ebastabiilsed, siis soovitas gemini.google midagi sellist küsida, ei tea mis siit järeldada

<pre>
imreoolberg@Imres-MacBook-Air ~ % log show --predicate 'process == "WindowServer"' --style syslog --last 40m| grep -i skyl | tail -n 10
2026-07-06 00:49:00.495406+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:00.600614+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.751674+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.767823+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.824865+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] pid 771 failed to act on a ping it dequeued before timing out.
2026-07-06 00:49:00.847454+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.083920+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.175320+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.498496+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:01.498503+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
</pre>

===Misc===

====Screen Lock====

Tundub, et caffeinate on hästi efektiivne

$ caffeinate -di

====Watchdog====

Väited

* hardware watchdog on paratamatult sisse lülitatud
* software watchdog on seaditatav, vaikimisi on sisse lülitatud

<pre>
TODO
</pre>

====Programm====

Käivitamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % open -a BetterTouchTool
imreoolberg@Imres-MacBook-Air ~ %

imreoolberg@Imres-MacBook-Air ~ % "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
13:09:53.164 [desktop.init] INFO: Logging initialized, outputting to stderr
13:09:53.173 [desktop.init] INFO: Window hidden on startup: false
13:09:53.174 [desktop.init] INFO: Starting Helper subprocess: /Applications/Yubico Authenticator.app/Contents/Resources/helper/authenticator-helper
13:09:53.175 [desktop.init] INFO: Helper process started
13:09:53.176 [main] INFO: Running Yubico Authenticator...
{app_version: 7.2.3, dart: 3.8.1 (stable) (Wed May 28 00:47:25 2025 -0700) on "macos_arm64", os: macos, os_version: Version 15.6.1 (Build 24G90)}
13:09:53.302 [helper.ykman.logging] INFO: Logging at level: INFO
13:09:53.302 [helper.helper.device] INFO: Log level set to: INFO
13:09:53.302 [desktop.init] INFO: Helper log level set
13:09:53.327 [desktop.devices] INFO: USB state change
{"data":{"state":5740354900026072187,"pids":{}},"actions":["get","scan"],"children":{}}
13:09:53.327 [desktop.devices] INFO: USB state updated, unaccounted for: {}
..
</pre>

edasi

<pre>
Imres-MacBook-Air:/ root# file "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator: Mach-O universal binary with 2 architectures: [x86_64:Mach-O 64-bit executable x86_64] [arm64:Mach-O 64-bit executable arm64]
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture x86_64): Mach-O 64-bit executable x86_64
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture arm64): Mach-O 64-bit executable arm64
Imres-MacBook-Air:/ root#
</pre>

<pre>
imreoolberg@Imres-MacBook-Air Documents % cat hello.c
#include <stdio.h>

int main() {
printf("Hello, World!\n");
return 0;
}
</pre>

kompileerimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % clang hello.c -o hello
</pre>

käivitamine

<pre>
imreoolberg@Imres-MacBook-Air Documents % ./hello
Hello, World!
</pre>

otool abil binary uurimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % otool -L hello
hello:
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1351.0.0)
</pre>

yubico authenticator binary uurimine

<pre>
Imres-MacBook-Air:/ root# otool -L "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture x86_64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture arm64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
</pre>

kus

* @rpath viitab rakenduse kapsli sisestele ressurssidele

====dtruss====

<pre>
Imres-MacBook-Air:/ root# dtruss -p 65630 2>&1 | tail -n 1

: probe description syscall:::entry does not match any probes. System Integrity Protection is on

imreoolberg@Imres-MacBook-Air Documents % dtruss ./hello
dtrace: system integrity protection is on, some features will not be available
dtrace: failed to initialize dtrace: DTrace requires additional privileges
</pre>

====Screenshot====

Tähistatud ala

<pre>
Command + Shift + 4
</pre>

Kogu ekraan

<pre>
Command + Shift + 3
</pre>

Screen cast

<pre>
Command + Shift + 5
</pre>

Vaikimisi asub pildistus iseloomuliku nimega failis desktopil.

===Süsteemi taastamine===

====Recovery meedia ettevalmistamine====

<pre>
Imres-MacBook-Air:/ root# diskutil eraseDisk JHFS+ "MyVolume" /dev/disk4
Started erase on disk4
Unmounting disk
Creating the partition map
Waiting for partitions to activate
Formatting disk4s2 as Mac OS Extended (Journaled) with name MyVolume
Initialized /dev/rdisk4s2 as a 28 GB case-insensitive HFS Plus volume with a 8192k journal
Mounting disk
Finished erase on disk4

Imres-MacBook-Air:/ root# /Applications/Install\ macOS\ Sequoia.app/Contents/Resources/createinstallmedia --volume /Volumes/MyVolume
Ready to start.
To continue we need to erase the volume at /Volumes/MyVolume.
If you wish to continue type (Y) then press return: y
Erasing disk: 0%... 10%... 20%... 30%... 100%
Copying essential files...
Copying the macOS RecoveryOS...
Making disk bootable...
Copying to disk: 0%... 10%... 20%... 30%... 40%... 50%... 60%... 70%... 80%... 90%... 100%
Install media now available at "/Volumes/Install macOS Sequoia"
Imres-MacBook-Air:/ root# echo $?
0

# diskutil unmount /Volumes/Install\ macOS\ Sequoia
</pre>

Protseduur

1. Create a New APFS Volume
The first step is to create a new, separate volume on your internal drive where you will restore the backup.

Boot from your USB installer by holding the Option key on startup.

In the macOS Utilities window, select Disk Utility and click Continue.

In Disk Utility, go to the menu bar and select View > Show All Devices.

In the sidebar, select the APFS container (the device, not the volume) that holds your current macOS installation.

Click the + button in the toolbar to add a new APFS volume.

Give the new volume a name (e.g., "macOS Restored") and click Add. This process is very fast as APFS volumes share the same free space.

Once the new volume appears in the sidebar, close Disk Utility.

2. Restore the Backup to the New Volume
Now that the new volume is ready, you can restore your Time Machine backup to it.

From the macOS Utilities window, select Restore From Time Machine Backup and click Continue.

Follow the on-screen instructions, selecting your Time Machine backup drive when prompted.

When the installer asks you to choose a destination disk, you will see your original macOS volume and the new "macOS Restored" volume you just created.

Select the new "macOS Restored" volume as the destination for the restoration. The installer will then proceed to restore the system to that specific volume only.

After the restoration is complete, you can restart your Mac and, by holding down the Option key, you will be able to choose between your original macOS system and the restored system on the second volume.

===homebrew===

<pre>
imre@imre-mac ~ % /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
==> Checking for `sudo` access (which may request your password)...
Password:
==> This script will install:
/opt/homebrew/bin/brew
/opt/homebrew/share/doc/homebrew
/opt/homebrew/share/man/man1/brew.1
/opt/homebrew/share/zsh/site-functions/_brew
/opt/homebrew/etc/bash_completion.d/brew
/opt/homebrew
/etc/paths.d/homebrew
==> The following new directories will be created:
/opt/homebrew/bin
/opt/homebrew/etc
/opt/homebrew/include
/opt/homebrew/lib
/opt/homebrew/sbin
/opt/homebrew/share
/opt/homebrew/var
/opt/homebrew/opt
/opt/homebrew/share/zsh
/opt/homebrew/share/zsh/site-functions
/opt/homebrew/var/homebrew
/opt/homebrew/var/homebrew/linked
/opt/homebrew/Cellar
/opt/homebrew/Caskroom
/opt/homebrew/Frameworks
==> The Xcode Command Line Tools will be installed.

Press RETURN/ENTER to continue or any other key to abort:
==> /usr/bin/sudo /usr/bin/install -d -o root -g wheel -m 0755 /opt/homebrew
==> /usr/bin/sudo /bin/mkdir -p /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod ug=rwx /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod go-w /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions
==> /usr/bin/sudo /usr/sbin/chown imre /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/bin/chgrp admin /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/sbin/chown -R imre:admin /opt/homebrew
==> Searching online for the Command Line Tools
==> /usr/bin/sudo /usr/bin/touch /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Installing Command Line Tools for Xcode-16.4
==> /usr/bin/sudo /usr/sbin/softwareupdate -i Command\ Line\ Tools\ for\ Xcode-16.4
Software Update Tool

Finding available software

Downloading Command Line Tools for Xcode

Downloaded Command Line Tools for Xcode
Installing Command Line Tools for Xcode
Done with Command Line Tools for Xcode
Done.
==> /usr/bin/sudo /usr/bin/xcode-select --switch /Library/Developer/CommandLineTools
Password:
Sorry, try again.
Password:
==> /usr/bin/sudo /bin/rm -f /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Downloading and installing Homebrew...
remote: Enumerating objects: 310493, done.
remote: Counting objects: 100% (16399/16399), done.
remote: Compressing objects: 100% (608/608), done.
remote: Total 310493 (delta 15991), reused 15838 (delta 15791), pack-reused 294094 (from 3)
remote: Enumerating objects: 55, done.
remote: Counting objects: 100% (34/34), done.
remote: Total 55 (delta 33), reused 33 (delta 33), pack-reused 21 (from 1)
==> /usr/bin/sudo /bin/mkdir -p /etc/paths.d
==> /usr/bin/sudo tee /etc/paths.d/homebrew
/opt/homebrew/bin
==> /usr/bin/sudo /usr/sbin/chown root:wheel /etc/paths.d/homebrew
==> /usr/bin/sudo /bin/chmod a+r /etc/paths.d/homebrew
==> Updating Homebrew...
==> Downloading https://ghcr.io/v2/homebrew/portable-ruby/portable-ruby/blobs/sha256:20fa657858e44a4b39171d6e4111f8a9716eb62a78ebbd1491d94f90bb7b830a
################################################################################################################################################################ 100.0%
==> Pouring portable-ruby-3.4.5.arm64_big_sur.bottle.tar.gz
==> Installation successful!

==> Homebrew has enabled anonymous aggregate formulae and cask analytics.
Read the analytics documentation (and how to opt-out) here:
https://docs.brew.sh/Analytics
No analytics data has been sent yet (nor will any be during this install run).

==> Homebrew is run entirely by unpaid volunteers. Please consider donating:
https://github.com/Homebrew/brew#donations

==> Next steps:
- Run these commands in your terminal to add Homebrew to your PATH:
echo >> /Users/imre/.zprofile
echo 'eval "$(/opt/homebrew/bin/brew shellenv)"' >> /Users/imre/.zprofile
eval "$(/opt/homebrew/bin/brew shellenv)"
- Run brew help to get started
- Further documentation:
https://docs.brew.sh

imre@imre-mac ~ %
</pre>

pyhton 3.13

<pre>
imre@imre-mac ti % brew install python@3.13
==> Fetching downloads for: python@3.13
==> Downloading https://ghcr.io/v2/homebrew/core/python/3.13/manifests/3.13.7
#################################################################################################################### 100.0%
==> Fetching dependencies for python@3.13: mpdecimal, ca-certificates, openssl@3, readline, sqlite and xz
==> Downloading https://ghcr.io/v2/homebrew/core/mpdecimal/manifests/4.0.1
#################################################################################################################### 100.0%
==> Fetching mpdecimal
...

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
==> Summary
🍺 /opt/homebrew/Cellar/python@3.13/3.13.7: 3,620 files, 66.6MB
==> Running `brew cleanup python@3.13`...
Disable this behaviour by setting `HOMEBREW_NO_INSTALL_CLEANUP=1`.
Hide these hints with `HOMEBREW_NO_ENV_HINTS=1` (see `man brew`).
==> No outdated dependents to upgrade!
==> Caveats
==> python@3.13
Python is installed as
/opt/homebrew/bin/python3

Unversioned symlinks `python`, `python-config`, `pip` etc. pointing to
`python3`, `python3-config`, `pip3` etc., respectively, are installed into
/opt/homebrew/opt/python@3.13/libexec/bin

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
imre@imre-mac ti %

(py_venv) imre@imre-mac ti % brew tap hashicorp/tap
==> Tapping hashicorp/tap
Cloning into '/opt/homebrew/Library/Taps/hashicorp/homebrew-tap'...
remote: Enumerating objects: 5818, done.
remote: Counting objects: 100% (1132/1132), done.
remote: Compressing objects: 100% (221/221), done.
remote: Total 5818 (delta 1015), reused 913 (delta 911), pack-reused 4686 (from 3)
Receiving objects: 100% (5818/5818), 1.01 MiB | 1.18 MiB/s, done.
Resolving deltas: 100% (4104/4104), done.
Tapped 2 casks and 32 formulae (93 files, 1.3MB).
(py_venv) imre@imre-mac ti % brew install hashicorp/tap/vault
</pre>

===Xcode Command Line Tools===

Xcide CLI koosseisu kuuluvad muu hulgas

* git
* clang
* gcc

Paigaldamiseks sobib öelda

<pre>
# xcode-select --install
</pre>

to check

<pre>
imreoolberg@Imres-MacBook-Air ~ % xcode-select -p
/Library/Developer/CommandLineTools
</pre>

===Spaces===

Väited

* Spaces võimaldab tegeleda macos peal virtuaalsete desktop'idega
* käitumist kontrollib üldiselt 'System Settings -> Desktop & Dock -> Displays have separate Spaces' väärtus (vaikimisi 'On')
* F3 klahv abil saab Spaces riba kuvada monitoride üleosas
* Space'i saab liigutada monitoride vahel hiirega tirides, v.a. aktiivset space'i
* Space'ide vahel saab liikuda Control + left/righ arrow key abil
* Rakendust saab liigutada space'ide vahel minnes nn Mission Control vaatesse ja siis hiirega rakenduse akent lohistades
* Space sulgemisel paigutatakse vastavad aknad eelmisele space'ile

===Kellaaeg===

Süsteemi aeg

<pre>
Imres-MacBook-Air:~ root# date
Sat Sep 13 23:36:17 EEST 2025
</pre>

NTP serverilt kellaaja küsimine

<pre>
Imres-MacBook-Air:~ root# sntp time.apple.com
+0.049514 +/- 0.014280 time.apple.com 17.253.38.35
</pre>

Väärtuse küsimine

<pre>
Imres-MacBook-Air:~ root# systemsetup -getnetworktimeserver
Network Time Server: time.euro.apple.com
</pre>

Väärtuse muutmine

<pre>
Imres-MacBook-Air:~ root# systemsetup -setnetworktimeserver time.euro.apple.com
</pre>

Logist kellaajaga seotud sündmuste kohta küsimine

<pre>
Imres-MacBook-Air:~ root# log stream --predicate 'subsystem == "com.apple.timed"
</pre>

Kas kellaaeg automaatne hoidmine on kasutuses

<pre>
Imres-MacBook-Air:~ root# systemsetup -getusingnetworktime
Network Time: On
</pre>

===BSD pärand===

<pre>
imreoolberg@Imres-MacBook-Air ~ % which openssl
/usr/bin/openssl
imreoolberg@Imres-MacBook-Air ~ % openssl version
LibreSSL 3.3.6

Imres-MacBook-Air:~ root# ssh -V
OpenSSH_9.9p2, LibreSSL 3.3.6

Imres-MacBook-Air:~ root# pfctl -v
No ALTQ support in kernel
ALTQ related functions disabled

Imres-MacBook-Air:~ root# netstat -nr -f inet
</pre>

Süsteemsete kasutajate nimed algavad alakriipsuga (nt sarnaselt toimib OpenBSD), nt timed (ntp local protsess) töötab kasutajana _timed

<pre>
Imres-MacBook-Air:~ root# ps aux | grep timed
_timed 373 0.0 0.0 426967056 4576 ?? Ss Tue02PM 0:03.41 /usr/libexec/timed
</pre>

/etc/passwd failis on palju nö legacy kasutajad mille nimi viitab nö klassikalisele lahendusele

<pre>
Imres-MacBook-Air:~ root# egrep "_postgres|_dovenull|_postfix|_avamis|_clamav|_cyrus|_mailman|_cvs|_mysql|_jabber|_ftp" /etc/passwd
_postfix:*:27:27:Postfix Mail Server:/var/spool/postfix:/usr/bin/false
_cvs:*:72:72:CVS Server:/var/empty:/usr/bin/false
_mysql:*:74:74:MySQL Server:/var/empty:/usr/bin/false
_cyrus:*:77:6:Cyrus Administrator:/var/imap:/usr/bin/false
_mailman:*:78:78:Mailman List Server:/var/empty:/usr/bin/false
_clamav:*:82:82:ClamAV Daemon:/var/virusmails:/usr/bin/false
_jabber:*:84:84:Jabber XMPP Server:/var/empty:/usr/bin/false
_ftp:*:98:-2:FTP Daemon:/var/empty:/usr/bin/false
_postgres:*:216:216:PostgreSQL Server:/var/empty:/usr/bin/false
_dovenull:*:227:227:Dovecot Authentication:/var/empty:/usr/bin/false
</pre>

===Süsteemi paigaldamine===

Eesmärk

* paigaldada töötav töökoha keskkond
* valmituda juhtumiks kui kasutaja parool kaob ja on vaja seda taastada (teha reset)

TODO

===Google Chrome brauser===

TODO

Google Chrome brauseril on lubatud kuvada ssh privaatset võtit, nt

file:///Users/imreoolberg/.ssh/id_ed25519

Analoogliselt on see lubatud Ubuntu 24.04 platvormil, aga nt OpenBSD puhul mitte (tänu unveil tehnoloogiale).

===GateKeeper===

Kui kopeerida internetist tarkvara nt .dmg kujul ja paigaldada, siis esimesel käivitamisel küsib süsteem, et kas ikka käivitada see internetist kopeeritud programm, küsimus ja vastusega tegelemine on seotud xattr parameetriga com.apple.quarantine

<pre>
Imres-MacBook-Air:~ root# xattr -p com.apple.quarantine /Applications/KeePassXC.app
0181;68c6f083;Chrome;AF698614-F806-4A2B-B66C-4B09CB133779
</pre>
ja
<pre>
# spctl
</pre>

ja

<pre>
Imres-MacBook-Air:~ root# sqlite3 /Users/imreoolberg/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2
SQLite version 3.43.2 2023-10-10 13:08:14
Enter ".help" for usage hints.

sqlite> .schema
CREATE TABLE LSQuarantineEvent ( LSQuarantineEventIdentifier TEXT PRIMARY KEY NOT NULL, LSQuarantineTimeStamp REAL, LSQuarantineAgentBundleIdentifier TEXT, LSQuarantineAgentName TEXT, LSQuarantineDataURLString TEXT, LSQuarantineSenderName TEXT, LSQuarantineSenderAddress TEXT, LSQuarantineTypeNumber INTEGER, LSQuarantineOriginTitle TEXT, LSQuarantineOriginURLString TEXT, LSQuarantineOriginAlias BLOB );
CREATE INDEX LSQuarantineEventIndex ON LSQuarantineEvent ( LSQuarantineEventIdentifier );
CREATE INDEX LSQuarantineTimeStampIndex ON LSQuarantineEvent ( LSQuarantineTimeStamp );

sqlite> select * from LSQuarantineEvent;
9446C9BF-45BE-49C7-8EBE-2F15796AC8C8|778543831.0|com.google.Chrome|Chrome||||0|||
BDC2404B-51CD-4561-B50B-97C0C4272BF4|778543831.0|com.google.Chrome|Chrome||||0|||
295142B0-B654-4691-9F45-774441058E9A|778543831.0|com.google.Chrome|Chrome||||0|||
E806F7A8-856B-4A57-ADD6-0FFC2CAEECCB|778543833.0|com.google.Chrome|Chrome||||0|||
</pre>

===Transparency, Consent, and Control (TCC)===

Esmakordsel käivitamisel küsitakse vahel kataloogide ja failide avamise õiguse kohta, sellega tegeleb TCC. Tulemus on paista nt

System Settings -> Privacy & Security -> KeePassXC -> xxx

<pre>
Imres-MacBook-Air:~ root# mdls -name kMDItemCFBundleIdentifier /Applications/KeePassXC.app
kMDItemCFBundleIdentifier = "org.keepassxc.keepassxc"
</pre>

ning eemaldamiseks

<pre>
Imres-MacBook-Air:~ root# tccutil reset All org.keepassxc.keepassxc
Successfully reset All approval status for org.keepassxc.keepassxc
</pre>

===Kasutajate haldamine===

Kasutaja tekitamiseks sobib

System Settings -> Users & Groups -> Add User -> ...

Teise kasutajana lisaks sisse logimiseks sobib kasutada

System Settings -> Control Center -> Fast User Switching -> ...

===Eesti id kaart===

TODO

Peale paigaldamist on

System Settings -> ID-updater

===Finder===

Finder programm on sarnane nö vana-aja Windows Explorer programmile või XFCE4 prorammile Thunar.

Vasaku sidebar ehk paneeli sisu muutmiseks sobib kasutada Finder -> Settings ja nt muuta nähtavaks kasutaja kodukataloog.

===XQuartz===

Väited

* X11 põhiste rakenduste töötamiseks vajalik tarkvara (nö linux traditsiooni juhtumiks)
* X2go töötamise eelduseks

===Locale===

MacOS on väga utf-8 keskne süsteem, graafiliste rakenduste ja käsurea osakonnas

<pre>
imreoolberg@Imres-MacBook-Air ~ % env | grep LANG
LANG=en_US.UTF-8

imreoolberg@Imres-MacBook-Air ~ % locale
LANG="en_US.UTF-8"
LC_COLLATE="en_US.UTF-8"
LC_CTYPE="en_US.UTF-8"
LC_MESSAGES="en_US.UTF-8"
LC_MONETARY="en_US.UTF-8"
LC_NUMERIC="en_US.UTF-8"
LC_TIME="en_US.UTF-8"
LC_ALL=
</pre>

Juhtimiseks sobib kasutada faili ~/.zshrc

===Mälu haldus===

Käesolevat mälukasutust saab jälgida Activity Monitor utiliidi abil

[[Fail:20250918-macos-memory-01.png|900px]]

kus

* physical memory - arvuti riistvaralise mälu hulk
* memory used - mälu hulk mida operatsioonisüteem moel või teisel aktiivsemalt/vähem-aktiivsemalt/jne kasutab
* swap used - plokkseadmele/failisüsteemi salvestatud/puhverdatud mälu sisu

Memory Used koosneb neljast osast

* app memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis on välja swapitav, kokku pakitav jms paindlik
* wired memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis ei ole välja swapitav, kokku pakitav jms paindlik
* cached files - apfs jt failisüsteemide cache, st mällu puhverdatud sisu (tõenäoliselt teeb lugemise oluliselt kiiremaks)
* kokku pakitud mälule vastav maht mis kulub pakitud sisu hoidmiseks (mis on pakitud kujul)

'Compressed' väärtus väljendab, milline kokkupakkimata maht õnnestus kokku pakkida.

Väited

* arvutis on 'available memory' maht 16.00 - 12.84 = 3.16 G mälu - st see on ressurss, mida saab süsteem kohe kasutada täiendavate vajaduste jaoks
* kokku pakitud kujul olevate andmete maht on 12.84 - 5.90 - 2.17 - 3.30 = 1.47
* kokku pakkkimise efektiivsus on 3.96/1.47 = 2.69 st peaaegu 3x
* kuigi süsteemis on vaba mälu, siis on süsteem otsustanud siiski 175.6 MB välja swappida, ju ta teab mis teeb, ja nii on olnud otstarbekas
* cached files maht on selline ressurss, mille saab süsteem kiiresti võtta uude kasutusse, st nt rakenduse koodi jaoks

Swap asub failisüsteemis kataloogis /private/var/vm.

===Yubico Authenticator===

====Tööpõhimõte====

Yubico tootja krüptoseadmed on hästi populaarsed ja korralikud, Eestis on ka nende kasutamine päris levinud

[[Fail:20260718-macos-yubico-01.png|700px]]

Füüsilise seadme haldamiseks on kasutada tarkvara 'Yubico Authenticator'

[[Fail:20260718-macos-yubico-02.png|600px]]

kus

* nime 'Authenticator' viitab justkui TOTP tüüpi rakendusele, tegelikult on see palju funktsionaalsem (FIDO2 saladuste haldamine, PIV saladuste haldamine jne)

====Paigaldamine====

Yubico Authenticator paigaldamine toimub nö tavalisel viisil Apple App Store abil, samuti edasine tarkvara uuendamine.

====Kasulikud lisamaterjalid====

* https://www.auul.pri.ee/wiki/Yubikey

===Yubikey===

TODO

Kui ssh kliendi kasutamisel tekib olukord

<pre>
... sign_and_send_pubkey: signing failed for ECDSA .. from agent: agent refused operation
</pre>

võib abistada

<pre>
% ssh-add -e /usr/local/lib/libykcs11.dylib
Card removed: /usr/local/lib/libykcs11.dylib

% ssh-add -s /usr/local/lib/libykcs11.dylib
Enter passphrase for PKCS#11:
Card added: /usr/local/lib/libykcs11.dylib

%
</pre>

===Apple riistvara-tarkvara ajalugu===

Küsimus chatgpt'le

'what operating system apple computers have used, please give timeline of cpu and operating system with mentioning whether is was single or two-mode privilege separation solution'

Vastus chatgpt'lt - eristatakse 6 ajastut

The Early Days (1976-1984)

* Computer: Apple I, Apple II series.
* CPU: MOS Technology 6502.
* Operating System: Apple DOS, ProDOS.
* Privilege Mode: Single-mode. The CPU and OS lacked a concept of privilege separation. All software, including the operating system, ran with full, unrestricted access to the hardware.

The Early Macintosh (1984-1987)

* Computer: Macintosh 128K, Macintosh Plus, Mac SE.
* CPU: Motorola 68000.
* Operating System: System Software (System 1.0 - 4.0).
* Privilege Mode: The CPU had a two-mode (Supervisor/User) architecture. However, the early Mac OS did not fully use it for memory protection. The OS was based on a cooperative multitasking model, and a buggy program could still crash the entire system.

The 32-bit Transition (1987-1994)

* Computer: Macintosh II series.
* CPU: Motorola 68020, 68030, 68040.
* Operating System: Mac OS (System 5.0 - 7.5).
* Privilege Mode: The CPUs were fully capable of two-mode operation. The OS began to use some of these features, but it was still not a truly protected-mode, preemptive multitasking system.

The PowerPC Era (1994-2006)

* Computer: Power Macintosh series.
* CPU: PowerPC 601, 603, G3, G4.
* Operating System: Mac OS 7.5 - Mac OS 9.
* Privilege Mode: The PowerPC was a modern two-mode RISC architecture with a robust privilege model. Despite the powerful hardware, the underlying Mac OS remained non-preemptive and lacked true memory protection between applications. This was a key reason why Apple chose to adopt a BSD-based foundation for its next-generation OS.

The Intel Era (2006-2020)

* Computer: MacBook, MacBook Pro, iMac, Mac Mini, Mac Pro (Intel models).
* CPU: Intel Core 2 Duo, Core i3/i5/i7/i9, Xeon (x86 architecture).
* Operating System: Mac OS X (versions 10.4 to 10.15), later renamed macOS (from 10.12 onward).
* Privilege Mode: Two-mode (Ring 0 for the kernel, Ring 3 for applications). This was a pivotal time for Apple, as their BSD-based Mac OS X was finally running on a CPU architecture with a robust, industry-standard privilege model. The operating system could now fully leverage preemptive multitasking and true memory protection, making the Mac far more stable and secure than in the previous eras.

The ARM Era (2020-Present)

* Computer: MacBook Air, MacBook Pro, iMac, Mac Mini (Apple Silicon models).
* CPU: Apple Silicon (M1, M2, M3, and so on), which are custom ARM-based processors.
* Operating System: macOS (starting with macOS 11 Big Sur).
* Privilege Mode: The ARM architecture uses a sophisticated multi-level privilege model. The OS runs in EL1 (Kernel Mode), while user applications run in EL0 (User Mode). The system also utilizes EL2 (Hypervisor Mode) for virtualization and security features. The transition to ARM allowed Apple to fully integrate hardware and software, creating a highly efficient platform where the CPU, GPU, and memory are on a single chip. The macOS operating system is built specifically to take advantage of this architecture and its robust privilege model.

===Apple Continuity===

Apple Continuity initsiatiiv võimaldab ühe appleid konto külge kinnitatud seadmete vahel teha koostööd, nt selliste seadmete ja tegevuste osas

* veebikaamera
* Universal Control - clipboard st kopi-paste üle seadmete (Synergy/Barrier/jms sarnane)
* rakenduste kasutamise jätkamine - nt brauser
* Contacts

Kasulikud lisamaterjalid

* https://www.apple.com/macos/continuity/

===Ansible===

export OBJC_DISABLE_INITIALIZE_FORK_SAFETY=YES

===vnc klient===

vnc kliendi kasutamise eelduseks on kuskil võrgus töötav ja ligipääsetav vnc server. MacOS operatsioonisüsteemiga tuleb kaasa vnc klient, kasutamiseks sobib käivitada programm Finder

Finder -> Go -> Go to server

ning sisestada lahtrisse nt

vnc://192.168.10.187:5901

===Mail - IMAP ja SMTP klient===

TODO

===DFU - Device Firmware Update===

====Mõisted====

* Revive - tegevuse tulemusena asendatakse arvuti tava-firmware ja restore partitsioon - macos operatsioonisüsteem ja kasutaja andmed säilivad
* Restore - tegevuse tulemusena asendatakse arvuti tava-firmware, restore partition jne sh macos operatsioonisüsteem - st kõik
* IPSW - iphone software - praktiliselt kõik moodsad seadmed, nt https://ipsw.me/

====Tööpõhimõte====

Väited

* DFU puudutab 'macos all oleva tava-firmware all olevat eri-firmware kihti
* erinevalt nö x86 riistvara lahendustest saab mac riistvara puhul kasutada kahte seadet komplektis - seadmed ühendatakse tavalise thunderbolt vms kaabliga ning seejärel üks seade võimaldab teist ravida kasutades Apple Configurator tarkvara
* Apple Configurator ei võimalda tegeleda selle sama arvuti riistvaraga millel ta töötab, ta võimaldab tegeleda selle arvuti riistvaraga, mis on ühendatud thunderbolt kaabliga

====Apple Configurator tarkvara kasutamine====

* Apple Configurator paigaldatakse tavalisel viisil AppStore platvormi abil

====Kasulikud lisamaterjalid====

* youtube kanal lapfix sisaldab saateid - https://www.youtube.com/@lapfix

===Windows remote desktop klient===

AppStore abil on kasutada tasuta tarkvara 'Windows App'.

[[Fail:20251119-macos-windows-app-01.jpg|700px]]

===WireGuard===

WireGuard vpn klienti saab paigaldada tavalisel viisil App Store keskkonna abil. Peale paigaldamist ja esmast käivitamist valides spotlight otsingus wireguard, tuleks ilmselt kirjaldada vpn ühendus wireguard nö serveriga ning pressides + nuppu

[[Fail:20251215-macos-wireguard-04.png|700px]]

ning

[[Fail:20251215-macos-wireguard-01.png|700px]]

Käivitatud st aktiivse vpn tunneli olek paistab selline

[[Fail:20251215-macos-wireguard-02.png|700px]]

ning üldises vpn ühenduste nimekirjas

[[Fail:20251215-macos-wireguard-03.png|700px]]

<pre>
Imres-MacBook-Air:~ root# ifconfig utun6
utun6: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1420
options=6460<TSO4,TSO6,CHANNEL_IO,PARTIAL_CSUM,ZEROINVERT_CSUM>
inet 10.168.112.68 --> 10.168.112.68 netmask 0xffffff00
</pre>

ning ruuting

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet | grep utun6
default link#22 UCSIg utun6
10.168.10.177/32 link#22 UCS utun6
10.168.112/24 10.168.112.68 UGSc utun6
10.168.112.68 10.168.112.68 UH utun6
192.168.112 link#22 UCS utun6
224.0.0/4 link#22 UmCSI utun6
255.255.255.255/32 link#22 UCSI utun6
</pre>

Tundub, et mingitel hetkedel wireguard klient nö ei allu eriti, siis võib olla abiks protsessi lõpetamine teminali aknas ning käivitamine 'open -a ..' abil

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i wireg
imreoolberg 757 0.0 0.4 435612624 63120 ?? S Wed12PM 0:01.19 /Applications/WireGuard.app/Contents/MacOS/WireGuard
imreoolberg 30026 0.0 0.0 435300208 1344 s014 S+ 5:10AM 0:00.01 grep -i wireg

imreoolberg@Imres-MacBook-Air ~ % killall WireGuard

imreoolberg@Imres-MacBook-Air ~ % open -a WireGuard
</pre>

vpn kasutamisel tuleb arvestada, et kui MacOS tulemüür ei ole sisselülitatud ja ei takista, siis saab vpn serveri poolelt pöörduda ka macos arvuti poole.

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_OpenBSD_kasutamine#Wireguard
* https://www.auul.pri.ee/wiki/MikroTik_RouterOS#WireGuard

===Eesti ID kaardi kasutamine===

Eesti ID kaardi tarkvara paistab esindatud nn System Settings vasakus paneelis

[[Fail:20251216-macos-software-01.png|700px]]

Ning App Store peal

[[Fail:20251203-macos-app-store-updates-02.png|700px]]

ning

System Report -> Software -> Applications

juures

[[Fail:20251216-macos-software-02.png|700px]]

Lisaks Eesti ID kaardi tarkvara paistab nö .pkg osakonnas esindatud

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -v ^com.apple
..
eu.web-eid.web-eid-chrome
ee.ria.open-eid
ee.ria.qdigidoc4
eu.web-eid.web-eid
eu.web-eid.web-eid-safari
ee.ria.ID-updater
...
</pre>

kusjuures konkreetsed versioonid on sellest pkgutil vaatest

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.5.0.1954
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.15.0
volume: /
location: /
install-time: 1757342106
</pre>

Kusjuures siit paistab vastuolu: pkgutil eistab nt paketi ee.ria.qdigidoc4 versiooniks 4.8.2 kuid muud 4.9.1. Kui küsida käsurealt teisiti versiooni

<pre>
Imres-MacBook-Air:~ root# defaults read /Applications/qdigidoc4.app/Contents/Info.plist CFBundleShortVersionString
4.9.1
</pre>

Ning programmi enda gui liides ütleb samuti versiooniks 4.9.1, lisaks tundub, et tegu on siiski sama tarkvara eksemplariga

<pre>
Imres-MacBook-Air:~ root# ps aux | grep qdigidoc4 | grep -v grep
imreoolberg 38841 0.0 0.4 436001936 63600 ?? S 4:19AM 0:01.45 /Applications/qdigidoc4.app/Contents/MacOS/qdigidoc4
</pre>

ning

[[Fail:20251216-macos-software-03.png|700px]]

====System Settings vasaku paneeli ID-updater kasutamine====

Peale System Settings vasaku paneeli ID-update kasutamist ja jaatavat vastamist vaikimisi valikutega

[[Fail:20251216-macos-eid-updater-01.png|700px]]

tessa

[[Fail:20251216-macos-eid-updater-02.png|700px]]

kossa

[[Fail:20251216-macos-eid-updater-03.png|700px]]

nessa

[[Fail:20251216-macos-eid-updater-04.png|700px]]

on tulemuseks

[[Fail:20251216-macos-eid-updater-05.png|700px]]

ning käsurealt küsides, st mõne komponendi versioon uuenes

* eu.web-eid.web-eid-chrome
* ee.ria.open-eid
* eu.web-eid.web-eid
* ee.ria.ID-updater

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.10.0.235
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.18.0
volume: /
location: /
install-time: 1765858910
</pre>

20260630 kogemus

[[Fail:20260630-macos-eid-updater-01.png|900px]]

kus

* tundub, et macos lähenemisele natuke iseloomulikult erinevad kohad kirjutavad versiooni uuenduse kohta erinevat infot

===Mikrotik Winbox===

Paistab, et alates winbox v. 4 on toetatud MacOS

[[Fail:20260330-macos-mikrotik-install-01.png|800px]]

kus

* .dmg on Finder peal 'Open with' -> 'Diskmounter' abil avatud (monteeritud)
* paigaldamiseks tuleb nihutada .dmg sees paistev nö ressurss Applications alla kõrvale avatud Finder programmis (tavaliselt on .dmg avatud image nö ristkülikus kaks ikooni, rakendus ja Application ja tuleb nihutada selle akna sees
* Finder vasakus paneelis on Windbox disk image lahti monteeritud

kasutamine paistab välja nii

[[Fail:20260311-mikrotik-winbox-4-01.png|800px]]

Andmefailid asuvad

<pre>
imreoolberg@Imres-MacBook-Air ~ % find ~/Library/Application\ Support/MikroTik/WinBox -type f -ls
105559824 8 -rw-r--r-- 1 imreoolberg staff 1998 Jun 3 23:34 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.78.cfg.viw2
119606360 16 -rw-r--r-- 1 imreoolberg staff 5126 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.77.cfg.viw2
..

105555588 8 -rw-r--r-- 1 imreoolberg staff 502 Jun 3 23:29 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/Addresses.cdb
119606359 8 -rw-r--r-- 1 imreoolberg staff 383 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/settings.cfg.viw2
</pre>

====WindBox 4.1 -> 4.2 uuendamine====

Winbox uuendamine toimub üsna manuaalselt

[[Fail:20260709-mikrotik-01.png|900px]]

kus

* tootja jagab .dmg faili
* see fail tuleb eraldi liigutusena kopeerida tootja veebikohast
* antud juhtum on hea näide kuidas MacOS Application kataloogi alamkataloogis asendab vana versiooni uuega

Kusjuures paigaldamise ajal midagi ei küsitud st privileegide saamiseks, tundub, et põhjusel kuna kataloog oli juba olemas ja kuulus kasutajale

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/*
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 29 2025 /Applications/balenaEtcher.app
drwxr-xr-x@ 3 imreoolberg staff 96 Jul 3 07:43 /Applications/BetterTouchTool.app
drwxr-xr-x 13 root staff 416 Jul 5 16:07 /Applications/DDPM
..
drwxr-xr-x@ 3 root wheel 96 Dec 3 2025 /Applications/web-eid-safari.app
drwxr-xr-x@ 3 root wheel 96 Jun 30 19:52 /Applications/WhatsApp.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 8 10:25 /Applications/WinBox.app
drwxr-xr-x@ 3 root wheel 96 Jul 4 19:44 /Applications/Windows App.app
drwxr-xr-x@ 3 root wheel 96 Dec 9 2025 /Applications/WireGuard.app
...
</pre>

kus

* sõltuvalt paigalduse viisist on kataloogil omanikuks kasutaja või root
* nt tundub, et app store ja pkgutil puhul on omanikuks root
* niisama kasutajana nö visuaalselt liigutades rakenduse Applications osakonda esmakordsel paigaldusel küsitakse täiendavalt privileegide kohta, ja seejärel enam mitte (st uuendamisel)

===MacOS virtualiseerimine===

TODO

===QR Journal===

TODO

===etcher===

TODO

===Rosetta paigaldamine===

<pre>
$ softwareupdate --install-rosetta
</pre>

===Dell U2725QE monitor===

Kuigi kõik niisamagi töötab, monitori tootja veebikohas on üsna huvitavat tarkvara

[[Fail:20260705-dell-macos-01.png|900px]]

kus

* DDPM - Dell Display and Peripherial Manager
* Monitor Firmware Update Utility

====DDPM====

Mõisted

* DDPM - Dell Display and Peripherial Manager

Peale allkopeerimist paistab .pkg pakenduses tarkvara

[[Fail:20260705-dell-macos-02.png|1100px]]

kus

* TODO

Paigaldamine paistab

[[Fail:20260705-dell-macos-03.png|500px]]

ja kasutamine

[[Fail:20260705-dell-macos-04.png|700px]]

* paistab midagi sellist nagu monitori enda peal füüsiliselt

====Dell U2725QE Monitor Firmware Update Utility====

Väited

* monitori firmware uuendmaine toimub üle arvuti ja monitori vahelise thunderbolt kaabli

Paigaldamine paistab selline .pkg pakett

[[Fail:20260705-dell-macos-05.png|600px]]

Firmware uuendamine toimub üle thunderbolt kaabli

[[Fail:20260705-dell-macos-06.png|700px]]

kus

* oluline mitte lasta monitori screen saverisse, power save'i jms - nt 'caffeinate -di' abil
* firmware versioon muutab M2T101 -> M2T102

====Kahe monitori kasutamine====

Osutub võimalikuks ühe MacBook Air arvutiga ühendada kaks Dell monitori nö tunderbolt mõttes järjestikuliselt

[[Fail:20260718-macos-dell-01.png|800px]]

ning

[[Fail:20260718-macos-dell-02.png|800px]]

kus

* TODO

Tegu ei ole Dell monitor daisy-chain tehnoloogiaga, sest daisy-chain töötab display protocol kihis, antud juhul toimub kontakt thunderbolt kihis.

===character terminal seadme kasutamine===

character teminal seadme kasutamine paistab nii, väga analoogne ubuntu ja debian operatsioonisüsteemiga

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i iterm2
imreoolberg 1112 11.2 1.8 436586496 306448 ?? S 6:11PM 3:08.34 /Applications/iTerm.app/Contents/MacOS/iTerm2
</pre>

ning iterm protsessis on pseudo-terminal master multiplexer seadmed

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1112 -P -n | grep ptmx
iTerm2 1112 imreoolberg 5u CHR 15,0 0t23863949 609 /dev/ptmx
iTerm2 1112 imreoolberg 44u CHR 15,1 0t1199 609 /dev/ptmx
iTerm2 1112 imreoolberg 45u CHR 15,2 0t204098 609 /dev/ptmx
</pre>

zsh shelli avatud terminaliga seotud

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep zsh
imreoolberg 1398 0.0 0.0 435312416 2784 s003 S 6:17PM 0:00.01 -zsh
imreoolberg 1380 0.0 0.0 435313360 3472 s002 S 6:17PM 0:00.11 -zsh
imreoolberg 1376 0.0 0.0 435308624 2672 s001 S 6:17PM 0:00.01 -zsh
imreoolberg 1115 0.0 0.0 435313184 2896 s000 S+ 6:11PM 0:00.06 -zsh
imreoolberg 2434 0.0 0.0 435299552 1392 s002 S+ 7:16PM 0:00.00 grep zsh

imreoolberg@Imres-MacBook-Air ~ % lsof -p 1376 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
zsh 1376 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
zsh 1376 imreoolberg txt REG 1,15 1361216 1152921500312571448 /bin/zsh
zsh 1376 imreoolberg txt REG 1,15 81288 1152921500312585080 /usr/share/locale/en_US.UTF-8/LC_COLLATE
zsh 1376 imreoolberg txt REG 1,15 118896 1152921500312574306 /usr/lib/zsh/5.9/zsh/terminfo.so
zsh 1376 imreoolberg txt REG 1,15 593088 1152921500312574312 /usr/lib/zsh/5.9/zsh/zle.so
zsh 1376 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
zsh 1376 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 1u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 10u CHR 16,1 0t683 733 /dev/ttys001
</pre>

ssh kliendis on

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1437 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
ssh 1437 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
ssh 1437 imreoolberg txt REG 1,15 1555472 1152921500312572845 /usr/bin/ssh
ssh 1437 imreoolberg txt REG 1,15 72984 121429580 /Library/Preferences/Logging/.plist-cache.a1S8PMuK
ssh 1437 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
ssh 1437 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 1u CHR 3,2 0t0 340 /dev/null
ssh 1437 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 3u IPv4 0x79fda12a4e8825b1 0t0 TCP 192.168.134.76:49197->192.168.10.166:22 (ESTABLISHED)
ssh 1437 imreoolberg 4u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 5u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 6u CHR 16,1 0t513 733 /dev/ttys001
</pre>

kus

* ilusti on paista järgnevus iterm2 -> zsh -> ssh

Selline pilt võiks

[[Fail:20260706-macos-char-01.png|800px]]

kus

* ptmx - pseudo-terminal master multiplexer
* ttys - teletypewriter slave
* console - füüsiline laptop graafilisse osakonda sisselogimise kohalolek
* Sun18 - kuna klassikaliselt on see tulp olnud max pikkusega 6 sümbolit, sellest selline notatsioon - kell 18, pühapäev

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_Debian_GNU/Linux_kasutamine#Seadmed_2

===Zabbix agent===

<pre>
imreoolberg@Imres-MacBook-Air ~ % sudo -i
Password:
Imres-MacBook-Air:~ root# file /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg: xar archive compressed TOC: 5108, SHA-1 checksum
</pre>

Misc

<pre>
imreoolberg@Imres-MacBook-Air ~ % installer -volinfo -pkg Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Volumes/PRO-G40
/Volumes/volume-tm-backup-01
/
</pre>

Paigaldamine

<pre>
Imres-MacBook-Air:~ root# installer -pkg /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg -target /
installer: Package name is Zabbix Agent
installer: Installing at base path /
installer: The install was successful.
</pre>

Tulemusena tekib süsteemi

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -i zabbix
com.zabbix.pkg.ZabbixAgent

Imres-MacBook-Air:~ root# pkgutil --files com.zabbix.pkg.ZabbixAgent
Library
Library/LaunchDaemons
Library/LaunchDaemons/com.zabbix.zabbix_agentd.plist
usr
usr/local
usr/local/bin
usr/local/bin/zabbix_get
usr/local/bin/zabbix_sender
usr/local/etc
usr/local/etc/zabbix
usr/local/etc/zabbix/zabbix_agentd
usr/local/etc/zabbix/zabbix_agentd/userparameter_examples.conf.NEW
usr/local/etc/zabbix/zabbix_agentd/userparameter_mysql.conf.NEW
usr/local/etc/zabbix/zabbix_agentd.conf.NEW
usr/local/sbin
usr/local/sbin/zabbix_agentd
</pre>

Seadistused

<pre>
Imres-MacBook-Air:~ root# egrep -v "^$|^#" /usr/local/etc/zabbix/zabbix_agentd.conf
LogFile=/var/log/zabbix/zabbix_agentd.log
Server=192.168.10.196
Hostname=macos-air.auul.pri.ee
</pre>

Tulemusena paistab vaikimisi Zabbix kaasa tuleva template abil selline pilt

[[Fail:20260706-macos-zabbix-01.png|1100px]]

kus

* võrreldes nt vaikimisi top utiliidi väljundiga, mis esitab muu hulgas andmeid cpu interruptide kohta, on zabbix esitus üsna tagasihoidlik

[[Fail:20260706-macos-zabbix-02.png|1400px]]

===Rancher desktop===

TODO

===scutil===

Osutub, et arvuti dhcp serveriga kohtumisele omandab lisaks ip aadressile jms võrguseadistusele ka uue hostname'i väärtuse, st mida vastab 'hostname' käsk kui kinnitatud uus dünaamiline ip address omab revers teisendust nimesüsteemis

<pre>
imreoolberg@orcl2-vip ~ % scutil --get LocalHostName
Imres-MacBook-Air
imreoolberg@orcl2-vip ~ % scutil --get ComputerName
Imre’s MacBook Air
imreoolberg@orcl2-vip ~ % scutil --get HostName
HostName: not set
</pre>

pinnimiseks sobib öelda

<pre>
orcl2-vip:~ root# scutil --set HostName "Imres-MacBook-Air"
</pre>

===Trash===

<pre>
imreoolberg@Imres-MacBook-Air ~ % du -sh .Trash
18G .Trash
</pre>

graafiliselt

[[Fail:20260729-macos-trash-01.png|500px]]

kus

* TODO

===Kasulikud lisamaterjalid===

* https://github.com/luchina-gabriel/OSX-PROXMOX
* https://www.apple.com/mac/compare/

MacOS operatsioonisüsteemi kasutamine füüsilise MacBook Air M4 arvutiga

2026-07-28T22:29:33Z

Imre: /* Trash */

===Sissejuhatus===

TODO

Apple system level innovations

* XNU hybrid kernel (Mach + BSD + I/O Kit).
* Read-only, sealed root filesystem.
* APFS (snapshots, sealing, native encryption).
* Secure Enclave (separate CPU/resources).
* Cryptographic boot chain (from Boot ROM → kernel → apps).
* System Integrity Protection (SIP).
* Gatekeeper & notarization.
* Launchd (unified service/daemon manager).
* Unified logging & tracing (dtrace, signpost).
* Rosetta + Universal binaries (smooth arch transitions).
* Quartz compositor + Core Animation (graphics pipeline).
* Metal API (low-level GPU abstraction).
* mälu pakkimine käigult (vt Activity Monitor -> Memory -> Bottom)

Misc

* Aqua - desktop visuaal
* Quartz - desktop mootor
* UTM - qemu-based virtulization
* AWDL (Apple Wireless Direct Link) - midagi Wifi-Direct laadset

Väited

* Apple lahendustele on iseloomulik, et sama it shop kontrolli all on nii riistvara kui tarkvara (põhimõtteliselt sarnane olukord nagu kunagi Sun sparc lahendustega)
* macos on pigem threaded orienteeritud lahendus (mitte process-is-single-thread) - märksõnad: Grand Central Dispatch, Operation Queues, Swift Concurrency)
* nn 'giant lock (https://en.wikipedia.org/wiki/Giant_lock)' probleem on macos puhul pigem praktiliselt lahendatud, ju see on sama millest openbsd vabastamisega tegeldakse, nt https://www.openbsd.org/76.html - 'Removed net lock from sysctl(8) net.inet.ip.forwarding, net.inet6.ip6.forwarding, net.inet6.ip6.redirect, net.inet.ip.directed-broadcast.'

===Riistvara===

TODO

* MacBook Air 13" M4 protsessoriga arvuti
* compute resource - 1. cpu (risc arm), 2. gpu, 3. secure enclave, 4. neural engine
* 16 G ddr5 non-ecc memory - kõik compute resource'id kasutavad sama mälu, st ühisest pool'ist võetakse kasutuseks, ja antakse tagasi jne
* kaks Dell U2725QE monitori
* kaks thunderbolt 4 kaablit
* Logitech nö 9 eurone pc hiir
* lai apple magic keyboard
* väline andmekandja - SanDisk PRO-G40, https://www.apple.com/shop/mac/accessories/storage?f=thunderbolt3&fh=3783%2B47f6&page=1
* port saver - https://www.delock.com/produkt/66433/merkmale.html
* arvuti puhul ei ole kohta nagu pc arvuti puhul on 'enter bios' või 'enter setup' - ainuke realistlik sisenemiskoht on hoides alla toite nuppu arvuti käivitumise ajal

Väited

* macbookpro, air jt on non-ecc mäluga; mac pro ja mac studio on ecc mäluga
* arvuti on ühendatud ühe monitoriga TB4 kaabli abil
* esimese monitoriga on ühendatud usb klaviatuur ja hiir
* arvuti võrk töötab wifi abil, aga saaks töötada ka monitori rj45 ethernet kaabliga (arvutisse saabub üle thunderbolt neli nö signaali: 1. usb klaviatuur ja hiir, 2. ethenet, 3. video, 4. toide)
* teine monitor on ühendatud esimesega teise TB4 kaabliga nn daisy-chain ühenduses
* tundub, et monitoride pilt on vastuvõetava kvaliteediga ka non-4k režiimis (nt 3008 x 1692)

<pre>
system_profiler SPHardwareDataType # CPU, memory, model
system_profiler SPDisplaysDataType # GPU / monitor info
system_profiler SPUSBDataType # USB controllers and devices
system_profiler SPThunderboltDataType # Thunderbolt controllers
system_profiler SPNetworkDataType # Network interfaces
</pre>

Näiteks

<pre>
Imres-MacBook-Air:~ root# system_profiler SPHardwareDataType
Hardware:

Hardware Overview:

Model Name: MacBook Air
Model Identifier: Mac16,12
Model Number: MW0W3KS/A
Chip: Apple M4
Total Number of Cores: 10 (4 performance and 6 efficiency)
Memory: 16 GB
System Firmware Version: 11881.81.2
OS Loader Version: 11881.81.2
Serial Number (system): KGHGX652VT
Hardware UUID: 27AE0C7C-DCC6-5F5C-A133-8F10726347EC
Provisioning UDID: 00008132-001A618E0121801C
Activation Lock Status: Enabled

Imres-MacBook-Air:~ root# system_profiler SPDisplaysDataType
Graphics/Displays:

Apple M4:

Chipset Model: Apple M4
Type: GPU
Bus: Built-In
Total Number of Cores: 8
Vendor: Apple (0x106b)
Metal Support: Metal 3
Displays:
Color LCD:
Display Type: Built-in Liquid Retina Display
Resolution: 2560 x 1664 Retina
Main Display: Yes
Mirror: Off
Online: Yes
Automatically Adjust Brightness: Yes
Connection Type: Internal
DELL U2725QE:
Resolution: 6016 x 3384
UI Looks like: 3008 x 1692 @ 120.00Hz
Mirror: Off
Online: Yes
Rotation: Supported
</pre>

====Neural Engine====

TODO

* On-device machine learning
* Siri's voice recognition
* Image analysis in Photos
* Real-time video processing in apps like FaceTime

====Misc OS====

* cpu instructions - toimuvad kernel -> cpu vahel
* syscalls - toimuvad rakendustarkvara -> kernel vahel
* ei ole user-space-syscall'isid - kõik syscallid on nö kernel-space-syscall'd ehk lihtsalt syscall'id
* macos ei ole real-time operating system
* macos puhul on realiseeritud preemtion st ka tundlike kerneli kihi tegevuste puhul on võimalik teha nö katkestusi-tagasipöördumisi
* ei ole sellist storage-io lahenduste mitmekesisust nagu on linux puhul (nt io-uring, libaio) - nimetatakse 'Dispatch I/O'
* ei ole sellist network-io lahenduste mitmekesisust nagu on linux puhul (nt dpdk) - nimetatakse 'Network Framework'
* dpdk, rdma jms puudub kuna macos puhul tegevused käivad läbi kernel selleks, et toimuv oleks maksimaalselt kontrolli all (toimub kernel by-pass)
* tcp-offload jms siiski on kasutusel - kernel kontrollib siis ikkagi toimivat piisavalt
* XNU kernel ei võimalda linux namespace ja cgroup laadseid nö isolatsioone - st naturaalselt ei ole olemas native macos konteinerindust (nagu on linux jaoks olemas docker või freebsd jaoks daemonless) - kui on vajalik conteinerindus, siis on lahenduseks kasutada konteineri ja xnu kerneli vahel lisa kihti - linux-arm64)

Palju on https://www.openbsd.org/innovations.html nimekirjast olemas macos puhul, kas otseselt või siis kontseptuaalselt, aga implementatsioon on macos juhtumile iseloomulik

* OpenBSD: retguard uses a unique XOR-based canary on a function's return address to prevent a specific type of buffer overflow attack (ROP).
* macOS: macOS does not have a feature called retguard. However, the same concept is implemented by Apple's Clang compiler. macOS has used stack canaries (or stack cookies) for years, which are values placed on the stack to detect if the return address has been overwritten. Both systems use different implementations to solve the same problem.
* OpenBSD: pledge is a security mechanism where a program "pledges" to only use a limited set of system calls. If it tries to make a syscall outside of its "pledge," the program is killed.
* macOS: macOS does not have a pledge equivalent. The concept is not present in the same form. Instead, macOS uses sandboxing, which is a more comprehensive and declarative security model. Sandboxing restricts an application's access to files, network connections, and system resources based on a detailed set of rules (called entitlements) defined in a profile, which is part of the application itself. It's a different, but arguably more powerful, approach to the same problem.
* OpenBSD: W^X is a fundamental security policy that ensures a memory page is either writable or executable, but not both.
* macOS: This concept is directly implemented and has been a core security feature of macOS for many years. It is an integral part of the kernel and is enforced on all applications, making it impossible for an attacker to write shellcode to a memory page and then execute it.
* OpenBSD has long been a pioneer in security, and its implementation of ASLR is a core part of its "secure by default" philosophy.
* macOS introduced ASLR in Mac OS X Leopard (10.5) and has since continuously improved and strengthened it with each new release. Today, ASLR on macOS is a mandatory security feature for all modern applications.
* OpenBSD relinking
* Randomizing per-process: Instead of a single, system-wide reordering at boot, dyld randomizes the base addresses of shared libraries for every single process that is launched.
* Using a shared cache: To speed up program loading, macOS bundles commonly used system libraries into a single large file called the dyld_shared_cache. The location of this entire cache in memory is randomized at boot, and all processes then use this randomized location.

====User mode vs Kernel mode====

Väited

* User mode ja Kernel mode on kaks erinevat protsessori olekut
* esimesel puhul käitub arvuti nagu nö loogiline-masin, teisel juhul nagu riistvaraline-masin
* kontseptuaalselt võiks ette kujutada, et arvutis on kaks protsessorit - üks on pidevalt füüsilises ja teine loogilises olekus
* loogilist laadi tegevusteks on nt protsessi mällu laaditud mälu abil andmete sorteerimine, st kõik tegevused on taandatud matemaatikaks
* füüsilist laadi tegevusteks on nt võrku andmete saatmine, või plokkseadmelt andmete lugemine

====Seadme draiver====

Ettekujutuseks on nvme storage seade. Selleks, et andmed jõuaksid füüsilise plokkseadme pealt ühe user-space protsessi mällu nt postgresql andmebaas, liiguvad andmed läbi sellistest lõikudest koosneva teekonna

<pre>
plokkseade
control plain peal toimuv käsu tulemusel -> plokkseadmega seostatud fragment arvuti rom mälust
-> cpu kopeerib andmed oma registrite abil user-space mällu
..
</pre>

====SanDisk PRO-G40====

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Thunderbolt 4 porti ühendatud seade paistab selline

[[Fail:20250916-imre-sandisk-pro-g40-01.png|900px]]

kus

* seadet koheldakse pcie siinile ühendatud nvme seadmena

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Non-Thuderbolt-USB-C porti ühendatud seade paistab selline

TODO

kus

* seadet koheldakse usb-storage ühendatud plokkseadmena

===Kasutajaliides===

====Magic Apple Keyboard====

klahvikombinatsioonid

* command + nool paremale/vasakule - tekstikursori viimine vastavalt rea lõppu või algusse
* command + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt rea lõppu või algusse
* command + shift + suurem/väiksem - mitme aknalise programmi akende vahel liikumine (nt iterm/terminal/chrome/safari)
* option + nool paremale/vasakule - tekstikursori viimine vastavalt järgmise või eelmise sõna juurde
* option + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt sõna edasi või tagasi
* command + tühik - spotlight otsingu avamine
* control + nool paremal/vasakule - järgmise virtuaalse desktop juurde liikumine (spaces)
* control + nool üles/esc - xxx vaate avamine (üleval on virtuaalsete desktopide riba)
* command + nool üles/alla - teksti algusse või lõppu liikumine (nt chrome brauseris)
* option + nool üles/alla - tekstis nö page-up-page-down võtta liikumine (nt chrome brauseris)

====Touchpad====

gestured

* kahe sõrmega üles-alla swipe - hiirega skrollimine
* kolme sõrmega vasakule-paremale swipe - virtuaalsete desktopide vahel liikumine

===alt-grab - BetterTouchTool (BTT)===

====Tööpõhimõte====

Tegevuse eesmärk on alt-grab kasutamine akna asukohta muutmiseks ja akna suuruse muutmiseks. Linux desktop (gnome, xfce4 jt) puhul paistab see olevat tavaline, et akna asukoha muutmiseks ei pea tingimata haarama hiire vasaku nupuga akna tiitelribast ja siis vedama; või akna suuruse muutmiseks haarama hiire vasaku nupuga täpselt nurgast või servast ja siis vedama. Piisab hoida vasakut alt klahvi all ja haarata kuskilt akna seest hiire vasaku nupuga ning vedada; või hoida vasakut alt klahivi all ja haarata akna seest nurga lähedusest hiire parema nupuga ning vedada.

====BTT kopeerimine ja paigaldamine====

Väited

* https://folivora.ai/
* tundub, et BTT on usaldusväärne tarkvara (nt https://www.macworld.com/article/551700/mac-gems-bettertouchtool-review.html)
* BetterTouchTool ei ole tasuta tarkvara
* BetterTouchTool ei ole kõige parem lahendus nn alt-drag jaoks, aga paistab, et paremat ka pole (ja tundub, et ei saa olla kuna MacOS nö sisemiselt eriti ei võimalda alt-drag laadi tegevusi)
* BTT abil saab akna suurust muuta ainult paremas alumises nurgas
* akent ei saa ekraanilt osaliselt välja suruda üles suunas (nt alla saab)
* tundub, et paigaldamisel antakse rakendusele rikkalikult privileege

====Seadistamine====

Tööpõhimõte

* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse down', millele vastab tegevus (action) 'Start Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse up', millele vastab tegevus 'Stop Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse down', millele vastab tegevus 'Start Resizing'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse up', millele vastab tegevus 'Stop Resizing'

alt-drag seadistamine paistab selliselt, rightclick triggeri ja vastava tegevuse (action) kirjeldamine, basic

[[Fail:20250903-btt-rightclick-01.png|1000px]]

kus

* valitud programmid on For All Apps st kirjeldatavad võimed tekivad kõigi programmide akendele
* valitud seade on Normal Mouse (mitte magic mouse)
* on valitud ka modifer - opt (magic keyboard klahv 'option')

ning advanced

[[Fail:20250903-btt-rightclick-02.png|1000px]]

kus

* Trigger Conditions - Trigger on Mouse Down (vaikimisi)

Analoogselt kirjeldatakse ülejäänud triggerid ja tegevused - seejuures tuleb kindlasti valida modifier, vastasel korral võib olla väga halb kasutuskogemus kuna hiire vasaku klahvi nö tavaline töö on häiritud).

====Kasutamine====

Kasutamine paistab välja natuke puudulikumalt kui linux desktop keskkonnas

* suurust saab muuta vaid alumist paremat nurka sisse või väljapoole surudes (linux all saab tegeleda igas nurgas)
* asukohta saab muuta kuid see mõjub fookuses olevale aknale (vahel on see üsna nö eba kogemus, et hiir on mitte fookuses oleva akna kohal ja kõrval oleva akna asukoht muutub)
* tegelemise ajal on aken nö täidetud (linux all saab valida kas aken paistab nö täidetuna või wireframe'ina)

====Kasulikud lisamaterjalid====

* https://community.folivora.ai/t/resize-window-on-modifier-right-mouse-button-press/41430

===iterm2===

iterm2 võimaldab muu hulgas

* akende arrangement ettevalmistusi - st akende avamist komplektidena, seejuures logitakse automaatselt serveritesse ssh abil sisse, näiteks
* profile abil värvikasutust kirjeldada (taust, tekst, esiletoodud (bold), allajoonitud tekst jms)

[[Fail:20260302-iterm2-01.png|700px]]

avades

iTerm2 -> Settings -> Profiles

kus

* esiletoodud tekst esitatakse roheliselt (seda esineb linux puhul nt top, 'systemctl status postfix' ja dmesg väljundis)

aknale kerge ääre näitamine

iTerm2 -> Settings -> Appearence -> Windows -> Aestetics -> Heavy border around windows in light mode

Profiilid

<pre>
imreoolberg@Imres-MacBook-Air ~ % egrep -r wrx "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Command" : "ssh root@pve-wrx90e",
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Name" : "pve-wrx90e",
imreoolberg@Imres-MacBook-Air ~ % egrep -r svc "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
imreoolberg@Imres-MacBook-Air ~ % plutil -p ~/Library/Preferences/com.googlecode.iterm2.plist | grep -i "pve-svc-0"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-02"
</pre>

Tarkvara uuendamine

[[Fail:20260704-macos-01.png|900px]]

* ei toimu app store kaudu
* toimib rakenduse enda menüüst

===timemachine===

====Tööpõhimõte====

TODO

* võrgus failiserver
* võrgus avahi vms server
* macos süsteem

====Ettevalmistamine====

Väited

* tundub, et macos webgui kaudu ei õnnestu samba põhist tm lahendust ära seadistada, tuleb toimetada käsurealt (hüpotees on, et kuna cifs failisüsteemi monteerimisel Finder abil tekib .DS_Store vms faile automaatselt share peale, siis see eksitab tm lahendust

Samba serveri ettevalmistamine, Debian v. 12 (samba v. 4.17)

<pre>
# apt-get install --no-install-recommends samba
# apt-get install samba-vfs-modules

# cat /etc/samba/smb.conf
[global]
client min protocol = SMB3
client max protocol = SMB3
workgroup = MORAALCIFS
dns proxy = no
log file = /var/log/samba/log.%m
max log size = 1000
panic action = /usr/share/samba/panic-action %d
server role = standalone server

[timemachine]
path = /zpool_wdc/timemachine/
browsable =yes
writable = yes
guest ok = no
valid users = timemachine
smb encrypt = required
vfs objects = catia fruit streams_xattr
fruit:metadata = stream
fruit:resource = file
fruit:time machine = yes
fruit:time machine max size = 500G
</pre>

käivitamine

<pre>
# systemctl restart smbd
</pre>

Varundatava arvuti ettevalmistamine

<pre>
Imres-MacBook-Air:~ root# tmutil setdestination "smb://timemachine:parool@192.168.10.168/timemachine"
Imres-MacBook-Air:~ root# tmutil destinationinfo
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : 2E3ED96D-4626-4D55-BDD5-A0ED6CDDF973
</pre>

Varunduse käivitamine

<pre>
Imres-MacBook-Air:~ root# tmutil startbackup --auto
Imres-MacBook-Air:~ root# log stream --predicate 'process == "backupd"' --info
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 157Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 709 0 100% /dev
/dev/disk3s6 228Gi 20Ki 157Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 157Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 157Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 157Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 157Gi 2% 76 1.6G 0% /Volumes/Recovery
//timemachine@192.168.10.168/timemachine 500Gi 20Gi 480Gi 5% 21M 503M 4% /Volumes/.timemachine/192.168.10.168/CEF57214-AE85-44D1-86EB-D0D69E41EA1C/timemachine
/dev/disk5s1 15Ti 20Gi 480Gi 4% 383k 5.0G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
Imres-MacBook-Air:~ root#
</pre>

Tulemusena

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-015533.backup/2025-09-05-015533.backup
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# tmutil listlocalsnapshots /
Snapshots for volume group containing disk /:
com.apple.TimeMachine.2025-09-05-012346.local
com.apple.TimeMachine.2025-09-05-015510.local
com.apple.os.update-35F83766A7728F08A2DF1CFD45DF39CAB4C00F8C1A4A0DBECD314305426E5C549569F373D02B15DDC5C3E22E8E9D0A2F
com.apple.os.update-4278EFCBF37708F6ABE958C2E59447D754411B4697E4891DE3D58BC37F433306
com.apple.os.update-MSUPrepareUpdate
</pre>

====Kasutamine - süsteemi varundamine====

Time machine graafilise liidese peal, kui on kirjeldatud mitu time-machine varunduskohta, saab ühe peal hiire parema klõpsuga avada hüpikmenüü ja öelda, et käivitada varundus

[[Fail:20251109-timemachine-01.png|600px]]

====Kasutamine - üksiku faili taastamine====

TODO

====Kasutamine - süsteemi taastamine====

TODO

====Misc====

tm destinationinfo esitamine

<pre>
Imres-MacBook-Air:~ root# tmutil destinationinfo
> ==================================================
Name : volume-tm-backup-01
Kind : Local
Mount Point : /Volumes/volume-tm-backup-01 1
ID : B23C58B0-C5F1-4FE6-8CCE-B90B5FAA3C7A
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : ECA95A15-3033-460C-B928-46E809CC1C58
</pre>

korra time machine gui utiliidiga läbi browsitud taaste vaates (tundub, et siis ta nö monteerib külge jne), df

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 10Gi 99Gi 10% 427k 1.0G 0% /
devfs 219Ki 219Ki 0Bi 100% 758 0 100% /dev
/dev/disk3s6 228Gi 24Ki 99Gi 1% 0 1.0G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 13Gi 99Gi 12% 2.6k 1.0G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 7.5Mi 99Gi 1% 104 1.0G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 480Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 6.0Mi 480Mi 2% 38 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 3.6Mi 480Mi 1% 100 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 56Gi 99Gi 37% 696k 1.0G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk7s1 3.6Ti 5.9Gi 3.5Ti 1% 24 38G 0% /Volumes/PRO-G40
/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/volume-tm-backup-01
com.apple.TimeMachine.2025-09-19-012830.backup@/dev/disk7s3 3.6Ti 122Gi 3.5Ti 4% 541k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup
com.apple.TimeMachine.2025-11-09-213757.local@/dev/disk3s5 228Gi 55Gi 99Gi 36% 687k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-213757/Data
com.apple.TimeMachine.2025-11-09-213824.backup@/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup
com.apple.TimeMachine.2025-11-09-165402.backup@/dev/disk7s3 3.6Ti 140Gi 3.5Ti 4% 568k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup
com.apple.TimeMachine.2025-11-09-160153.local@/dev/disk3s5 228Gi 50Gi 99Gi 34% 711k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-160153/Data
//timemachine@192.168.10.168/timemachine 500Gi 71Gi 429Gi 15% 74M 450M 14% /Volumes/.timemachine/192.168.10.168/D4D414B7-3607-44F6-8151-4F53ECDEF964/timemachine
/dev/disk5s1 15Ti 44Gi 429Gi 10% 568k 4.5G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-11-09-162452.backup@/dev/disk5s1 15Ti 78Gi 429Gi 16% 568k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup
com.apple.TimeMachine.2025-09-05-014511.backup@/dev/disk5s1 15Ti 23Gi 429Gi 6% 500k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup
</pre>

samal ajal diskutil

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 11.3 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 11.3 GB disk3s1s1
3: APFS Volume Preboot 14.2 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 60.0 GB disk3s5
6: APFS Volume VM 24.6 KB disk3s6
7: APFS Volume macOS Restored - Data 40.1 GB disk3s7
8: APFS Volume macOS Restored 11.3 GB disk3s8

/dev/disk4 (disk image):
#: TYPE NAME SIZE IDENTIFIER
0: +16.0 TB disk4

/dev/disk5 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +16.0 TB disk5
Physical Store disk4
1: APFS Volume Backups of Imre’s Ma... 47.7 GB disk5s1

/dev/disk6 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *4.0 TB disk6
1: EFI EFI 209.7 MB disk6s1
2: Apple_APFS Container disk7 4.0 TB disk6s2

/dev/disk7 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +4.0 TB disk7
Physical Store disk6s2
1: APFS Volume PRO-G40 6.4 GB disk7s1
2: APFS Volume volume-tm-backup-01 152.3 GB disk7s3

Imres-MacBook-Air:~ root#
</pre>

kus

* võrgus samba põhise time-machine varundusele sünteesitakse vastav plokkseade /dev/disk4 ja omakorda /dev/disk5
* lokaalselt külge kinnitatud välisele sandisk-pro-g40 plokkseade on /dev/disk6 ja edasi on seal sünteesitud /dev/disk7 ning eriti /dev/disk7s3
* samba serveris on tm varunduse jaoks üks kataloog välja jagatud 16 TB suuremalt failisüsteemilt, st sellest siin väljundis 16 TB märge

üksiku tm ressursi kohta info küsimine

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/Backups\ of\ Imre’s\ MacBook\ Air
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup/2025-11-09-162452.backup

Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/volume-tm-backup-01
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup/2025-09-19-012830.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup/2025-11-09-165402.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup/2025-11-09-213824.backup
</pre>

===Storage===

Mõisted

* Seal
* Secure Enclave
* FileVault
* Volume Group

Tööpõhimõte

* füüsiline salvestusseade on jaotatud partitsioonideks
* partitsioonile vastab nn konteiner
* konteinerile vastab midagi lvm volume group või zfs pool laadset
* konteineris sisaldub hulk volume'eid
* volumile vastab failisüsteem (apfs - apple file system)
* sama konteineri sees asuvad failisüsteemid opereerivad sama jagatud vaba ruumi tingimustes

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 16.0 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 16.0 GB disk3s1s1
3: APFS Volume Preboot 13.1 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 45.9 GB disk3s5
6: APFS Volume VM 20.5 KB disk3s6
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 156Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 713 0 100% /dev
/dev/disk3s6 228Gi 20Ki 156Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 156Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 156Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 43Gi 156Gi 22% 582k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 156Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 156Gi 2% 76 1.6G 0% /Volumes/Recovery
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
com.apple.TimeMachine.2025-09-05-015510.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-015510/Data
</pre>

Juurika suhtes ressursid

<pre>
Imres-MacBook-Air:/ root# ls -lO /
total 10
lrwxr-xr-x 1 root admin - 36 Jan 15 2025 .VolumeIcon.icns -> System/Volumes/Data/.VolumeIcon.icns
---------- 1 root admin - 0 Jan 15 2025 .file
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .nofollow
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .resolve
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 .vol
drwxrwxr-x 16 root admin sunlnk 512 Sep 5 12:56 Applications
drwxr-xr-x 66 root wheel sunlnk 2112 Sep 3 21:05 Library
drwxr-xr-x@ 10 root wheel restricted 320 Jan 15 2025 System
drwxr-xr-x 5 root admin sunlnk 160 Sep 2 22:41 Users
drwxr-xr-x 6 root wheel hidden 192 Sep 7 11:57 Volumes
drwxr-xr-x@ 39 root wheel restricted,hidden 1248 Jan 15 2025 bin
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 cores
dr-xr-xr-x 4 root wheel hidden 5047 Sep 5 01:14 dev
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 etc -> private/etc
lrwxr-xr-x 1 root wheel hidden 25 Sep 5 01:14 home -> /System/Volumes/Data/home
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 opt
drwxr-xr-x 6 root wheel sunlnk,hidden 192 Sep 5 01:14 private
drwxr-xr-x@ 77 root wheel restricted,hidden 2464 Jan 15 2025 sbin
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 tmp -> private/tmp
drwxr-xr-x@ 11 root wheel restricted,hidden 352 Jan 15 2025 usr
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 var -> private/var
</pre>

kus

* sunlnk - apfs lahendusele iseloomulik nn sünteetline link (teine variatsioon on firmlink)
* /private sisuks on tegelikult volume /System/Volumes/Data
* / on unionfs laadne lahendus, st kokku on kogutud erinevad ressrussid, mõned on read-only, mõned on read-write
* / endale vastav /dev/disk3s1s1 on /dev/disk3s1 read-only apfs snapshot - sedasi on väga madalas kihis tagatud süsteemi osa immutability

ning

<pre>
Imres-MacBook-Air:~ root# diskutil apfs list
APFS Containers (3 found)
|
+-- Container disk3 71D88332-123F-4F15-99AA-FDD26D7118F7
====================================================
APFS Container Reference: disk3
Size (Capacity Ceiling): 245107195904 B (245.1 GB)
Capacity In Use By Volumes: 77898416128 B (77.9 GB) (31.8% used)
Capacity Not Allocated: 167208779776 B (167.2 GB) (68.2% free)
|
+-< Physical Store disk0s2 F202FF0C-8102-4C98-8DEA-BFC6BE9C61B4
| -----------------------------------------------------------
| APFS Physical Store Disk: disk0s2
| Size: 245107195904 B (245.1 GB)
|
+-> Volume disk3s1 9D894F4B-1ADA-47A9-9864-CECA47F5CC54
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s1 (System)
| Name: Macintosh HD (Case-insensitive)
| Mount Point: /System/Volumes/Update/mnt1
| Capacity Consumed: 15970652160 B (16.0 GB)
| Sealed: Broken
| FileVault: Yes (Unlocked)
| Encrypted: No
| |
| Snapshot: E4EE5A50-F503-4DC3-BB9E-6C3EF76A9105
| Snapshot Disk: disk3s1s1
| Snapshot Mount Point: /
| Snapshot Sealed: Yes
|
+-> Volume disk3s2 5C7FF5F7-C059-4568-879D-AEE09DB60CF7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s2 (Preboot)
| Name: Preboot (Case-insensitive)
| Mount Point: /System/Volumes/Preboot
| Capacity Consumed: 13066547200 B (13.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s3 8A6ADAED-7C32-4DFB-8731-005DA53BB3FF
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s3 (Recovery)
| Name: Recovery (Case-insensitive)
| Mount Point: /Volumes/Recovery
| Capacity Consumed: 2082414592 B (2.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s5 53270D80-303A-47F4-83DE-D2B9228E9FC7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s5 (Data)
| Name: Data (Case-insensitive)
| Mount Point: /System/Volumes/Data
| Capacity Consumed: 45915893760 B (45.9 GB)
| Sealed: No
| FileVault: Yes (Unlocked)
|
+-> Volume disk3s6 5B9AA026-E765-4922-BFEA-B48FD11A79C6
---------------------------------------------------
APFS Volume Disk (Role): disk3s6 (VM)
Name: VM (Case-insensitive)
Mount Point: /System/Volumes/VM
Capacity Consumed: 20480 B (20.5 KB)
Sealed: No
FileVault: No
</pre>

iostat esitab ainult füüsiliste seadmete kohta info, huvitaval kombel ka time machine lahendusele vastava seadme (disk4) oma

<pre>
imreoolberg@Imres-MacBook-Air ~ % iostat 5
disk0 disk4 cpu load average
KB/t tps MB/s KB/t tps MB/s us sy id 1m 5m 15m
17.03 37 0.61 52.37 0 0.00 3 1 96 1.12 1.52 1.63
6.17 7 0.04 0.00 0 0.00 2 1 97 1.11 1.51 1.63
4.00 2 0.01 0.00 0 0.00 1 1 98 1.11 1.51 1.63
...
</pre>

Automaatse monteerimise vältimine

<pre>
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored" | grep "Volume UUID"
Volume UUID: CB4A4A81-A9EE-471D-90CA-7A116C740AC6
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored - Data" | grep "Volume UUID"
Volume UUID: 6AB10166-A262-4E22-8FE6-0D5C97C731FB

Imres-MacBook-Air:~ root# vifs

Imres-MacBook-Air:~ root# cat /etc/fstab
#
# Warning - this file should only be modified with vifs(8)
#
# Failure to do so is unsupported and may be destructive.
#

UUID=6AB10166-A262-4E22-8FE6-0D5C97C731FB none apfs rw,noauto
UUID=CB4A4A81-A9EE-471D-90CA-7A116C740AC6 none apfs rw,noauto
</pre>

Vastasel korral süsteem otsib teiselt volume'ilt ka nt Applicationid üles

[[Fail:20250903-spotlight-01.png|600px]]

Kopeerimine failisüsteemis

<pre>
Imres-MacBook-Air:~ root# ditto /Applications/Yubico\ Authenticator.app/ /Users/imreoolberg/Documents/Yubico\ Authenticator.app/
</pre>

Finder GUI liidesega programm.

USB pulk abil apsf opereerimine, volume lisamine

<pre>
Imres-MacBook-Air:~ root# diskutil eraseDisk APFS "USBTEST" /dev/disk4

Imres-MacBook-Air:~ root# diskutil apfs unlockVolume /dev/disk5s4

Imres-MacBook-Air:~ root# diskutil apfs addVolume disk5 APFS volume-05
Will export new APFS Volume "volume-05" from APFS Container Reference disk5
Started APFS operation on disk5
Preparing to add APFS Volume to APFS Container disk5
Creating APFS Volume
Created new APFS Volume disk5s5
Mounting APFS Volume
Setting volume permissions
Disk from APFS operation: disk5s5
Finished APFS operation on disk5

Imres-MacBook-Air:~ root# diskutil unmount /dev/disk5s5
Volume volume-05 on disk5s5 unmounted
Imres-MacBook-Air:~ root# diskutil mount /dev/disk5s5
Volume volume-05 on /dev/disk5s5 mounted

Imres-MacBook-Air:~ root# diskutil apfs deleteVolume /dev/disk5s4
Started APFS operation
Deleting APFS Volume from its APFS Container
Unmounting disk5s4
Erasing any xART session referenced by 9AC9146E-455D-45BA-99EC-3FE32D2CE59B
Deleting Volume
Removing any Preboot and Recovery Directories
Finished APFS operation
</pre>

Konteinerid ja volume'id

<pre>
Imres-MacBook-Air:~ root# df -h | grep part- | sort
/dev/disk5s1 1.9Gi 1.0Mi 1.9Gi 1% 109 19M 0% /Volumes/part-01-volume-01
/dev/disk6s1 3.7Gi 1.0Mi 3.7Gi 1% 109 39M 0% /Volumes/part-02-volume-01
/dev/disk7s1 11Gi 1.0Mi 11Gi 1% 113 119M 0% /Volumes/part-03-volume-01
/dev/disk8s1 12Gi 992Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-01
/dev/disk8s2 12Gi 988Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-02
/dev/disk8s3 12Gi 1.0Mi 11Gi 1% 105 120M 0% /Volumes/part-04-volume-03
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# diskutil list disk4
/dev/disk4 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *30.8 GB disk4
1: EFI EFI 209.7 MB disk4s1
2: Apple_APFS Container disk5 2.0 GB disk4s2
3: Apple_APFS Container disk6 4.0 GB disk4s3
4: Apple_APFS Container disk7 12.2 GB disk4s4
5: Apple_APFS Container disk8 12.4 GB disk4s5
</pre>

kus

* füüsiline ketas on /dev/disk4
* füüsilise ketta partitsioonid on konteinerid /dev/disk5, /dev/disk6 jne
* konteinerite sees on volume'id, nt disk8 sees on kolm tükki, s1, s2 ja s3

ning

[[Fail:20250909-disk-utility-01.png|800px]]

kus

* TODO

Failide arhiveerime ja kopeerimine süsteemist välja

<pre>
imreoolberg@Imres-MacBook-Air ~ % ditto -ck --sequesterRsrc /Users/imreoolberg /Volumes/imre-data-01/users-imreoolberg.zip
</pre>

====TRIM====

<pre>
Imres-MacBook-Air:~ root# system_profiler SPNVMeDataType
NVMExpress:

Apple SSD Controller:

APPLE SSD AP0256Z:

Capacity: 251 GB (251,000,193,024 bytes)
TRIM Support: Yes
Model: APPLE SSD AP0256Z
Revision: 2,077.140
Serial Number: 0ba028eb8328ce39
Detachable Drive: No
BSD Name: disk0
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
iSCPreboot:
Capacity: 524.3 MB (524,288,000 bytes)
BSD Name: disk0s1
Content: Apple_APFS_ISC
Macintosh HD:
Capacity: 245.11 GB (245,107,195,904 bytes)
BSD Name: disk0s2
Content: Apple_APFS
Recovery:
Capacity: 5.37 GB (5,368,664,064 bytes)
BSD Name: disk0s3
Content: Apple_APFS_Recovery

Generic SSD Controller:

WD_BLACK SN850XE 4000GB:

Capacity: 4 TB (4,000,787,030,016 bytes)
TRIM Support: Yes
Model: WD_BLACK SN850XE 4000GB
Revision: 624131EX
Serial Number: 24525S801688
Link Width: x4
Link Speed: 8.0 GT/s
Detachable Drive: No
BSD Name: disk4
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
EFI:
Capacity: 209.7 MB (209,715,200 bytes)
File System: MS-DOS FAT32
BSD Name: disk4s1
Content: EFI
Volume UUID: 0E239BC6-F960-3107-89CF-1C97F78BB46B
PRO-G40:
Capacity: 4 TB (4,000,577,273,856 bytes)
BSD Name: disk4s2
Content: Apple_APFS
</pre>

kus

* TRIM Support: Yes - trim on nendel seadmetel asuvatel apfs failisüsteemidel võimalik ja kohal st sisselülitatud
* apfs trim on ext4 fstab 'discard' sarnane, mitte 'fstrim /' cron jobs abil ütlemise sarnane
* Model: APPLE SSD AP0256Z - '256' väljendab suurust 256 GB, nt teine mudel on AP1024Z ja väljendab suurust 1 TB

===Launchd kasutamine===

<pre>
Imres-MacBook-Air:/ root# cat /Library/LaunchDaemons/com.myname.addroute.plist
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key>
<string>com.myname.addroute</string>
<key>ProgramArguments</key>
<array>
<string>/sbin/route</string>
<string>-n</string>
<string>add</string>
<string>192.0.2.1/32</string>
<string>192.168.64.2</string>
</array>
<key>RunAtLoad</key>
<true/>
</dict>
</plist>
</pre>

käivitamiseks

<pre>
Imres-MacBook-Air:/ root# launchctl load /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

tulemusena

<pre>
Imres-MacBook-Air:/ root# netstat -nr | grep 192.0.
192.0.2.1/32 192.168.64.2 UGSc bridge100
</pre>

Ta on olemas globaalses launched listis

<pre>
Imres-MacBook-Air:/ root# launchctl list | grep myn
- 0 com.myname.addroute
</pre>

Põhimõtteliselt peaks töötama ka unload, aga antud juhul ei oma see toimet selle konkreetse nähtuse one-shot olemuse tõttu

<pre>
Imres-MacBook-Air:/ root# launchctl unload /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

====Cron====

TODO

<pre>
Imres-MacBook-Air:~ root# plutil -p /System/Library/LaunchDaemons/com.apple.tmp_cleaner.plist
{
"Label" => "com.apple.tmp_cleaner"
"LowPriorityIO" => 1
"Nice" => 1
"ProgramArguments" => [
0 => "/usr/libexec/tmp_cleaner"
]
"StartCalendarInterval" => {
"Hour" => 0
}
}
</pre>

===Virtualiseerimine - UTM===

Süsteemis kirjeldatud virtuaalsed arvutid

<pre>
Imres-MacBook-Air:/ root# /System/Volumes/Data/Applications/UTM.app/Contents/MacOS/utmctl list
UUID Status Name
DE2A3E49-B049-40F9-9D79-3C1448B446C9 started vm-deb13-01
</pre>

Virtuaalse arvuti virtuaalne plokkseade

<pre>
Imres-MacBook-Air:/ root# du -sh /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
5.9G /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
</pre>

Virtuaalsele arvutile vastav võrgundus

<pre>
Imres-MacBook-Air:/ root# ifconfig bridge100
bridge100: flags=8a63<UP,BROADCAST,SMART,RUNNING,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
options=3<RXCSUM,TXCSUM>
ether fa:73:df:a0:51:64
inet 192.168.64.1 netmask 0xffffff00 broadcast 192.168.64.255
inet6 fe80::f873:dfff:fea0:5164%bridge100 prefixlen 64 scopeid 0x19
inet6 fda5:2ff0:49ee:6d45:14d7:6e80:6b22:c592 prefixlen 64 autoconf secured
Configuration:
id 0:0:0:0:0:0 priority 0 hellotime 0 fwddelay 0
maxage 0 holdcnt 0 proto stp maxaddr 100 timeout 1200
root id 0:0:0:0:0:0 priority 0 ifcost 0 port 0
ipfilter disabled flags 0x0
member: vmenet0 flags=3<LEARNING,DISCOVER>
ifmaxaddr 0 port 24 priority 0 path cost 0
Address cache:
5e:7f:36:30:6b:51 Vlan1 vmenet0 1161 flags=0<>
nd6 options=201<PERFORMNUD,DAD>
media: autoselect
status: active

Imres-MacBook-Air:/ root# ifconfig vmenet0
vmenet0: flags=8963<UP,BROADCAST,SMART,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
ether b2:7a:48:40:de:47
media: autoselect
status: active
</pre>

===Virtualiseerimine - Virtualization.framework===

TODO

Väited

* Virtualization.framework kasutamine on võimalik UTM lahendusega
* Virtualization.framework'i kasutab Rancher Desktop lahendendus
* Virtualization.framework'i kasutab Claude Desktop lahendendus (Claude Cowork ja Claude Code puhul)

Virtuaalsetele arvutitele vastavad protsessid paistavad sellised

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep Virtuali
imreoolberg 9439 0.9 4.3 439637536 728784 ?? Ss 5:05PM 8:35.18 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
imreoolberg 2439 0.3 0.3 439691712 46720 ?? Ss 10:05AM 4:55.14 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 2439 -P -n | grep claudevm
com.apple 2439 imreoolberg txt REG 1,13 131072 124423025 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/efivars.fd
com.apple 2439 imreoolberg 6u REG 1,13 10737418240 124154442 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/rootfs.img
com.apple 2439 imreoolberg 11u REG 1,13 35880960 124155054 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/sessiondata.img
</pre>

Kasulikud lisamaterjalid

* https://developer.apple.com/documentation/virtualization?language=objc

===Võrk===

Vaikimisi on application firewall välja lülitatud

<pre>
Imres-MacBook-Air:~ root# /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is disabled. (State = 0)
</pre>

ning pfctl olukord

<pre>
Imres-MacBook-Air:~ root# pfctl -si
No ALTQ support in kernel
ALTQ related functions disabled
Status: Enabled for 0 days 00:05:41 Debug: Urgent

State Table Total Rate
current entries 113
searches 11661 34.2/s
inserts 370 1.1/s
removals 257 0.8/s
Counters
match 579 1.7/s
bad-offset 0 0.0/s

Imres-MacBook-Air:~ root# pfctl -ss
No ALTQ support in kernel
ALTQ related functions disabled
ALL tcp 192.168.134.76:57540 -> 192.168.10.77:8291 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61048 <- 104.18.39.21:443 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61225 -> 192.168.10.196:80 ESTABLISHED:ESTABLISHED
ALL udp 192.168.134.76:49898 -> 142.251.151.119:443 MULTIPLE:MULTIPLE
..
</pre>

Parasjagu avatud võrgusoketid

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4TCP -sTCP:LISTEN
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 8u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 12u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 36u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
launchd 1 root 38u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
ControlCe 632 imreoolberg 10u IPv4 0xde3561cefae81e29 0t0 TCP *:7000 (LISTEN)
ControlCe 632 imreoolberg 12u IPv4 0xbbbca5f5375388e5 0t0 TCP *:5000 (LISTEN)
rapportd 633 imreoolberg 10u IPv4 0x7505a25821d3a7df 0t0 TCP *:49152 (LISTEN)
zabbix_ag 6815 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
zabbix_ag 6816 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
...
</pre>

kus

* vaikimisi pfctl ei ole aktiivne, aga nt utm virtuaalse arvuti käivitamine aktiveerib (pfctl teeb utm arvutile src-nat teisendust
* pfctl laseb praktiliselt igasuguse liikluse läbi (nö tavaline brauser -> internet liiklus jms nö registreeritakse pfctl paketifiltriga, aga lubatakse läbi)
* 8021 on pfctl ftp-proxy mooduliga seotud
* 7000 ja 5000 pordid on seotud airdrop ja airport jms osakondadega (airport on vana aja nimetus everything-wifi kohta mac puhul)

Misc

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4UDP
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 7u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 8u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 39u IPv4 0x8d461240652f3ced 0t0 UDP *:138
launchd 1 root 40u IPv4 0xb4b96b1c5de038ec 0t0 UDP *:137
mDNSRespo 441 _mdnsresponder 6u IPv4 0x2d5727fb23b4e854 0t0 UDP *:5353
mDNSRespo 441 _mdnsresponder 14u IPv4 0x1ed59c3cb4235fee 0t0 UDP *:53
airportd 455 root 4u IPv4 0x6e0c4f2c444299c 0t0 UDP *:*
airportd 455 root 9u IPv6 0xea04c0f07ef2ac65 0t0 UDP *:*
airportd 455 root 11u IPv4 0xb4a853f1977e96bf 0t0 UDP *:*
airportd 455 root 12u IPv4 0x6e9d20d0d8a5c95f 0t0 UDP *:*
...
</pre>

====Riistvara====

Võrguliidese MTU muutmiseks

<pre>
imreoolberg@Imres-MacBook-Air ~ % networksetup -listallnetworkservices
An asterisk (*) denotes that a network service is disabled.
USB 10/100/1000 LAN
USB 10/100/1G/2.5G LAN
USB 10/100/1G/2.5G LAN 2
Thunderbolt Bridge
Wi-Fi

imreoolberg@Imres-MacBook-Air ~ % networksetup -getMTU Wi-Fi
Active MTU: 1500 (Current Setting: 1500)

# networksetup -setMTU Wi-Fi 1400
</pre>

====Ruuting====

ipv4 ruutingutabeli esitamine

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet
Routing tables

Internet:
Destination Gateway Flags Netif Expire
default 192.168.134.77 UGScg en0
127 127.0.0.1 UCS lo0
127.0.0.1 127.0.0.1 UH lo0
169.254 link#12 UCS en0 !
192.168.134 link#12 UCS en0 !
192.168.134.2/32 link#12 UCS en0 !
192.168.134.77/32 link#12 UCS en0 !
192.168.134.77 64:d1:54:a7:cc:99 UHLWIir en0 1199
192.168.134.255 ff:ff:ff:ff:ff:ff UHLWbI en0 !
224.0.0/4 link#12 UmCS en0 !
224.0.0.251 1:0:5e:0:0:fb UHmLWI en0
255.255.255.255/32 link#12 UCS en0 !
</pre>

====Võrk - bluetooth====

Kuigi 2025 aastal müüdavate Apple Magic Keyboard puhul paljuski väljendatakse, et nad on kasutatavad wireless režiimis ja jääb mulje, et ainult nii, siis osutub, et tegelikult neil on toiteks mõeldud usb kaabel usb siiski ka andmevahetuseks võimaline. non-radio kasutamiseks

* system setting - bluetooth osakonnas lülitada välja bluetooth terviklikult, näiteks
* klaviatuur jätkab töötamist

====Võrk - wireless====

<pre>
Imres-MacBook-Air:~ root# wdutil info | head -n 44
————————————————————————————————————————————————————————————————————
NETWORK
————————————————————————————————————————————————————————————————————
Primary IPv4 : en0 (Wi-Fi / 9B1345E5-7303-47E8-9C98-5C1D150E7921)
: 192.168.134.74
Primary IPv6 : None
DNS Addresses : 1.1.1.1
Apple : Reachable
————————————————————————————————————————————————————————————————————
WIFI
————————————————————————————————————————————————————————————————————
MAC Address : <redacted> (hw=<redacted>)
Interface Name : en0
Power : On [On]
Op Mode : STA
SSID : <redacted>
BSSID : <redacted>
RSSI : -83 dBm
CCA : 2 %
Noise : -94 dBm
Tx Rate : 65.0 Mbps
Security : WPA2 Personal
PHY Mode : 11ac
MCS Index : 1
Guard Interval : 400
NSS : 1
Channel : 5g36/80
Country Code : EE
Scan Cache Count : 3
NetworkServiceID : 9B1345E5-7303-47E8-9C98-5C1D150E7921
IPv4 Config Method : DHCP
IPv4 Address : 192.168.134.74
IPv4 Router : 192.168.134.77
IPv6 Config Method : Automatic
IPv6 Address : fe80::ccb:dc0f:9b07:4271
IPv6 Router : None
DNS : 1.1.1.1
BTC Mode : Off
Desense :
Chain Ack : []
BTC Profile 2.4GHz : Disabled
BTC Profile 5GHz : Disabled
Sniffer Supported : YES
Supports 6e : Yes
</pre>

kus

* alumiselt pildilt tunneb ära sama info, nt channel 5g36/80
* 11ac tähistab protokolli 802.11ac

Visuaalne kujutis samas olukorras

[[Fail:20260718-macos-wifi-01.png|1000px]]

kus

* TODO

====SSH kaugligipääs====

Eemalt ligipääsu võimaldamiseks, ei pruugi olla hea mõte

[[Fail:20260706-macos-ssh-remote-access-01.png|600px]]

kus

* Remote Login

===Tarkvara haldus===

====Mõisted====

* DMG - disk image

====Sissejuhatus====

Üldiselt tekib tarkvara macos süsteemi kolmest allikast

* süsteemne tarkvara - nö süsteemi enda paigaldamise tagajärel, nt Safari brauser
* App Store - apple.com standardne viis tarkvara levitada, nt Yubico Authenticator
* tootja levitab - igasugused huvilised, ausama ja vähem ausamad levitavad .dmg formaadis tõmmist oma veebikohas/repos/jms - nt BetterTouchTool

Tarkvara paigaldamisel võiks eelistada App Store lahendust võimalusel

* tarkvara on läbinud teatud turvalisuse jms kaanonitega seotud protseduurid
* paigaldamise järgne uuendamine toimub automaatselt, sarnaselt põhisüsteemi tarkvaraga

Rakenduste jaoks on üldiselt kolm asukohta failisüsteemis

* /System/Applications - read only
* /Applications - read write
* ~/Applications ehk nt /Users/imreoolberg/Applications - read write

~/Applications kataloogi on realistlik paigaldada nö lihtsat tarkvara, nt mis ei sisalda kernel extensioneid vms (nt OpenVPN ei saa, aga XCA saab). Paigaldamine toimub Finder gui liideses .dmg sees oleva .app kataloogi vedamise teel ~/Applications kataloogi või käsureal nt

$ ditto /Volumes/XCA/xca.app ~/Applications

====Tarkvara allikad====

TODO

Mitte-ametlikud registrid

* https://www.macupdate.com/
* https://www.apponic.com/mac/

====Tööpõhimõte - drag-and-drop install====

Tundub, et lihtsamal juhul tarkvara paigaldamine seisneb lihtsalt failide kopeerimises .dmg failist arvuti kataloogi /Applications. .dmg faili moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil create -ov -fs "APFS" -size 200m -volname "SimpleCalc" MyDisk.dmg
</pre>

monteerimine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil attach MyDisk.dmg
</pre>

Sisu moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % date > /Volumes/SimpleCalc/testfile.txt
</pre>

lahti ühendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil detach /Volumes/SimpleCalc
</pre>

teisendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil convert MyDisk.dmg -format UDZO -o SimpleCalc-1.0.dmg
</pre>

Kui on soov läbi proovida nö omatehtud .dmg ja elamus, siis sobib

* mingi olemasolev lihtne .app põhine rakendus võtta aluseks - nt xca rakendus
* tema sisu kopeerida omatehtud .dmg sisse
* lõpuks selle abil tarkvara paigaldada

Osutub, et kui Finderis öelda Open siis monteeritaks .dmg nagu virtuaalne failipõhine plokkseade, mille juurkataloogi sisuks on peamiselt kaks sissekannet

* link /Applications kataloogile
* xca.app kataloog rakendusega

Ja Open avab ka nö erilises vaates Finderi, kus on näha nö traditsiooniline hiirega drag-and-drop install vaade, tehniliselt toimub tavaline kataloog-kopeeritakse-kataloogi muudatus.

MacOS sellist drag viisil tehtud tarkvara paigalduse ei registreeri kuskil keskses tarkvara-registris vms. Selline tarkvara paigaldamine on tehniliselt kataloogi kopeerimine, millega kaasneb signatuuri kontroll jms administratiivne element.

====Tööpõhimõte - installer packages====

<pre>
$ pkgutil --packages
$ pkgutil --files paketinimi
</pre>

====Paigaldatud tarkvara nimekirja esitamine====

GUI

<pre>
System Settings -> General -> System report -> Software -> Applications -> not obtained-from Apple
</pre>

käsurealt

<pre>
imreoolberg@Imres-MacBook-Air ~ % system_profiler SPApplicationsDataType | grep -B 3 -A 5 "Identified De" | head -n 20
Google Chrome:

Version: 140.0.7339.81
Obtained from: Identified Developer
Last Modified: 30.08.2025, 01:47
Kind: Universal
Signed by: Developer ID Application: Google LLC (EQHXZ8M8AV), Developer ID Certification Authority, Apple Root CA
Location: /Applications/Google Chrome.app
Get Info String: Google Chrome 140.0.7339.81, Copyright 2025 Google LLC. All rights reserved.
--
iTerm:

Version: 3.5.14
Obtained from: Identified Developer
Last Modified: 16.05.2025, 02:59
Kind: Universal
Signed by: Developer ID Application: GEORGE NACHMAN (H7V7XYVQ7D), Developer ID Certification Authority, Apple Root CA
Location: /Applications/iTerm.app
Get Info String: 3.5.14
--
</pre>

Üks viis on küsida failisüsteemis

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep imreoo
drwxr-xr-x@ 3 imreoolberg staff 96 Sep 3 11:10 /Applications/BetterTouchTool.app
drwxrwxr-x@ 3 imreoolberg admin 96 Aug 30 01:47 /Applications/Google Chrome.app
drwxr-xr-x@ 3 imreoolberg staff 96 May 16 02:59 /Applications/iTerm.app
drwxr-xr-x@ 3 imreoolberg admin 96 Apr 8 08:11 /Applications/UTM.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 25 15:41 /Applications/Visual Studio Code.app

imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep qdigi
drwxr-xr-x@ 3 root wheel 96 Sep 8 16:56 /Applications/qdigidoc4.app
</pre>

kus

* sõltuvalt paigaldusviisist on faili omanik erinev
* põhimõtteliselt tekib sellisest lähenemisest probleeme, nt mis siis kui süsteemil on mitu kasutajat, installinud kasutaja eemaldatakse jne - üks viis on kasutada süsteemis ühte non-personal administraator kasutajat kes tegeleb tarkvara paigaldamisega jms, ja ülejäänud kasutavad tarkvara
* @ tähistab asjaolu, et failiga on seotud apfs failisüsteemi extended attributs omadused, nt registreeritakse sedasi autor

<pre>
imreoolberg@Imres-MacBook-Air ~ % xattr -p com.apple.appstore.vendor_name "/Applications/Yubico Authenticator.app"
Yubico
</pre>

====Paigaldamine - App Store====

TODO

[[Fail:20250908-app-store-yubico-authenticator-01.png|900px]]

kus

* pressida Get -> Install -> Open
* tarkvara 'Obtained from' väärtuseks on 'App store'
* online otsing - https://www.apple.com/us/search/yubico?src=globalnav

====Paigaldamine - tootja juurest kopeerides====

TODO

====Tarkvara uuendamine====

Väited

* tarkvara uuendusi ei väljastata kindlaksmääratud aegadel (nt nagu Ubuntu või OpenBSD puhul)
* tarkvara uuendusi väljastatakse mitmel korral aastas ja vastavalt vajadusele
* tarkvara uuendused jaotuvad: 1. turva-uuendused, 2. vigade parandused, 3. funktsionaalsed muudatused
* tarkvara uuendusi koheldatakse terviklikult, st ei ole eraldi nt süsteemi osas ja rakendustarkvara, või pakettide nimekiri, millest saab teha käesoleva uuenduse korra jaoks valiku

Nt 2025 aastal on olnud selline uuenduste ajalugu

* January 27: macOS Sequoia 15.3, macOS Sonoma 14.7.3, and macOS Ventura 13.7.3 were released with security patches.
* February 10: An urgent security update, macOS Sequoia 15.3.1, was released.
* March 11: macOS Sequoia 15.3.2 was released, addressing security vulnerabilities in WebKit.
* March 31: macOS Sequoia 15.4, macOS Sonoma 14.7.5, and macOS Ventura 13.7.5 were released.
* April 16: macOS Sequoia 15.4.1 was released, providing security patches.
* May 12: macOS Sequoia 15.5, macOS Sonoma 14.7.6, and macOS Ventura 13.7.6 were released.
* July 29: macOS Sequoia 15.6, macOS Sonoma 14.7.7, and macOS Ventura 13.7.7 were released.
* August 20: macOS Sequoia 15.6.1 was released with security updates.

Käsundamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % sw_vers
ProductName: macOS
ProductVersion: 15.3
BuildVersion: 24D2059

imreoolberg@Imres-MacBook-Air ~ % softwareupdate -l
Software Update Tool

Finding available software
Software Update found the following new or updated software:
* Label: macOS Sequoia 15.6.1-24G90
Title: macOS Sequoia 15.6.1, Version: 15.6.1, Size: 6160384KiB, Recommended: YES, Action: restart,
</pre>

====Tarkvara uuendamine - App Store====

App Store rakendus vasakus paneelis on kõige all valik

Updates

[[Fail:20251203-macos-app-store-updates-01.png|800px]]

===Logi===

TODO

Kui klaviatuuri ja hiire kasutamine olid ebastabiilsed, siis soovitas gemini.google midagi sellist küsida, ei tea mis siit järeldada

<pre>
imreoolberg@Imres-MacBook-Air ~ % log show --predicate 'process == "WindowServer"' --style syslog --last 40m| grep -i skyl | tail -n 10
2026-07-06 00:49:00.495406+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:00.600614+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.751674+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.767823+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.824865+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] pid 771 failed to act on a ping it dequeued before timing out.
2026-07-06 00:49:00.847454+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.083920+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.175320+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.498496+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:01.498503+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
</pre>

===Misc===

====Screen Lock====

Tundub, et caffeinate on hästi efektiivne

$ caffeinate -di

====Watchdog====

Väited

* hardware watchdog on paratamatult sisse lülitatud
* software watchdog on seaditatav, vaikimisi on sisse lülitatud

<pre>
TODO
</pre>

====Programm====

Käivitamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % open -a BetterTouchTool
imreoolberg@Imres-MacBook-Air ~ %

imreoolberg@Imres-MacBook-Air ~ % "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
13:09:53.164 [desktop.init] INFO: Logging initialized, outputting to stderr
13:09:53.173 [desktop.init] INFO: Window hidden on startup: false
13:09:53.174 [desktop.init] INFO: Starting Helper subprocess: /Applications/Yubico Authenticator.app/Contents/Resources/helper/authenticator-helper
13:09:53.175 [desktop.init] INFO: Helper process started
13:09:53.176 [main] INFO: Running Yubico Authenticator...
{app_version: 7.2.3, dart: 3.8.1 (stable) (Wed May 28 00:47:25 2025 -0700) on "macos_arm64", os: macos, os_version: Version 15.6.1 (Build 24G90)}
13:09:53.302 [helper.ykman.logging] INFO: Logging at level: INFO
13:09:53.302 [helper.helper.device] INFO: Log level set to: INFO
13:09:53.302 [desktop.init] INFO: Helper log level set
13:09:53.327 [desktop.devices] INFO: USB state change
{"data":{"state":5740354900026072187,"pids":{}},"actions":["get","scan"],"children":{}}
13:09:53.327 [desktop.devices] INFO: USB state updated, unaccounted for: {}
..
</pre>

edasi

<pre>
Imres-MacBook-Air:/ root# file "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator: Mach-O universal binary with 2 architectures: [x86_64:Mach-O 64-bit executable x86_64] [arm64:Mach-O 64-bit executable arm64]
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture x86_64): Mach-O 64-bit executable x86_64
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture arm64): Mach-O 64-bit executable arm64
Imres-MacBook-Air:/ root#
</pre>

<pre>
imreoolberg@Imres-MacBook-Air Documents % cat hello.c
#include <stdio.h>

int main() {
printf("Hello, World!\n");
return 0;
}
</pre>

kompileerimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % clang hello.c -o hello
</pre>

käivitamine

<pre>
imreoolberg@Imres-MacBook-Air Documents % ./hello
Hello, World!
</pre>

otool abil binary uurimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % otool -L hello
hello:
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1351.0.0)
</pre>

yubico authenticator binary uurimine

<pre>
Imres-MacBook-Air:/ root# otool -L "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture x86_64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture arm64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
</pre>

kus

* @rpath viitab rakenduse kapsli sisestele ressurssidele

====dtruss====

<pre>
Imres-MacBook-Air:/ root# dtruss -p 65630 2>&1 | tail -n 1

: probe description syscall:::entry does not match any probes. System Integrity Protection is on

imreoolberg@Imres-MacBook-Air Documents % dtruss ./hello
dtrace: system integrity protection is on, some features will not be available
dtrace: failed to initialize dtrace: DTrace requires additional privileges
</pre>

====Screenshot====

Tähistatud ala

<pre>
Command + Shift + 4
</pre>

Kogu ekraan

<pre>
Command + Shift + 3
</pre>

Screen cast

<pre>
Command + Shift + 5
</pre>

Vaikimisi asub pildistus iseloomuliku nimega failis desktopil.

===Süsteemi taastamine===

====Recovery meedia ettevalmistamine====

<pre>
Imres-MacBook-Air:/ root# diskutil eraseDisk JHFS+ "MyVolume" /dev/disk4
Started erase on disk4
Unmounting disk
Creating the partition map
Waiting for partitions to activate
Formatting disk4s2 as Mac OS Extended (Journaled) with name MyVolume
Initialized /dev/rdisk4s2 as a 28 GB case-insensitive HFS Plus volume with a 8192k journal
Mounting disk
Finished erase on disk4

Imres-MacBook-Air:/ root# /Applications/Install\ macOS\ Sequoia.app/Contents/Resources/createinstallmedia --volume /Volumes/MyVolume
Ready to start.
To continue we need to erase the volume at /Volumes/MyVolume.
If you wish to continue type (Y) then press return: y
Erasing disk: 0%... 10%... 20%... 30%... 100%
Copying essential files...
Copying the macOS RecoveryOS...
Making disk bootable...
Copying to disk: 0%... 10%... 20%... 30%... 40%... 50%... 60%... 70%... 80%... 90%... 100%
Install media now available at "/Volumes/Install macOS Sequoia"
Imres-MacBook-Air:/ root# echo $?
0

# diskutil unmount /Volumes/Install\ macOS\ Sequoia
</pre>

Protseduur

1. Create a New APFS Volume
The first step is to create a new, separate volume on your internal drive where you will restore the backup.

Boot from your USB installer by holding the Option key on startup.

In the macOS Utilities window, select Disk Utility and click Continue.

In Disk Utility, go to the menu bar and select View > Show All Devices.

In the sidebar, select the APFS container (the device, not the volume) that holds your current macOS installation.

Click the + button in the toolbar to add a new APFS volume.

Give the new volume a name (e.g., "macOS Restored") and click Add. This process is very fast as APFS volumes share the same free space.

Once the new volume appears in the sidebar, close Disk Utility.

2. Restore the Backup to the New Volume
Now that the new volume is ready, you can restore your Time Machine backup to it.

From the macOS Utilities window, select Restore From Time Machine Backup and click Continue.

Follow the on-screen instructions, selecting your Time Machine backup drive when prompted.

When the installer asks you to choose a destination disk, you will see your original macOS volume and the new "macOS Restored" volume you just created.

Select the new "macOS Restored" volume as the destination for the restoration. The installer will then proceed to restore the system to that specific volume only.

After the restoration is complete, you can restart your Mac and, by holding down the Option key, you will be able to choose between your original macOS system and the restored system on the second volume.

===homebrew===

<pre>
imre@imre-mac ~ % /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
==> Checking for `sudo` access (which may request your password)...
Password:
==> This script will install:
/opt/homebrew/bin/brew
/opt/homebrew/share/doc/homebrew
/opt/homebrew/share/man/man1/brew.1
/opt/homebrew/share/zsh/site-functions/_brew
/opt/homebrew/etc/bash_completion.d/brew
/opt/homebrew
/etc/paths.d/homebrew
==> The following new directories will be created:
/opt/homebrew/bin
/opt/homebrew/etc
/opt/homebrew/include
/opt/homebrew/lib
/opt/homebrew/sbin
/opt/homebrew/share
/opt/homebrew/var
/opt/homebrew/opt
/opt/homebrew/share/zsh
/opt/homebrew/share/zsh/site-functions
/opt/homebrew/var/homebrew
/opt/homebrew/var/homebrew/linked
/opt/homebrew/Cellar
/opt/homebrew/Caskroom
/opt/homebrew/Frameworks
==> The Xcode Command Line Tools will be installed.

Press RETURN/ENTER to continue or any other key to abort:
==> /usr/bin/sudo /usr/bin/install -d -o root -g wheel -m 0755 /opt/homebrew
==> /usr/bin/sudo /bin/mkdir -p /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod ug=rwx /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod go-w /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions
==> /usr/bin/sudo /usr/sbin/chown imre /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/bin/chgrp admin /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/sbin/chown -R imre:admin /opt/homebrew
==> Searching online for the Command Line Tools
==> /usr/bin/sudo /usr/bin/touch /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Installing Command Line Tools for Xcode-16.4
==> /usr/bin/sudo /usr/sbin/softwareupdate -i Command\ Line\ Tools\ for\ Xcode-16.4
Software Update Tool

Finding available software

Downloading Command Line Tools for Xcode

Downloaded Command Line Tools for Xcode
Installing Command Line Tools for Xcode
Done with Command Line Tools for Xcode
Done.
==> /usr/bin/sudo /usr/bin/xcode-select --switch /Library/Developer/CommandLineTools
Password:
Sorry, try again.
Password:
==> /usr/bin/sudo /bin/rm -f /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Downloading and installing Homebrew...
remote: Enumerating objects: 310493, done.
remote: Counting objects: 100% (16399/16399), done.
remote: Compressing objects: 100% (608/608), done.
remote: Total 310493 (delta 15991), reused 15838 (delta 15791), pack-reused 294094 (from 3)
remote: Enumerating objects: 55, done.
remote: Counting objects: 100% (34/34), done.
remote: Total 55 (delta 33), reused 33 (delta 33), pack-reused 21 (from 1)
==> /usr/bin/sudo /bin/mkdir -p /etc/paths.d
==> /usr/bin/sudo tee /etc/paths.d/homebrew
/opt/homebrew/bin
==> /usr/bin/sudo /usr/sbin/chown root:wheel /etc/paths.d/homebrew
==> /usr/bin/sudo /bin/chmod a+r /etc/paths.d/homebrew
==> Updating Homebrew...
==> Downloading https://ghcr.io/v2/homebrew/portable-ruby/portable-ruby/blobs/sha256:20fa657858e44a4b39171d6e4111f8a9716eb62a78ebbd1491d94f90bb7b830a
################################################################################################################################################################ 100.0%
==> Pouring portable-ruby-3.4.5.arm64_big_sur.bottle.tar.gz
==> Installation successful!

==> Homebrew has enabled anonymous aggregate formulae and cask analytics.
Read the analytics documentation (and how to opt-out) here:
https://docs.brew.sh/Analytics
No analytics data has been sent yet (nor will any be during this install run).

==> Homebrew is run entirely by unpaid volunteers. Please consider donating:
https://github.com/Homebrew/brew#donations

==> Next steps:
- Run these commands in your terminal to add Homebrew to your PATH:
echo >> /Users/imre/.zprofile
echo 'eval "$(/opt/homebrew/bin/brew shellenv)"' >> /Users/imre/.zprofile
eval "$(/opt/homebrew/bin/brew shellenv)"
- Run brew help to get started
- Further documentation:
https://docs.brew.sh

imre@imre-mac ~ %
</pre>

pyhton 3.13

<pre>
imre@imre-mac ti % brew install python@3.13
==> Fetching downloads for: python@3.13
==> Downloading https://ghcr.io/v2/homebrew/core/python/3.13/manifests/3.13.7
#################################################################################################################### 100.0%
==> Fetching dependencies for python@3.13: mpdecimal, ca-certificates, openssl@3, readline, sqlite and xz
==> Downloading https://ghcr.io/v2/homebrew/core/mpdecimal/manifests/4.0.1
#################################################################################################################### 100.0%
==> Fetching mpdecimal
...

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
==> Summary
🍺 /opt/homebrew/Cellar/python@3.13/3.13.7: 3,620 files, 66.6MB
==> Running `brew cleanup python@3.13`...
Disable this behaviour by setting `HOMEBREW_NO_INSTALL_CLEANUP=1`.
Hide these hints with `HOMEBREW_NO_ENV_HINTS=1` (see `man brew`).
==> No outdated dependents to upgrade!
==> Caveats
==> python@3.13
Python is installed as
/opt/homebrew/bin/python3

Unversioned symlinks `python`, `python-config`, `pip` etc. pointing to
`python3`, `python3-config`, `pip3` etc., respectively, are installed into
/opt/homebrew/opt/python@3.13/libexec/bin

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
imre@imre-mac ti %

(py_venv) imre@imre-mac ti % brew tap hashicorp/tap
==> Tapping hashicorp/tap
Cloning into '/opt/homebrew/Library/Taps/hashicorp/homebrew-tap'...
remote: Enumerating objects: 5818, done.
remote: Counting objects: 100% (1132/1132), done.
remote: Compressing objects: 100% (221/221), done.
remote: Total 5818 (delta 1015), reused 913 (delta 911), pack-reused 4686 (from 3)
Receiving objects: 100% (5818/5818), 1.01 MiB | 1.18 MiB/s, done.
Resolving deltas: 100% (4104/4104), done.
Tapped 2 casks and 32 formulae (93 files, 1.3MB).
(py_venv) imre@imre-mac ti % brew install hashicorp/tap/vault
</pre>

===Xcode Command Line Tools===

Xcide CLI koosseisu kuuluvad muu hulgas

* git
* clang
* gcc

Paigaldamiseks sobib öelda

<pre>
# xcode-select --install
</pre>

to check

<pre>
imreoolberg@Imres-MacBook-Air ~ % xcode-select -p
/Library/Developer/CommandLineTools
</pre>

===Spaces===

Väited

* Spaces võimaldab tegeleda macos peal virtuaalsete desktop'idega
* käitumist kontrollib üldiselt 'System Settings -> Desktop & Dock -> Displays have separate Spaces' väärtus (vaikimisi 'On')
* F3 klahv abil saab Spaces riba kuvada monitoride üleosas
* Space'i saab liigutada monitoride vahel hiirega tirides, v.a. aktiivset space'i
* Space'ide vahel saab liikuda Control + left/righ arrow key abil
* Rakendust saab liigutada space'ide vahel minnes nn Mission Control vaatesse ja siis hiirega rakenduse akent lohistades
* Space sulgemisel paigutatakse vastavad aknad eelmisele space'ile

===Kellaaeg===

Süsteemi aeg

<pre>
Imres-MacBook-Air:~ root# date
Sat Sep 13 23:36:17 EEST 2025
</pre>

NTP serverilt kellaaja küsimine

<pre>
Imres-MacBook-Air:~ root# sntp time.apple.com
+0.049514 +/- 0.014280 time.apple.com 17.253.38.35
</pre>

Väärtuse küsimine

<pre>
Imres-MacBook-Air:~ root# systemsetup -getnetworktimeserver
Network Time Server: time.euro.apple.com
</pre>

Väärtuse muutmine

<pre>
Imres-MacBook-Air:~ root# systemsetup -setnetworktimeserver time.euro.apple.com
</pre>

Logist kellaajaga seotud sündmuste kohta küsimine

<pre>
Imres-MacBook-Air:~ root# log stream --predicate 'subsystem == "com.apple.timed"
</pre>

Kas kellaaeg automaatne hoidmine on kasutuses

<pre>
Imres-MacBook-Air:~ root# systemsetup -getusingnetworktime
Network Time: On
</pre>

===BSD pärand===

<pre>
imreoolberg@Imres-MacBook-Air ~ % which openssl
/usr/bin/openssl
imreoolberg@Imres-MacBook-Air ~ % openssl version
LibreSSL 3.3.6

Imres-MacBook-Air:~ root# ssh -V
OpenSSH_9.9p2, LibreSSL 3.3.6

Imres-MacBook-Air:~ root# pfctl -v
No ALTQ support in kernel
ALTQ related functions disabled

Imres-MacBook-Air:~ root# netstat -nr -f inet
</pre>

Süsteemsete kasutajate nimed algavad alakriipsuga (nt sarnaselt toimib OpenBSD), nt timed (ntp local protsess) töötab kasutajana _timed

<pre>
Imres-MacBook-Air:~ root# ps aux | grep timed
_timed 373 0.0 0.0 426967056 4576 ?? Ss Tue02PM 0:03.41 /usr/libexec/timed
</pre>

/etc/passwd failis on palju nö legacy kasutajad mille nimi viitab nö klassikalisele lahendusele

<pre>
Imres-MacBook-Air:~ root# egrep "_postgres|_dovenull|_postfix|_avamis|_clamav|_cyrus|_mailman|_cvs|_mysql|_jabber|_ftp" /etc/passwd
_postfix:*:27:27:Postfix Mail Server:/var/spool/postfix:/usr/bin/false
_cvs:*:72:72:CVS Server:/var/empty:/usr/bin/false
_mysql:*:74:74:MySQL Server:/var/empty:/usr/bin/false
_cyrus:*:77:6:Cyrus Administrator:/var/imap:/usr/bin/false
_mailman:*:78:78:Mailman List Server:/var/empty:/usr/bin/false
_clamav:*:82:82:ClamAV Daemon:/var/virusmails:/usr/bin/false
_jabber:*:84:84:Jabber XMPP Server:/var/empty:/usr/bin/false
_ftp:*:98:-2:FTP Daemon:/var/empty:/usr/bin/false
_postgres:*:216:216:PostgreSQL Server:/var/empty:/usr/bin/false
_dovenull:*:227:227:Dovecot Authentication:/var/empty:/usr/bin/false
</pre>

===Süsteemi paigaldamine===

Eesmärk

* paigaldada töötav töökoha keskkond
* valmituda juhtumiks kui kasutaja parool kaob ja on vaja seda taastada (teha reset)

TODO

===Google Chrome brauser===

TODO

Google Chrome brauseril on lubatud kuvada ssh privaatset võtit, nt

file:///Users/imreoolberg/.ssh/id_ed25519

Analoogliselt on see lubatud Ubuntu 24.04 platvormil, aga nt OpenBSD puhul mitte (tänu unveil tehnoloogiale).

===GateKeeper===

Kui kopeerida internetist tarkvara nt .dmg kujul ja paigaldada, siis esimesel käivitamisel küsib süsteem, et kas ikka käivitada see internetist kopeeritud programm, küsimus ja vastusega tegelemine on seotud xattr parameetriga com.apple.quarantine

<pre>
Imres-MacBook-Air:~ root# xattr -p com.apple.quarantine /Applications/KeePassXC.app
0181;68c6f083;Chrome;AF698614-F806-4A2B-B66C-4B09CB133779
</pre>
ja
<pre>
# spctl
</pre>

ja

<pre>
Imres-MacBook-Air:~ root# sqlite3 /Users/imreoolberg/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2
SQLite version 3.43.2 2023-10-10 13:08:14
Enter ".help" for usage hints.

sqlite> .schema
CREATE TABLE LSQuarantineEvent ( LSQuarantineEventIdentifier TEXT PRIMARY KEY NOT NULL, LSQuarantineTimeStamp REAL, LSQuarantineAgentBundleIdentifier TEXT, LSQuarantineAgentName TEXT, LSQuarantineDataURLString TEXT, LSQuarantineSenderName TEXT, LSQuarantineSenderAddress TEXT, LSQuarantineTypeNumber INTEGER, LSQuarantineOriginTitle TEXT, LSQuarantineOriginURLString TEXT, LSQuarantineOriginAlias BLOB );
CREATE INDEX LSQuarantineEventIndex ON LSQuarantineEvent ( LSQuarantineEventIdentifier );
CREATE INDEX LSQuarantineTimeStampIndex ON LSQuarantineEvent ( LSQuarantineTimeStamp );

sqlite> select * from LSQuarantineEvent;
9446C9BF-45BE-49C7-8EBE-2F15796AC8C8|778543831.0|com.google.Chrome|Chrome||||0|||
BDC2404B-51CD-4561-B50B-97C0C4272BF4|778543831.0|com.google.Chrome|Chrome||||0|||
295142B0-B654-4691-9F45-774441058E9A|778543831.0|com.google.Chrome|Chrome||||0|||
E806F7A8-856B-4A57-ADD6-0FFC2CAEECCB|778543833.0|com.google.Chrome|Chrome||||0|||
</pre>

===Transparency, Consent, and Control (TCC)===

Esmakordsel käivitamisel küsitakse vahel kataloogide ja failide avamise õiguse kohta, sellega tegeleb TCC. Tulemus on paista nt

System Settings -> Privacy & Security -> KeePassXC -> xxx

<pre>
Imres-MacBook-Air:~ root# mdls -name kMDItemCFBundleIdentifier /Applications/KeePassXC.app
kMDItemCFBundleIdentifier = "org.keepassxc.keepassxc"
</pre>

ning eemaldamiseks

<pre>
Imres-MacBook-Air:~ root# tccutil reset All org.keepassxc.keepassxc
Successfully reset All approval status for org.keepassxc.keepassxc
</pre>

===Kasutajate haldamine===

Kasutaja tekitamiseks sobib

System Settings -> Users & Groups -> Add User -> ...

Teise kasutajana lisaks sisse logimiseks sobib kasutada

System Settings -> Control Center -> Fast User Switching -> ...

===Eesti id kaart===

TODO

Peale paigaldamist on

System Settings -> ID-updater

===Finder===

Finder programm on sarnane nö vana-aja Windows Explorer programmile või XFCE4 prorammile Thunar.

Vasaku sidebar ehk paneeli sisu muutmiseks sobib kasutada Finder -> Settings ja nt muuta nähtavaks kasutaja kodukataloog.

===XQuartz===

Väited

* X11 põhiste rakenduste töötamiseks vajalik tarkvara (nö linux traditsiooni juhtumiks)
* X2go töötamise eelduseks

===Locale===

MacOS on väga utf-8 keskne süsteem, graafiliste rakenduste ja käsurea osakonnas

<pre>
imreoolberg@Imres-MacBook-Air ~ % env | grep LANG
LANG=en_US.UTF-8

imreoolberg@Imres-MacBook-Air ~ % locale
LANG="en_US.UTF-8"
LC_COLLATE="en_US.UTF-8"
LC_CTYPE="en_US.UTF-8"
LC_MESSAGES="en_US.UTF-8"
LC_MONETARY="en_US.UTF-8"
LC_NUMERIC="en_US.UTF-8"
LC_TIME="en_US.UTF-8"
LC_ALL=
</pre>

Juhtimiseks sobib kasutada faili ~/.zshrc

===Mälu haldus===

Käesolevat mälukasutust saab jälgida Activity Monitor utiliidi abil

[[Fail:20250918-macos-memory-01.png|900px]]

kus

* physical memory - arvuti riistvaralise mälu hulk
* memory used - mälu hulk mida operatsioonisüteem moel või teisel aktiivsemalt/vähem-aktiivsemalt/jne kasutab
* swap used - plokkseadmele/failisüsteemi salvestatud/puhverdatud mälu sisu

Memory Used koosneb neljast osast

* app memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis on välja swapitav, kokku pakitav jms paindlik
* wired memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis ei ole välja swapitav, kokku pakitav jms paindlik
* cached files - apfs jt failisüsteemide cache, st mällu puhverdatud sisu (tõenäoliselt teeb lugemise oluliselt kiiremaks)
* kokku pakitud mälule vastav maht mis kulub pakitud sisu hoidmiseks (mis on pakitud kujul)

'Compressed' väärtus väljendab, milline kokkupakkimata maht õnnestus kokku pakkida.

Väited

* arvutis on 'available memory' maht 16.00 - 12.84 = 3.16 G mälu - st see on ressurss, mida saab süsteem kohe kasutada täiendavate vajaduste jaoks
* kokku pakitud kujul olevate andmete maht on 12.84 - 5.90 - 2.17 - 3.30 = 1.47
* kokku pakkkimise efektiivsus on 3.96/1.47 = 2.69 st peaaegu 3x
* kuigi süsteemis on vaba mälu, siis on süsteem otsustanud siiski 175.6 MB välja swappida, ju ta teab mis teeb, ja nii on olnud otstarbekas
* cached files maht on selline ressurss, mille saab süsteem kiiresti võtta uude kasutusse, st nt rakenduse koodi jaoks

Swap asub failisüsteemis kataloogis /private/var/vm.

===Yubico Authenticator===

====Tööpõhimõte====

Yubico tootja krüptoseadmed on hästi populaarsed ja korralikud, Eestis on ka nende kasutamine päris levinud

[[Fail:20260718-macos-yubico-01.png|700px]]

Füüsilise seadme haldamiseks on kasutada tarkvara 'Yubico Authenticator'

[[Fail:20260718-macos-yubico-02.png|600px]]

kus

* nime 'Authenticator' viitab justkui TOTP tüüpi rakendusele, tegelikult on see palju funktsionaalsem (FIDO2 saladuste haldamine, PIV saladuste haldamine jne)

====Paigaldamine====

Yubico Authenticator paigaldamine toimub nö tavalisel viisil Apple App Store abil, samuti edasine tarkvara uuendamine.

====Kasulikud lisamaterjalid====

* https://www.auul.pri.ee/wiki/Yubikey

===Yubikey===

TODO

Kui ssh kliendi kasutamisel tekib olukord

<pre>
... sign_and_send_pubkey: signing failed for ECDSA .. from agent: agent refused operation
</pre>

võib abistada

<pre>
% ssh-add -e /usr/local/lib/libykcs11.dylib
Card removed: /usr/local/lib/libykcs11.dylib

% ssh-add -s /usr/local/lib/libykcs11.dylib
Enter passphrase for PKCS#11:
Card added: /usr/local/lib/libykcs11.dylib

%
</pre>

===Apple riistvara-tarkvara ajalugu===

Küsimus chatgpt'le

'what operating system apple computers have used, please give timeline of cpu and operating system with mentioning whether is was single or two-mode privilege separation solution'

Vastus chatgpt'lt - eristatakse 6 ajastut

The Early Days (1976-1984)

* Computer: Apple I, Apple II series.
* CPU: MOS Technology 6502.
* Operating System: Apple DOS, ProDOS.
* Privilege Mode: Single-mode. The CPU and OS lacked a concept of privilege separation. All software, including the operating system, ran with full, unrestricted access to the hardware.

The Early Macintosh (1984-1987)

* Computer: Macintosh 128K, Macintosh Plus, Mac SE.
* CPU: Motorola 68000.
* Operating System: System Software (System 1.0 - 4.0).
* Privilege Mode: The CPU had a two-mode (Supervisor/User) architecture. However, the early Mac OS did not fully use it for memory protection. The OS was based on a cooperative multitasking model, and a buggy program could still crash the entire system.

The 32-bit Transition (1987-1994)

* Computer: Macintosh II series.
* CPU: Motorola 68020, 68030, 68040.
* Operating System: Mac OS (System 5.0 - 7.5).
* Privilege Mode: The CPUs were fully capable of two-mode operation. The OS began to use some of these features, but it was still not a truly protected-mode, preemptive multitasking system.

The PowerPC Era (1994-2006)

* Computer: Power Macintosh series.
* CPU: PowerPC 601, 603, G3, G4.
* Operating System: Mac OS 7.5 - Mac OS 9.
* Privilege Mode: The PowerPC was a modern two-mode RISC architecture with a robust privilege model. Despite the powerful hardware, the underlying Mac OS remained non-preemptive and lacked true memory protection between applications. This was a key reason why Apple chose to adopt a BSD-based foundation for its next-generation OS.

The Intel Era (2006-2020)

* Computer: MacBook, MacBook Pro, iMac, Mac Mini, Mac Pro (Intel models).
* CPU: Intel Core 2 Duo, Core i3/i5/i7/i9, Xeon (x86 architecture).
* Operating System: Mac OS X (versions 10.4 to 10.15), later renamed macOS (from 10.12 onward).
* Privilege Mode: Two-mode (Ring 0 for the kernel, Ring 3 for applications). This was a pivotal time for Apple, as their BSD-based Mac OS X was finally running on a CPU architecture with a robust, industry-standard privilege model. The operating system could now fully leverage preemptive multitasking and true memory protection, making the Mac far more stable and secure than in the previous eras.

The ARM Era (2020-Present)

* Computer: MacBook Air, MacBook Pro, iMac, Mac Mini (Apple Silicon models).
* CPU: Apple Silicon (M1, M2, M3, and so on), which are custom ARM-based processors.
* Operating System: macOS (starting with macOS 11 Big Sur).
* Privilege Mode: The ARM architecture uses a sophisticated multi-level privilege model. The OS runs in EL1 (Kernel Mode), while user applications run in EL0 (User Mode). The system also utilizes EL2 (Hypervisor Mode) for virtualization and security features. The transition to ARM allowed Apple to fully integrate hardware and software, creating a highly efficient platform where the CPU, GPU, and memory are on a single chip. The macOS operating system is built specifically to take advantage of this architecture and its robust privilege model.

===Apple Continuity===

Apple Continuity initsiatiiv võimaldab ühe appleid konto külge kinnitatud seadmete vahel teha koostööd, nt selliste seadmete ja tegevuste osas

* veebikaamera
* Universal Control - clipboard st kopi-paste üle seadmete (Synergy/Barrier/jms sarnane)
* rakenduste kasutamise jätkamine - nt brauser
* Contacts

Kasulikud lisamaterjalid

* https://www.apple.com/macos/continuity/

===Ansible===

export OBJC_DISABLE_INITIALIZE_FORK_SAFETY=YES

===vnc klient===

vnc kliendi kasutamise eelduseks on kuskil võrgus töötav ja ligipääsetav vnc server. MacOS operatsioonisüsteemiga tuleb kaasa vnc klient, kasutamiseks sobib käivitada programm Finder

Finder -> Go -> Go to server

ning sisestada lahtrisse nt

vnc://192.168.10.187:5901

===Mail - IMAP ja SMTP klient===

TODO

===DFU - Device Firmware Update===

====Mõisted====

* Revive - tegevuse tulemusena asendatakse arvuti tava-firmware ja restore partitsioon - macos operatsioonisüsteem ja kasutaja andmed säilivad
* Restore - tegevuse tulemusena asendatakse arvuti tava-firmware, restore partition jne sh macos operatsioonisüsteem - st kõik
* IPSW - iphone software - praktiliselt kõik moodsad seadmed, nt https://ipsw.me/

====Tööpõhimõte====

Väited

* DFU puudutab 'macos all oleva tava-firmware all olevat eri-firmware kihti
* erinevalt nö x86 riistvara lahendustest saab mac riistvara puhul kasutada kahte seadet komplektis - seadmed ühendatakse tavalise thunderbolt vms kaabliga ning seejärel üks seade võimaldab teist ravida kasutades Apple Configurator tarkvara
* Apple Configurator ei võimalda tegeleda selle sama arvuti riistvaraga millel ta töötab, ta võimaldab tegeleda selle arvuti riistvaraga, mis on ühendatud thunderbolt kaabliga

====Apple Configurator tarkvara kasutamine====

* Apple Configurator paigaldatakse tavalisel viisil AppStore platvormi abil

====Kasulikud lisamaterjalid====

* youtube kanal lapfix sisaldab saateid - https://www.youtube.com/@lapfix

===Windows remote desktop klient===

AppStore abil on kasutada tasuta tarkvara 'Windows App'.

[[Fail:20251119-macos-windows-app-01.jpg|700px]]

===WireGuard===

WireGuard vpn klienti saab paigaldada tavalisel viisil App Store keskkonna abil. Peale paigaldamist ja esmast käivitamist valides spotlight otsingus wireguard, tuleks ilmselt kirjaldada vpn ühendus wireguard nö serveriga ning pressides + nuppu

[[Fail:20251215-macos-wireguard-04.png|700px]]

ning

[[Fail:20251215-macos-wireguard-01.png|700px]]

Käivitatud st aktiivse vpn tunneli olek paistab selline

[[Fail:20251215-macos-wireguard-02.png|700px]]

ning üldises vpn ühenduste nimekirjas

[[Fail:20251215-macos-wireguard-03.png|700px]]

<pre>
Imres-MacBook-Air:~ root# ifconfig utun6
utun6: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1420
options=6460<TSO4,TSO6,CHANNEL_IO,PARTIAL_CSUM,ZEROINVERT_CSUM>
inet 10.168.112.68 --> 10.168.112.68 netmask 0xffffff00
</pre>

ning ruuting

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet | grep utun6
default link#22 UCSIg utun6
10.168.10.177/32 link#22 UCS utun6
10.168.112/24 10.168.112.68 UGSc utun6
10.168.112.68 10.168.112.68 UH utun6
192.168.112 link#22 UCS utun6
224.0.0/4 link#22 UmCSI utun6
255.255.255.255/32 link#22 UCSI utun6
</pre>

Tundub, et mingitel hetkedel wireguard klient nö ei allu eriti, siis võib olla abiks protsessi lõpetamine teminali aknas ning käivitamine 'open -a ..' abil

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i wireg
imreoolberg 757 0.0 0.4 435612624 63120 ?? S Wed12PM 0:01.19 /Applications/WireGuard.app/Contents/MacOS/WireGuard
imreoolberg 30026 0.0 0.0 435300208 1344 s014 S+ 5:10AM 0:00.01 grep -i wireg

imreoolberg@Imres-MacBook-Air ~ % killall WireGuard

imreoolberg@Imres-MacBook-Air ~ % open -a WireGuard
</pre>

vpn kasutamisel tuleb arvestada, et kui MacOS tulemüür ei ole sisselülitatud ja ei takista, siis saab vpn serveri poolelt pöörduda ka macos arvuti poole.

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_OpenBSD_kasutamine#Wireguard
* https://www.auul.pri.ee/wiki/MikroTik_RouterOS#WireGuard

===Eesti ID kaardi kasutamine===

Eesti ID kaardi tarkvara paistab esindatud nn System Settings vasakus paneelis

[[Fail:20251216-macos-software-01.png|700px]]

Ning App Store peal

[[Fail:20251203-macos-app-store-updates-02.png|700px]]

ning

System Report -> Software -> Applications

juures

[[Fail:20251216-macos-software-02.png|700px]]

Lisaks Eesti ID kaardi tarkvara paistab nö .pkg osakonnas esindatud

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -v ^com.apple
..
eu.web-eid.web-eid-chrome
ee.ria.open-eid
ee.ria.qdigidoc4
eu.web-eid.web-eid
eu.web-eid.web-eid-safari
ee.ria.ID-updater
...
</pre>

kusjuures konkreetsed versioonid on sellest pkgutil vaatest

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.5.0.1954
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.15.0
volume: /
location: /
install-time: 1757342106
</pre>

Kusjuures siit paistab vastuolu: pkgutil eistab nt paketi ee.ria.qdigidoc4 versiooniks 4.8.2 kuid muud 4.9.1. Kui küsida käsurealt teisiti versiooni

<pre>
Imres-MacBook-Air:~ root# defaults read /Applications/qdigidoc4.app/Contents/Info.plist CFBundleShortVersionString
4.9.1
</pre>

Ning programmi enda gui liides ütleb samuti versiooniks 4.9.1, lisaks tundub, et tegu on siiski sama tarkvara eksemplariga

<pre>
Imres-MacBook-Air:~ root# ps aux | grep qdigidoc4 | grep -v grep
imreoolberg 38841 0.0 0.4 436001936 63600 ?? S 4:19AM 0:01.45 /Applications/qdigidoc4.app/Contents/MacOS/qdigidoc4
</pre>

ning

[[Fail:20251216-macos-software-03.png|700px]]

====System Settings vasaku paneeli ID-updater kasutamine====

Peale System Settings vasaku paneeli ID-update kasutamist ja jaatavat vastamist vaikimisi valikutega

[[Fail:20251216-macos-eid-updater-01.png|700px]]

tessa

[[Fail:20251216-macos-eid-updater-02.png|700px]]

kossa

[[Fail:20251216-macos-eid-updater-03.png|700px]]

nessa

[[Fail:20251216-macos-eid-updater-04.png|700px]]

on tulemuseks

[[Fail:20251216-macos-eid-updater-05.png|700px]]

ning käsurealt küsides, st mõne komponendi versioon uuenes

* eu.web-eid.web-eid-chrome
* ee.ria.open-eid
* eu.web-eid.web-eid
* ee.ria.ID-updater

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.10.0.235
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.18.0
volume: /
location: /
install-time: 1765858910
</pre>

20260630 kogemus

[[Fail:20260630-macos-eid-updater-01.png|900px]]

kus

* tundub, et macos lähenemisele natuke iseloomulikult erinevad kohad kirjutavad versiooni uuenduse kohta erinevat infot

===Mikrotik Winbox===

Paistab, et alates winbox v. 4 on toetatud MacOS

[[Fail:20260330-macos-mikrotik-install-01.png|800px]]

kus

* .dmg on Finder peal 'Open with' -> 'Diskmounter' abil avatud (monteeritud)
* paigaldamiseks tuleb nihutada .dmg sees paistev nö ressurss Applications alla kõrvale avatud Finder programmis (tavaliselt on .dmg avatud image nö ristkülikus kaks ikooni, rakendus ja Application ja tuleb nihutada selle akna sees
* Finder vasakus paneelis on Windbox disk image lahti monteeritud

kasutamine paistab välja nii

[[Fail:20260311-mikrotik-winbox-4-01.png|800px]]

Andmefailid asuvad

<pre>
imreoolberg@Imres-MacBook-Air ~ % find ~/Library/Application\ Support/MikroTik/WinBox -type f -ls
105559824 8 -rw-r--r-- 1 imreoolberg staff 1998 Jun 3 23:34 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.78.cfg.viw2
119606360 16 -rw-r--r-- 1 imreoolberg staff 5126 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.77.cfg.viw2
..

105555588 8 -rw-r--r-- 1 imreoolberg staff 502 Jun 3 23:29 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/Addresses.cdb
119606359 8 -rw-r--r-- 1 imreoolberg staff 383 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/settings.cfg.viw2
</pre>

====WindBox 4.1 -> 4.2 uuendamine====

Winbox uuendamine toimub üsna manuaalselt

[[Fail:20260709-mikrotik-01.png|900px]]

kus

* tootja jagab .dmg faili
* see fail tuleb eraldi liigutusena kopeerida tootja veebikohast
* antud juhtum on hea näide kuidas MacOS Application kataloogi alamkataloogis asendab vana versiooni uuega

Kusjuures paigaldamise ajal midagi ei küsitud st privileegide saamiseks, tundub, et põhjusel kuna kataloog oli juba olemas ja kuulus kasutajale

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/*
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 29 2025 /Applications/balenaEtcher.app
drwxr-xr-x@ 3 imreoolberg staff 96 Jul 3 07:43 /Applications/BetterTouchTool.app
drwxr-xr-x 13 root staff 416 Jul 5 16:07 /Applications/DDPM
..
drwxr-xr-x@ 3 root wheel 96 Dec 3 2025 /Applications/web-eid-safari.app
drwxr-xr-x@ 3 root wheel 96 Jun 30 19:52 /Applications/WhatsApp.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 8 10:25 /Applications/WinBox.app
drwxr-xr-x@ 3 root wheel 96 Jul 4 19:44 /Applications/Windows App.app
drwxr-xr-x@ 3 root wheel 96 Dec 9 2025 /Applications/WireGuard.app
...
</pre>

kus

* sõltuvalt paigalduse viisist on kataloogil omanikuks kasutaja või root
* nt tundub, et app store ja pkgutil puhul on omanikuks root
* niisama kasutajana nö visuaalselt liigutades rakenduse Applications osakonda esmakordsel paigaldusel küsitakse täiendavalt privileegide kohta, ja seejärel enam mitte (st uuendamisel)

===MacOS virtualiseerimine===

TODO

===QR Journal===

TODO

===etcher===

TODO

===Rosetta paigaldamine===

<pre>
$ softwareupdate --install-rosetta
</pre>

===Dell U2725QE monitor===

Kuigi kõik niisamagi töötab, monitori tootja veebikohas on üsna huvitavat tarkvara

[[Fail:20260705-dell-macos-01.png|900px]]

kus

* DDPM - Dell Display and Peripherial Manager
* Monitor Firmware Update Utility

====DDPM====

Mõisted

* DDPM - Dell Display and Peripherial Manager

Peale allkopeerimist paistab .pkg pakenduses tarkvara

[[Fail:20260705-dell-macos-02.png|1100px]]

kus

* TODO

Paigaldamine paistab

[[Fail:20260705-dell-macos-03.png|500px]]

ja kasutamine

[[Fail:20260705-dell-macos-04.png|700px]]

* paistab midagi sellist nagu monitori enda peal füüsiliselt

====Dell U2725QE Monitor Firmware Update Utility====

Väited

* monitori firmware uuendmaine toimub üle arvuti ja monitori vahelise thunderbolt kaabli

Paigaldamine paistab selline .pkg pakett

[[Fail:20260705-dell-macos-05.png|600px]]

Firmware uuendamine toimub üle thunderbolt kaabli

[[Fail:20260705-dell-macos-06.png|700px]]

kus

* oluline mitte lasta monitori screen saverisse, power save'i jms - nt 'caffeinate -di' abil
* firmware versioon muutab M2T101 -> M2T102

====Kahe monitori kasutamine====

Osutub võimalikuks ühe MacBook Air arvutiga ühendada kaks Dell monitori nö tunderbolt mõttes järjestikuliselt

[[Fail:20260718-macos-dell-01.png|800px]]

ning

[[Fail:20260718-macos-dell-02.png|800px]]

kus

* TODO

Tegu ei ole Dell monitor daisy-chain tehnoloogiaga, sest daisy-chain töötab display protocol kihis, antud juhul toimub kontakt thunderbolt kihis.

===character terminal seadme kasutamine===

character teminal seadme kasutamine paistab nii, väga analoogne ubuntu ja debian operatsioonisüsteemiga

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i iterm2
imreoolberg 1112 11.2 1.8 436586496 306448 ?? S 6:11PM 3:08.34 /Applications/iTerm.app/Contents/MacOS/iTerm2
</pre>

ning iterm protsessis on pseudo-terminal master multiplexer seadmed

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1112 -P -n | grep ptmx
iTerm2 1112 imreoolberg 5u CHR 15,0 0t23863949 609 /dev/ptmx
iTerm2 1112 imreoolberg 44u CHR 15,1 0t1199 609 /dev/ptmx
iTerm2 1112 imreoolberg 45u CHR 15,2 0t204098 609 /dev/ptmx
</pre>

zsh shelli avatud terminaliga seotud

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep zsh
imreoolberg 1398 0.0 0.0 435312416 2784 s003 S 6:17PM 0:00.01 -zsh
imreoolberg 1380 0.0 0.0 435313360 3472 s002 S 6:17PM 0:00.11 -zsh
imreoolberg 1376 0.0 0.0 435308624 2672 s001 S 6:17PM 0:00.01 -zsh
imreoolberg 1115 0.0 0.0 435313184 2896 s000 S+ 6:11PM 0:00.06 -zsh
imreoolberg 2434 0.0 0.0 435299552 1392 s002 S+ 7:16PM 0:00.00 grep zsh

imreoolberg@Imres-MacBook-Air ~ % lsof -p 1376 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
zsh 1376 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
zsh 1376 imreoolberg txt REG 1,15 1361216 1152921500312571448 /bin/zsh
zsh 1376 imreoolberg txt REG 1,15 81288 1152921500312585080 /usr/share/locale/en_US.UTF-8/LC_COLLATE
zsh 1376 imreoolberg txt REG 1,15 118896 1152921500312574306 /usr/lib/zsh/5.9/zsh/terminfo.so
zsh 1376 imreoolberg txt REG 1,15 593088 1152921500312574312 /usr/lib/zsh/5.9/zsh/zle.so
zsh 1376 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
zsh 1376 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 1u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 10u CHR 16,1 0t683 733 /dev/ttys001
</pre>

ssh kliendis on

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1437 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
ssh 1437 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
ssh 1437 imreoolberg txt REG 1,15 1555472 1152921500312572845 /usr/bin/ssh
ssh 1437 imreoolberg txt REG 1,15 72984 121429580 /Library/Preferences/Logging/.plist-cache.a1S8PMuK
ssh 1437 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
ssh 1437 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 1u CHR 3,2 0t0 340 /dev/null
ssh 1437 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 3u IPv4 0x79fda12a4e8825b1 0t0 TCP 192.168.134.76:49197->192.168.10.166:22 (ESTABLISHED)
ssh 1437 imreoolberg 4u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 5u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 6u CHR 16,1 0t513 733 /dev/ttys001
</pre>

kus

* ilusti on paista järgnevus iterm2 -> zsh -> ssh

Selline pilt võiks

[[Fail:20260706-macos-char-01.png|800px]]

kus

* ptmx - pseudo-terminal master multiplexer
* ttys - teletypewriter slave
* console - füüsiline laptop graafilisse osakonda sisselogimise kohalolek
* Sun18 - kuna klassikaliselt on see tulp olnud max pikkusega 6 sümbolit, sellest selline notatsioon - kell 18, pühapäev

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_Debian_GNU/Linux_kasutamine#Seadmed_2

===Zabbix agent===

<pre>
imreoolberg@Imres-MacBook-Air ~ % sudo -i
Password:
Imres-MacBook-Air:~ root# file /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg: xar archive compressed TOC: 5108, SHA-1 checksum
</pre>

Misc

<pre>
imreoolberg@Imres-MacBook-Air ~ % installer -volinfo -pkg Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Volumes/PRO-G40
/Volumes/volume-tm-backup-01
/
</pre>

Paigaldamine

<pre>
Imres-MacBook-Air:~ root# installer -pkg /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg -target /
installer: Package name is Zabbix Agent
installer: Installing at base path /
installer: The install was successful.
</pre>

Tulemusena tekib süsteemi

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -i zabbix
com.zabbix.pkg.ZabbixAgent

Imres-MacBook-Air:~ root# pkgutil --files com.zabbix.pkg.ZabbixAgent
Library
Library/LaunchDaemons
Library/LaunchDaemons/com.zabbix.zabbix_agentd.plist
usr
usr/local
usr/local/bin
usr/local/bin/zabbix_get
usr/local/bin/zabbix_sender
usr/local/etc
usr/local/etc/zabbix
usr/local/etc/zabbix/zabbix_agentd
usr/local/etc/zabbix/zabbix_agentd/userparameter_examples.conf.NEW
usr/local/etc/zabbix/zabbix_agentd/userparameter_mysql.conf.NEW
usr/local/etc/zabbix/zabbix_agentd.conf.NEW
usr/local/sbin
usr/local/sbin/zabbix_agentd
</pre>

Seadistused

<pre>
Imres-MacBook-Air:~ root# egrep -v "^$|^#" /usr/local/etc/zabbix/zabbix_agentd.conf
LogFile=/var/log/zabbix/zabbix_agentd.log
Server=192.168.10.196
Hostname=macos-air.auul.pri.ee
</pre>

Tulemusena paistab vaikimisi Zabbix kaasa tuleva template abil selline pilt

[[Fail:20260706-macos-zabbix-01.png|1100px]]

kus

* võrreldes nt vaikimisi top utiliidi väljundiga, mis esitab muu hulgas andmeid cpu interruptide kohta, on zabbix esitus üsna tagasihoidlik

[[Fail:20260706-macos-zabbix-02.png|1400px]]

===Rancher desktop===

TODO

===scutil===

Osutub, et arvuti dhcp serveriga kohtumisele omandab lisaks ip aadressile jms võrguseadistusele ka uue hostname'i väärtuse, st mida vastab 'hostname' käsk kui kinnitatud uus dünaamiline ip address omab revers teisendust nimesüsteemis

<pre>
imreoolberg@orcl2-vip ~ % scutil --get LocalHostName
Imres-MacBook-Air
imreoolberg@orcl2-vip ~ % scutil --get ComputerName
Imre’s MacBook Air
imreoolberg@orcl2-vip ~ % scutil --get HostName
HostName: not set
</pre>

pinnimiseks sobib öelda

<pre>
orcl2-vip:~ root# scutil --set HostName "Imres-MacBook-Air"
</pre>

===Trash===

<pre>
imreoolberg@Imres-MacBook-Air ~ % du -sh .Trash
18G .Trash
</pre>

graafiliselt

[[Fail:20260729-macos-trash-01.png|900px]]

kus

* TODO

===Kasulikud lisamaterjalid===

* https://github.com/luchina-gabriel/OSX-PROXMOX
* https://www.apple.com/mac/compare/

Fail:20260729-macos-trash-01.png

2026-07-28T22:29:11Z

Imre:

MacOS operatsioonisüsteemi kasutamine füüsilise MacBook Air M4 arvutiga

2026-07-28T22:26:51Z

Imre: /* Kasulikud lisamaterjalid */

===Sissejuhatus===

TODO

Apple system level innovations

* XNU hybrid kernel (Mach + BSD + I/O Kit).
* Read-only, sealed root filesystem.
* APFS (snapshots, sealing, native encryption).
* Secure Enclave (separate CPU/resources).
* Cryptographic boot chain (from Boot ROM → kernel → apps).
* System Integrity Protection (SIP).
* Gatekeeper & notarization.
* Launchd (unified service/daemon manager).
* Unified logging & tracing (dtrace, signpost).
* Rosetta + Universal binaries (smooth arch transitions).
* Quartz compositor + Core Animation (graphics pipeline).
* Metal API (low-level GPU abstraction).
* mälu pakkimine käigult (vt Activity Monitor -> Memory -> Bottom)

Misc

* Aqua - desktop visuaal
* Quartz - desktop mootor
* UTM - qemu-based virtulization
* AWDL (Apple Wireless Direct Link) - midagi Wifi-Direct laadset

Väited

* Apple lahendustele on iseloomulik, et sama it shop kontrolli all on nii riistvara kui tarkvara (põhimõtteliselt sarnane olukord nagu kunagi Sun sparc lahendustega)
* macos on pigem threaded orienteeritud lahendus (mitte process-is-single-thread) - märksõnad: Grand Central Dispatch, Operation Queues, Swift Concurrency)
* nn 'giant lock (https://en.wikipedia.org/wiki/Giant_lock)' probleem on macos puhul pigem praktiliselt lahendatud, ju see on sama millest openbsd vabastamisega tegeldakse, nt https://www.openbsd.org/76.html - 'Removed net lock from sysctl(8) net.inet.ip.forwarding, net.inet6.ip6.forwarding, net.inet6.ip6.redirect, net.inet.ip.directed-broadcast.'

===Riistvara===

TODO

* MacBook Air 13" M4 protsessoriga arvuti
* compute resource - 1. cpu (risc arm), 2. gpu, 3. secure enclave, 4. neural engine
* 16 G ddr5 non-ecc memory - kõik compute resource'id kasutavad sama mälu, st ühisest pool'ist võetakse kasutuseks, ja antakse tagasi jne
* kaks Dell U2725QE monitori
* kaks thunderbolt 4 kaablit
* Logitech nö 9 eurone pc hiir
* lai apple magic keyboard
* väline andmekandja - SanDisk PRO-G40, https://www.apple.com/shop/mac/accessories/storage?f=thunderbolt3&fh=3783%2B47f6&page=1
* port saver - https://www.delock.com/produkt/66433/merkmale.html
* arvuti puhul ei ole kohta nagu pc arvuti puhul on 'enter bios' või 'enter setup' - ainuke realistlik sisenemiskoht on hoides alla toite nuppu arvuti käivitumise ajal

Väited

* macbookpro, air jt on non-ecc mäluga; mac pro ja mac studio on ecc mäluga
* arvuti on ühendatud ühe monitoriga TB4 kaabli abil
* esimese monitoriga on ühendatud usb klaviatuur ja hiir
* arvuti võrk töötab wifi abil, aga saaks töötada ka monitori rj45 ethernet kaabliga (arvutisse saabub üle thunderbolt neli nö signaali: 1. usb klaviatuur ja hiir, 2. ethenet, 3. video, 4. toide)
* teine monitor on ühendatud esimesega teise TB4 kaabliga nn daisy-chain ühenduses
* tundub, et monitoride pilt on vastuvõetava kvaliteediga ka non-4k režiimis (nt 3008 x 1692)

<pre>
system_profiler SPHardwareDataType # CPU, memory, model
system_profiler SPDisplaysDataType # GPU / monitor info
system_profiler SPUSBDataType # USB controllers and devices
system_profiler SPThunderboltDataType # Thunderbolt controllers
system_profiler SPNetworkDataType # Network interfaces
</pre>

Näiteks

<pre>
Imres-MacBook-Air:~ root# system_profiler SPHardwareDataType
Hardware:

Hardware Overview:

Model Name: MacBook Air
Model Identifier: Mac16,12
Model Number: MW0W3KS/A
Chip: Apple M4
Total Number of Cores: 10 (4 performance and 6 efficiency)
Memory: 16 GB
System Firmware Version: 11881.81.2
OS Loader Version: 11881.81.2
Serial Number (system): KGHGX652VT
Hardware UUID: 27AE0C7C-DCC6-5F5C-A133-8F10726347EC
Provisioning UDID: 00008132-001A618E0121801C
Activation Lock Status: Enabled

Imres-MacBook-Air:~ root# system_profiler SPDisplaysDataType
Graphics/Displays:

Apple M4:

Chipset Model: Apple M4
Type: GPU
Bus: Built-In
Total Number of Cores: 8
Vendor: Apple (0x106b)
Metal Support: Metal 3
Displays:
Color LCD:
Display Type: Built-in Liquid Retina Display
Resolution: 2560 x 1664 Retina
Main Display: Yes
Mirror: Off
Online: Yes
Automatically Adjust Brightness: Yes
Connection Type: Internal
DELL U2725QE:
Resolution: 6016 x 3384
UI Looks like: 3008 x 1692 @ 120.00Hz
Mirror: Off
Online: Yes
Rotation: Supported
</pre>

====Neural Engine====

TODO

* On-device machine learning
* Siri's voice recognition
* Image analysis in Photos
* Real-time video processing in apps like FaceTime

====Misc OS====

* cpu instructions - toimuvad kernel -> cpu vahel
* syscalls - toimuvad rakendustarkvara -> kernel vahel
* ei ole user-space-syscall'isid - kõik syscallid on nö kernel-space-syscall'd ehk lihtsalt syscall'id
* macos ei ole real-time operating system
* macos puhul on realiseeritud preemtion st ka tundlike kerneli kihi tegevuste puhul on võimalik teha nö katkestusi-tagasipöördumisi
* ei ole sellist storage-io lahenduste mitmekesisust nagu on linux puhul (nt io-uring, libaio) - nimetatakse 'Dispatch I/O'
* ei ole sellist network-io lahenduste mitmekesisust nagu on linux puhul (nt dpdk) - nimetatakse 'Network Framework'
* dpdk, rdma jms puudub kuna macos puhul tegevused käivad läbi kernel selleks, et toimuv oleks maksimaalselt kontrolli all (toimub kernel by-pass)
* tcp-offload jms siiski on kasutusel - kernel kontrollib siis ikkagi toimivat piisavalt
* XNU kernel ei võimalda linux namespace ja cgroup laadseid nö isolatsioone - st naturaalselt ei ole olemas native macos konteinerindust (nagu on linux jaoks olemas docker või freebsd jaoks daemonless) - kui on vajalik conteinerindus, siis on lahenduseks kasutada konteineri ja xnu kerneli vahel lisa kihti - linux-arm64)

Palju on https://www.openbsd.org/innovations.html nimekirjast olemas macos puhul, kas otseselt või siis kontseptuaalselt, aga implementatsioon on macos juhtumile iseloomulik

* OpenBSD: retguard uses a unique XOR-based canary on a function's return address to prevent a specific type of buffer overflow attack (ROP).
* macOS: macOS does not have a feature called retguard. However, the same concept is implemented by Apple's Clang compiler. macOS has used stack canaries (or stack cookies) for years, which are values placed on the stack to detect if the return address has been overwritten. Both systems use different implementations to solve the same problem.
* OpenBSD: pledge is a security mechanism where a program "pledges" to only use a limited set of system calls. If it tries to make a syscall outside of its "pledge," the program is killed.
* macOS: macOS does not have a pledge equivalent. The concept is not present in the same form. Instead, macOS uses sandboxing, which is a more comprehensive and declarative security model. Sandboxing restricts an application's access to files, network connections, and system resources based on a detailed set of rules (called entitlements) defined in a profile, which is part of the application itself. It's a different, but arguably more powerful, approach to the same problem.
* OpenBSD: W^X is a fundamental security policy that ensures a memory page is either writable or executable, but not both.
* macOS: This concept is directly implemented and has been a core security feature of macOS for many years. It is an integral part of the kernel and is enforced on all applications, making it impossible for an attacker to write shellcode to a memory page and then execute it.
* OpenBSD has long been a pioneer in security, and its implementation of ASLR is a core part of its "secure by default" philosophy.
* macOS introduced ASLR in Mac OS X Leopard (10.5) and has since continuously improved and strengthened it with each new release. Today, ASLR on macOS is a mandatory security feature for all modern applications.
* OpenBSD relinking
* Randomizing per-process: Instead of a single, system-wide reordering at boot, dyld randomizes the base addresses of shared libraries for every single process that is launched.
* Using a shared cache: To speed up program loading, macOS bundles commonly used system libraries into a single large file called the dyld_shared_cache. The location of this entire cache in memory is randomized at boot, and all processes then use this randomized location.

====User mode vs Kernel mode====

Väited

* User mode ja Kernel mode on kaks erinevat protsessori olekut
* esimesel puhul käitub arvuti nagu nö loogiline-masin, teisel juhul nagu riistvaraline-masin
* kontseptuaalselt võiks ette kujutada, et arvutis on kaks protsessorit - üks on pidevalt füüsilises ja teine loogilises olekus
* loogilist laadi tegevusteks on nt protsessi mällu laaditud mälu abil andmete sorteerimine, st kõik tegevused on taandatud matemaatikaks
* füüsilist laadi tegevusteks on nt võrku andmete saatmine, või plokkseadmelt andmete lugemine

====Seadme draiver====

Ettekujutuseks on nvme storage seade. Selleks, et andmed jõuaksid füüsilise plokkseadme pealt ühe user-space protsessi mällu nt postgresql andmebaas, liiguvad andmed läbi sellistest lõikudest koosneva teekonna

<pre>
plokkseade
control plain peal toimuv käsu tulemusel -> plokkseadmega seostatud fragment arvuti rom mälust
-> cpu kopeerib andmed oma registrite abil user-space mällu
..
</pre>

====SanDisk PRO-G40====

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Thunderbolt 4 porti ühendatud seade paistab selline

[[Fail:20250916-imre-sandisk-pro-g40-01.png|900px]]

kus

* seadet koheldakse pcie siinile ühendatud nvme seadmena

Arvutisse seadmega kaasas oleva Thunderbolt 3 kaabliga otse Non-Thuderbolt-USB-C porti ühendatud seade paistab selline

TODO

kus

* seadet koheldakse usb-storage ühendatud plokkseadmena

===Kasutajaliides===

====Magic Apple Keyboard====

klahvikombinatsioonid

* command + nool paremale/vasakule - tekstikursori viimine vastavalt rea lõppu või algusse
* command + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt rea lõppu või algusse
* command + shift + suurem/väiksem - mitme aknalise programmi akende vahel liikumine (nt iterm/terminal/chrome/safari)
* option + nool paremale/vasakule - tekstikursori viimine vastavalt järgmise või eelmise sõna juurde
* option + nool paremale/vasakule - teksti plokki võtmine kursori asukohast alates vastavalt sõna edasi või tagasi
* command + tühik - spotlight otsingu avamine
* control + nool paremal/vasakule - järgmise virtuaalse desktop juurde liikumine (spaces)
* control + nool üles/esc - xxx vaate avamine (üleval on virtuaalsete desktopide riba)
* command + nool üles/alla - teksti algusse või lõppu liikumine (nt chrome brauseris)
* option + nool üles/alla - tekstis nö page-up-page-down võtta liikumine (nt chrome brauseris)

====Touchpad====

gestured

* kahe sõrmega üles-alla swipe - hiirega skrollimine
* kolme sõrmega vasakule-paremale swipe - virtuaalsete desktopide vahel liikumine

===alt-grab - BetterTouchTool (BTT)===

====Tööpõhimõte====

Tegevuse eesmärk on alt-grab kasutamine akna asukohta muutmiseks ja akna suuruse muutmiseks. Linux desktop (gnome, xfce4 jt) puhul paistab see olevat tavaline, et akna asukoha muutmiseks ei pea tingimata haarama hiire vasaku nupuga akna tiitelribast ja siis vedama; või akna suuruse muutmiseks haarama hiire vasaku nupuga täpselt nurgast või servast ja siis vedama. Piisab hoida vasakut alt klahvi all ja haarata kuskilt akna seest hiire vasaku nupuga ning vedada; või hoida vasakut alt klahivi all ja haarata akna seest nurga lähedusest hiire parema nupuga ning vedada.

====BTT kopeerimine ja paigaldamine====

Väited

* https://folivora.ai/
* tundub, et BTT on usaldusväärne tarkvara (nt https://www.macworld.com/article/551700/mac-gems-bettertouchtool-review.html)
* BetterTouchTool ei ole tasuta tarkvara
* BetterTouchTool ei ole kõige parem lahendus nn alt-drag jaoks, aga paistab, et paremat ka pole (ja tundub, et ei saa olla kuna MacOS nö sisemiselt eriti ei võimalda alt-drag laadi tegevusi)
* BTT abil saab akna suurust muuta ainult paremas alumises nurgas
* akent ei saa ekraanilt osaliselt välja suruda üles suunas (nt alla saab)
* tundub, et paigaldamisel antakse rakendusele rikkalikult privileege

====Seadistamine====

Tööpõhimõte

* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse down', millele vastab tegevus (action) 'Start Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Leftclick + left alt + mouse up', millele vastab tegevus 'Stop Moving Windows'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse down', millele vastab tegevus 'Start Resizing'
* seadistatakse nö 'Top Level Trigger' väärtusega 'Rightclick + left alt + mouse up', millele vastab tegevus 'Stop Resizing'

alt-drag seadistamine paistab selliselt, rightclick triggeri ja vastava tegevuse (action) kirjeldamine, basic

[[Fail:20250903-btt-rightclick-01.png|1000px]]

kus

* valitud programmid on For All Apps st kirjeldatavad võimed tekivad kõigi programmide akendele
* valitud seade on Normal Mouse (mitte magic mouse)
* on valitud ka modifer - opt (magic keyboard klahv 'option')

ning advanced

[[Fail:20250903-btt-rightclick-02.png|1000px]]

kus

* Trigger Conditions - Trigger on Mouse Down (vaikimisi)

Analoogselt kirjeldatakse ülejäänud triggerid ja tegevused - seejuures tuleb kindlasti valida modifier, vastasel korral võib olla väga halb kasutuskogemus kuna hiire vasaku klahvi nö tavaline töö on häiritud).

====Kasutamine====

Kasutamine paistab välja natuke puudulikumalt kui linux desktop keskkonnas

* suurust saab muuta vaid alumist paremat nurka sisse või väljapoole surudes (linux all saab tegeleda igas nurgas)
* asukohta saab muuta kuid see mõjub fookuses olevale aknale (vahel on see üsna nö eba kogemus, et hiir on mitte fookuses oleva akna kohal ja kõrval oleva akna asukoht muutub)
* tegelemise ajal on aken nö täidetud (linux all saab valida kas aken paistab nö täidetuna või wireframe'ina)

====Kasulikud lisamaterjalid====

* https://community.folivora.ai/t/resize-window-on-modifier-right-mouse-button-press/41430

===iterm2===

iterm2 võimaldab muu hulgas

* akende arrangement ettevalmistusi - st akende avamist komplektidena, seejuures logitakse automaatselt serveritesse ssh abil sisse, näiteks
* profile abil värvikasutust kirjeldada (taust, tekst, esiletoodud (bold), allajoonitud tekst jms)

[[Fail:20260302-iterm2-01.png|700px]]

avades

iTerm2 -> Settings -> Profiles

kus

* esiletoodud tekst esitatakse roheliselt (seda esineb linux puhul nt top, 'systemctl status postfix' ja dmesg väljundis)

aknale kerge ääre näitamine

iTerm2 -> Settings -> Appearence -> Windows -> Aestetics -> Heavy border around windows in light mode

Profiilid

<pre>
imreoolberg@Imres-MacBook-Air ~ % egrep -r wrx "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Command" : "ssh root@pve-wrx90e",
/Users/imreoolberg/Library/Application Support/iTerm2/DynamicProfiles/pve-wrx90e.json: "Name" : "pve-wrx90e",
imreoolberg@Imres-MacBook-Air ~ % egrep -r svc "/Users/imreoolberg/Library/Application Support/iTerm2"
egrep: /Users/imreoolberg/Library/Application Support/iTerm2/iterm2-daemon-1.socket: Operation not supported on socket
imreoolberg@Imres-MacBook-Air ~ % plutil -p ~/Library/Preferences/com.googlecode.iterm2.plist | grep -i "pve-svc-0"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-01"
"Name" => "pve-svc-01"
"Command" => "ssh root@pve-svc-01"
"Command" => "ssh root@pve-svc-02"
"Name" => "pve-svc-02"
"Command" => "ssh root@pve-svc-02"
</pre>

Tarkvara uuendamine

[[Fail:20260704-macos-01.png|900px]]

* ei toimu app store kaudu
* toimib rakenduse enda menüüst

===timemachine===

====Tööpõhimõte====

TODO

* võrgus failiserver
* võrgus avahi vms server
* macos süsteem

====Ettevalmistamine====

Väited

* tundub, et macos webgui kaudu ei õnnestu samba põhist tm lahendust ära seadistada, tuleb toimetada käsurealt (hüpotees on, et kuna cifs failisüsteemi monteerimisel Finder abil tekib .DS_Store vms faile automaatselt share peale, siis see eksitab tm lahendust

Samba serveri ettevalmistamine, Debian v. 12 (samba v. 4.17)

<pre>
# apt-get install --no-install-recommends samba
# apt-get install samba-vfs-modules

# cat /etc/samba/smb.conf
[global]
client min protocol = SMB3
client max protocol = SMB3
workgroup = MORAALCIFS
dns proxy = no
log file = /var/log/samba/log.%m
max log size = 1000
panic action = /usr/share/samba/panic-action %d
server role = standalone server

[timemachine]
path = /zpool_wdc/timemachine/
browsable =yes
writable = yes
guest ok = no
valid users = timemachine
smb encrypt = required
vfs objects = catia fruit streams_xattr
fruit:metadata = stream
fruit:resource = file
fruit:time machine = yes
fruit:time machine max size = 500G
</pre>

käivitamine

<pre>
# systemctl restart smbd
</pre>

Varundatava arvuti ettevalmistamine

<pre>
Imres-MacBook-Air:~ root# tmutil setdestination "smb://timemachine:parool@192.168.10.168/timemachine"
Imres-MacBook-Air:~ root# tmutil destinationinfo
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : 2E3ED96D-4626-4D55-BDD5-A0ED6CDDF973
</pre>

Varunduse käivitamine

<pre>
Imres-MacBook-Air:~ root# tmutil startbackup --auto
Imres-MacBook-Air:~ root# log stream --predicate 'process == "backupd"' --info
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 157Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 709 0 100% /dev
/dev/disk3s6 228Gi 20Ki 157Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 157Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 157Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 157Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 157Gi 2% 76 1.6G 0% /Volumes/Recovery
//timemachine@192.168.10.168/timemachine 500Gi 20Gi 480Gi 5% 21M 503M 4% /Volumes/.timemachine/192.168.10.168/CEF57214-AE85-44D1-86EB-D0D69E41EA1C/timemachine
/dev/disk5s1 15Ti 20Gi 480Gi 4% 383k 5.0G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 157Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
Imres-MacBook-Air:~ root#
</pre>

Tulemusena

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-015533.backup/2025-09-05-015533.backup
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# tmutil listlocalsnapshots /
Snapshots for volume group containing disk /:
com.apple.TimeMachine.2025-09-05-012346.local
com.apple.TimeMachine.2025-09-05-015510.local
com.apple.os.update-35F83766A7728F08A2DF1CFD45DF39CAB4C00F8C1A4A0DBECD314305426E5C549569F373D02B15DDC5C3E22E8E9D0A2F
com.apple.os.update-4278EFCBF37708F6ABE958C2E59447D754411B4697E4891DE3D58BC37F433306
com.apple.os.update-MSUPrepareUpdate
</pre>

====Kasutamine - süsteemi varundamine====

Time machine graafilise liidese peal, kui on kirjeldatud mitu time-machine varunduskohta, saab ühe peal hiire parema klõpsuga avada hüpikmenüü ja öelda, et käivitada varundus

[[Fail:20251109-timemachine-01.png|600px]]

====Kasutamine - üksiku faili taastamine====

TODO

====Kasutamine - süsteemi taastamine====

TODO

====Misc====

tm destinationinfo esitamine

<pre>
Imres-MacBook-Air:~ root# tmutil destinationinfo
> ==================================================
Name : volume-tm-backup-01
Kind : Local
Mount Point : /Volumes/volume-tm-backup-01 1
ID : B23C58B0-C5F1-4FE6-8CCE-B90B5FAA3C7A
====================================================
Name : timemachine
Kind : Network
URL : smb://timemachine@192.168.10.168/timemachine
ID : ECA95A15-3033-460C-B928-46E809CC1C58
</pre>

korra time machine gui utiliidiga läbi browsitud taaste vaates (tundub, et siis ta nö monteerib külge jne), df

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 10Gi 99Gi 10% 427k 1.0G 0% /
devfs 219Ki 219Ki 0Bi 100% 758 0 100% /dev
/dev/disk3s6 228Gi 24Ki 99Gi 1% 0 1.0G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 13Gi 99Gi 12% 2.6k 1.0G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 7.5Mi 99Gi 1% 104 1.0G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 480Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 6.0Mi 480Mi 2% 38 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 3.6Mi 480Mi 1% 100 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 56Gi 99Gi 37% 696k 1.0G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk7s1 3.6Ti 5.9Gi 3.5Ti 1% 24 38G 0% /Volumes/PRO-G40
/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/volume-tm-backup-01
com.apple.TimeMachine.2025-09-19-012830.backup@/dev/disk7s3 3.6Ti 122Gi 3.5Ti 4% 541k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup
com.apple.TimeMachine.2025-11-09-213757.local@/dev/disk3s5 228Gi 55Gi 99Gi 36% 687k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-213757/Data
com.apple.TimeMachine.2025-11-09-213824.backup@/dev/disk7s3 3.6Ti 142Gi 3.5Ti 4% 569k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup
com.apple.TimeMachine.2025-11-09-165402.backup@/dev/disk7s3 3.6Ti 140Gi 3.5Ti 4% 568k 38G 0% /Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup
com.apple.TimeMachine.2025-11-09-160153.local@/dev/disk3s5 228Gi 50Gi 99Gi 34% 711k 1.0G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-11-09-160153/Data
//timemachine@192.168.10.168/timemachine 500Gi 71Gi 429Gi 15% 74M 450M 14% /Volumes/.timemachine/192.168.10.168/D4D414B7-3607-44F6-8151-4F53ECDEF964/timemachine
/dev/disk5s1 15Ti 44Gi 429Gi 10% 568k 4.5G 0% /Volumes/Backups of Imre’s MacBook Air
com.apple.TimeMachine.2025-11-09-162452.backup@/dev/disk5s1 15Ti 78Gi 429Gi 16% 568k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup
com.apple.TimeMachine.2025-09-05-014511.backup@/dev/disk5s1 15Ti 23Gi 429Gi 6% 500k 4.5G 0% /Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup
</pre>

samal ajal diskutil

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 11.3 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 11.3 GB disk3s1s1
3: APFS Volume Preboot 14.2 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 60.0 GB disk3s5
6: APFS Volume VM 24.6 KB disk3s6
7: APFS Volume macOS Restored - Data 40.1 GB disk3s7
8: APFS Volume macOS Restored 11.3 GB disk3s8

/dev/disk4 (disk image):
#: TYPE NAME SIZE IDENTIFIER
0: +16.0 TB disk4

/dev/disk5 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +16.0 TB disk5
Physical Store disk4
1: APFS Volume Backups of Imre’s Ma... 47.7 GB disk5s1

/dev/disk6 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *4.0 TB disk6
1: EFI EFI 209.7 MB disk6s1
2: Apple_APFS Container disk7 4.0 TB disk6s2

/dev/disk7 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +4.0 TB disk7
Physical Store disk6s2
1: APFS Volume PRO-G40 6.4 GB disk7s1
2: APFS Volume volume-tm-backup-01 152.3 GB disk7s3

Imres-MacBook-Air:~ root#
</pre>

kus

* võrgus samba põhise time-machine varundusele sünteesitakse vastav plokkseade /dev/disk4 ja omakorda /dev/disk5
* lokaalselt külge kinnitatud välisele sandisk-pro-g40 plokkseade on /dev/disk6 ja edasi on seal sünteesitud /dev/disk7 ning eriti /dev/disk7s3
* samba serveris on tm varunduse jaoks üks kataloog välja jagatud 16 TB suuremalt failisüsteemilt, st sellest siin väljundis 16 TB märge

üksiku tm ressursi kohta info küsimine

<pre>
Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/Backups\ of\ Imre’s\ MacBook\ Air
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-09-05-014511.backup/2025-09-05-014511.backup
/Volumes/.timemachine/E66ECC48-9693-41FB-82C4-3860C334D43D/2025-11-09-162452.backup/2025-11-09-162452.backup

Imres-MacBook-Air:~ root# tmutil listbackups -d /Volumes/volume-tm-backup-01
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-09-19-012830.backup/2025-09-19-012830.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-165402.backup/2025-11-09-165402.backup
/Volumes/.timemachine/35BBA18F-DB62-4677-950D-8894EDED1C88/2025-11-09-213824.backup/2025-11-09-213824.backup
</pre>

===Storage===

Mõisted

* Seal
* Secure Enclave
* FileVault
* Volume Group

Tööpõhimõte

* füüsiline salvestusseade on jaotatud partitsioonideks
* partitsioonile vastab nn konteiner
* konteinerile vastab midagi lvm volume group või zfs pool laadset
* konteineris sisaldub hulk volume'eid
* volumile vastab failisüsteem (apfs - apple file system)
* sama konteineri sees asuvad failisüsteemid opereerivad sama jagatud vaba ruumi tingimustes

<pre>
Imres-MacBook-Air:~ root# diskutil list
/dev/disk0 (internal, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *251.0 GB disk0
1: Apple_APFS_ISC Container disk1 524.3 MB disk0s1
2: Apple_APFS Container disk3 245.1 GB disk0s2
3: Apple_APFS_Recovery Container disk2 5.4 GB disk0s3

/dev/disk3 (synthesized):
#: TYPE NAME SIZE IDENTIFIER
0: APFS Container Scheme - +245.1 GB disk3
Physical Store disk0s2
1: APFS Volume Macintosh HD 16.0 GB disk3s1
2: APFS Snapshot com.apple.os.update-... 16.0 GB disk3s1s1
3: APFS Volume Preboot 13.1 GB disk3s2
4: APFS Volume Recovery 2.1 GB disk3s3
5: APFS Volume Data 45.9 GB disk3s5
6: APFS Volume VM 20.5 KB disk3s6
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# df -h
Filesystem Size Used Avail Capacity iused ifree %iused Mounted on
/dev/disk3s1s1 228Gi 15Gi 156Gi 9% 412k 1.6G 0% /
devfs 205Ki 205Ki 0Bi 100% 713 0 100% /dev
/dev/disk3s6 228Gi 20Ki 156Gi 1% 0 1.6G 0% /System/Volumes/VM
/dev/disk3s2 228Gi 12Gi 156Gi 8% 1.3k 1.6G 0% /System/Volumes/Preboot
/dev/disk3s4 228Gi 692Mi 156Gi 1% 301 1.6G 0% /System/Volumes/Update
/dev/disk1s2 500Mi 6.0Mi 482Mi 2% 1 4.9M 0% /System/Volumes/xarts
/dev/disk1s1 500Mi 5.8Mi 482Mi 2% 35 4.9M 0% /System/Volumes/iSCPreboot
/dev/disk1s3 500Mi 1.6Mi 482Mi 1% 95 4.9M 0% /System/Volumes/Hardware
/dev/disk3s5 228Gi 43Gi 156Gi 22% 582k 1.6G 0% /System/Volumes/Data
map auto_home 0Bi 0Bi 0Bi 100% 0 0 - /System/Volumes/Data/home
/dev/disk3s1 228Gi 15Gi 156Gi 9% 426k 1.6G 0% /System/Volumes/Update/mnt1
/dev/disk3s3 228Gi 1.9Gi 156Gi 2% 76 1.6G 0% /Volumes/Recovery
com.apple.TimeMachine.2025-09-05-012346.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-012346/Data
com.apple.TimeMachine.2025-09-05-015510.local@/dev/disk3s5 228Gi 42Gi 156Gi 22% 579k 1.6G 0% /Volumes/com.apple.TimeMachine.localsnapshots/Backups.backupdb/Imre’s MacBook Air/2025-09-05-015510/Data
</pre>

Juurika suhtes ressursid

<pre>
Imres-MacBook-Air:/ root# ls -lO /
total 10
lrwxr-xr-x 1 root admin - 36 Jan 15 2025 .VolumeIcon.icns -> System/Volumes/Data/.VolumeIcon.icns
---------- 1 root admin - 0 Jan 15 2025 .file
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .nofollow
drwxr-xr-x 2 root wheel - 64 Jan 15 2025 .resolve
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 .vol
drwxrwxr-x 16 root admin sunlnk 512 Sep 5 12:56 Applications
drwxr-xr-x 66 root wheel sunlnk 2112 Sep 3 21:05 Library
drwxr-xr-x@ 10 root wheel restricted 320 Jan 15 2025 System
drwxr-xr-x 5 root admin sunlnk 160 Sep 2 22:41 Users
drwxr-xr-x 6 root wheel hidden 192 Sep 7 11:57 Volumes
drwxr-xr-x@ 39 root wheel restricted,hidden 1248 Jan 15 2025 bin
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 cores
dr-xr-xr-x 4 root wheel hidden 5047 Sep 5 01:14 dev
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 etc -> private/etc
lrwxr-xr-x 1 root wheel hidden 25 Sep 5 01:14 home -> /System/Volumes/Data/home
drwxr-xr-x 2 root wheel hidden 64 Jan 15 2025 opt
drwxr-xr-x 6 root wheel sunlnk,hidden 192 Sep 5 01:14 private
drwxr-xr-x@ 77 root wheel restricted,hidden 2464 Jan 15 2025 sbin
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 tmp -> private/tmp
drwxr-xr-x@ 11 root wheel restricted,hidden 352 Jan 15 2025 usr
lrwxr-xr-x@ 1 root wheel restricted,hidden 11 Jan 15 2025 var -> private/var
</pre>

kus

* sunlnk - apfs lahendusele iseloomulik nn sünteetline link (teine variatsioon on firmlink)
* /private sisuks on tegelikult volume /System/Volumes/Data
* / on unionfs laadne lahendus, st kokku on kogutud erinevad ressrussid, mõned on read-only, mõned on read-write
* / endale vastav /dev/disk3s1s1 on /dev/disk3s1 read-only apfs snapshot - sedasi on väga madalas kihis tagatud süsteemi osa immutability

ning

<pre>
Imres-MacBook-Air:~ root# diskutil apfs list
APFS Containers (3 found)
|
+-- Container disk3 71D88332-123F-4F15-99AA-FDD26D7118F7
====================================================
APFS Container Reference: disk3
Size (Capacity Ceiling): 245107195904 B (245.1 GB)
Capacity In Use By Volumes: 77898416128 B (77.9 GB) (31.8% used)
Capacity Not Allocated: 167208779776 B (167.2 GB) (68.2% free)
|
+-< Physical Store disk0s2 F202FF0C-8102-4C98-8DEA-BFC6BE9C61B4
| -----------------------------------------------------------
| APFS Physical Store Disk: disk0s2
| Size: 245107195904 B (245.1 GB)
|
+-> Volume disk3s1 9D894F4B-1ADA-47A9-9864-CECA47F5CC54
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s1 (System)
| Name: Macintosh HD (Case-insensitive)
| Mount Point: /System/Volumes/Update/mnt1
| Capacity Consumed: 15970652160 B (16.0 GB)
| Sealed: Broken
| FileVault: Yes (Unlocked)
| Encrypted: No
| |
| Snapshot: E4EE5A50-F503-4DC3-BB9E-6C3EF76A9105
| Snapshot Disk: disk3s1s1
| Snapshot Mount Point: /
| Snapshot Sealed: Yes
|
+-> Volume disk3s2 5C7FF5F7-C059-4568-879D-AEE09DB60CF7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s2 (Preboot)
| Name: Preboot (Case-insensitive)
| Mount Point: /System/Volumes/Preboot
| Capacity Consumed: 13066547200 B (13.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s3 8A6ADAED-7C32-4DFB-8731-005DA53BB3FF
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s3 (Recovery)
| Name: Recovery (Case-insensitive)
| Mount Point: /Volumes/Recovery
| Capacity Consumed: 2082414592 B (2.1 GB)
| Sealed: No
| FileVault: No
|
+-> Volume disk3s5 53270D80-303A-47F4-83DE-D2B9228E9FC7
| ---------------------------------------------------
| APFS Volume Disk (Role): disk3s5 (Data)
| Name: Data (Case-insensitive)
| Mount Point: /System/Volumes/Data
| Capacity Consumed: 45915893760 B (45.9 GB)
| Sealed: No
| FileVault: Yes (Unlocked)
|
+-> Volume disk3s6 5B9AA026-E765-4922-BFEA-B48FD11A79C6
---------------------------------------------------
APFS Volume Disk (Role): disk3s6 (VM)
Name: VM (Case-insensitive)
Mount Point: /System/Volumes/VM
Capacity Consumed: 20480 B (20.5 KB)
Sealed: No
FileVault: No
</pre>

iostat esitab ainult füüsiliste seadmete kohta info, huvitaval kombel ka time machine lahendusele vastava seadme (disk4) oma

<pre>
imreoolberg@Imres-MacBook-Air ~ % iostat 5
disk0 disk4 cpu load average
KB/t tps MB/s KB/t tps MB/s us sy id 1m 5m 15m
17.03 37 0.61 52.37 0 0.00 3 1 96 1.12 1.52 1.63
6.17 7 0.04 0.00 0 0.00 2 1 97 1.11 1.51 1.63
4.00 2 0.01 0.00 0 0.00 1 1 98 1.11 1.51 1.63
...
</pre>

Automaatse monteerimise vältimine

<pre>
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored" | grep "Volume UUID"
Volume UUID: CB4A4A81-A9EE-471D-90CA-7A116C740AC6
Imres-MacBook-Air:~ root# diskutil info "/Volumes/macOS Restored - Data" | grep "Volume UUID"
Volume UUID: 6AB10166-A262-4E22-8FE6-0D5C97C731FB

Imres-MacBook-Air:~ root# vifs

Imres-MacBook-Air:~ root# cat /etc/fstab
#
# Warning - this file should only be modified with vifs(8)
#
# Failure to do so is unsupported and may be destructive.
#

UUID=6AB10166-A262-4E22-8FE6-0D5C97C731FB none apfs rw,noauto
UUID=CB4A4A81-A9EE-471D-90CA-7A116C740AC6 none apfs rw,noauto
</pre>

Vastasel korral süsteem otsib teiselt volume'ilt ka nt Applicationid üles

[[Fail:20250903-spotlight-01.png|600px]]

Kopeerimine failisüsteemis

<pre>
Imres-MacBook-Air:~ root# ditto /Applications/Yubico\ Authenticator.app/ /Users/imreoolberg/Documents/Yubico\ Authenticator.app/
</pre>

Finder GUI liidesega programm.

USB pulk abil apsf opereerimine, volume lisamine

<pre>
Imres-MacBook-Air:~ root# diskutil eraseDisk APFS "USBTEST" /dev/disk4

Imres-MacBook-Air:~ root# diskutil apfs unlockVolume /dev/disk5s4

Imres-MacBook-Air:~ root# diskutil apfs addVolume disk5 APFS volume-05
Will export new APFS Volume "volume-05" from APFS Container Reference disk5
Started APFS operation on disk5
Preparing to add APFS Volume to APFS Container disk5
Creating APFS Volume
Created new APFS Volume disk5s5
Mounting APFS Volume
Setting volume permissions
Disk from APFS operation: disk5s5
Finished APFS operation on disk5

Imres-MacBook-Air:~ root# diskutil unmount /dev/disk5s5
Volume volume-05 on disk5s5 unmounted
Imres-MacBook-Air:~ root# diskutil mount /dev/disk5s5
Volume volume-05 on /dev/disk5s5 mounted

Imres-MacBook-Air:~ root# diskutil apfs deleteVolume /dev/disk5s4
Started APFS operation
Deleting APFS Volume from its APFS Container
Unmounting disk5s4
Erasing any xART session referenced by 9AC9146E-455D-45BA-99EC-3FE32D2CE59B
Deleting Volume
Removing any Preboot and Recovery Directories
Finished APFS operation
</pre>

Konteinerid ja volume'id

<pre>
Imres-MacBook-Air:~ root# df -h | grep part- | sort
/dev/disk5s1 1.9Gi 1.0Mi 1.9Gi 1% 109 19M 0% /Volumes/part-01-volume-01
/dev/disk6s1 3.7Gi 1.0Mi 3.7Gi 1% 109 39M 0% /Volumes/part-02-volume-01
/dev/disk7s1 11Gi 1.0Mi 11Gi 1% 113 119M 0% /Volumes/part-03-volume-01
/dev/disk8s1 12Gi 992Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-01
/dev/disk8s2 12Gi 988Ki 11Gi 1% 105 120M 0% /Volumes/part-04-volume-02
/dev/disk8s3 12Gi 1.0Mi 11Gi 1% 105 120M 0% /Volumes/part-04-volume-03
</pre>

ning

<pre>
Imres-MacBook-Air:~ root# diskutil list disk4
/dev/disk4 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme *30.8 GB disk4
1: EFI EFI 209.7 MB disk4s1
2: Apple_APFS Container disk5 2.0 GB disk4s2
3: Apple_APFS Container disk6 4.0 GB disk4s3
4: Apple_APFS Container disk7 12.2 GB disk4s4
5: Apple_APFS Container disk8 12.4 GB disk4s5
</pre>

kus

* füüsiline ketas on /dev/disk4
* füüsilise ketta partitsioonid on konteinerid /dev/disk5, /dev/disk6 jne
* konteinerite sees on volume'id, nt disk8 sees on kolm tükki, s1, s2 ja s3

ning

[[Fail:20250909-disk-utility-01.png|800px]]

kus

* TODO

Failide arhiveerime ja kopeerimine süsteemist välja

<pre>
imreoolberg@Imres-MacBook-Air ~ % ditto -ck --sequesterRsrc /Users/imreoolberg /Volumes/imre-data-01/users-imreoolberg.zip
</pre>

====TRIM====

<pre>
Imres-MacBook-Air:~ root# system_profiler SPNVMeDataType
NVMExpress:

Apple SSD Controller:

APPLE SSD AP0256Z:

Capacity: 251 GB (251,000,193,024 bytes)
TRIM Support: Yes
Model: APPLE SSD AP0256Z
Revision: 2,077.140
Serial Number: 0ba028eb8328ce39
Detachable Drive: No
BSD Name: disk0
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
iSCPreboot:
Capacity: 524.3 MB (524,288,000 bytes)
BSD Name: disk0s1
Content: Apple_APFS_ISC
Macintosh HD:
Capacity: 245.11 GB (245,107,195,904 bytes)
BSD Name: disk0s2
Content: Apple_APFS
Recovery:
Capacity: 5.37 GB (5,368,664,064 bytes)
BSD Name: disk0s3
Content: Apple_APFS_Recovery

Generic SSD Controller:

WD_BLACK SN850XE 4000GB:

Capacity: 4 TB (4,000,787,030,016 bytes)
TRIM Support: Yes
Model: WD_BLACK SN850XE 4000GB
Revision: 624131EX
Serial Number: 24525S801688
Link Width: x4
Link Speed: 8.0 GT/s
Detachable Drive: No
BSD Name: disk4
Partition Map Type: GPT (GUID Partition Table)
Removable Media: No
S.M.A.R.T. status: Verified
Volumes:
EFI:
Capacity: 209.7 MB (209,715,200 bytes)
File System: MS-DOS FAT32
BSD Name: disk4s1
Content: EFI
Volume UUID: 0E239BC6-F960-3107-89CF-1C97F78BB46B
PRO-G40:
Capacity: 4 TB (4,000,577,273,856 bytes)
BSD Name: disk4s2
Content: Apple_APFS
</pre>

kus

* TRIM Support: Yes - trim on nendel seadmetel asuvatel apfs failisüsteemidel võimalik ja kohal st sisselülitatud
* apfs trim on ext4 fstab 'discard' sarnane, mitte 'fstrim /' cron jobs abil ütlemise sarnane
* Model: APPLE SSD AP0256Z - '256' väljendab suurust 256 GB, nt teine mudel on AP1024Z ja väljendab suurust 1 TB

===Launchd kasutamine===

<pre>
Imres-MacBook-Air:/ root# cat /Library/LaunchDaemons/com.myname.addroute.plist
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key>
<string>com.myname.addroute</string>
<key>ProgramArguments</key>
<array>
<string>/sbin/route</string>
<string>-n</string>
<string>add</string>
<string>192.0.2.1/32</string>
<string>192.168.64.2</string>
</array>
<key>RunAtLoad</key>
<true/>
</dict>
</plist>
</pre>

käivitamiseks

<pre>
Imres-MacBook-Air:/ root# launchctl load /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

tulemusena

<pre>
Imres-MacBook-Air:/ root# netstat -nr | grep 192.0.
192.0.2.1/32 192.168.64.2 UGSc bridge100
</pre>

Ta on olemas globaalses launched listis

<pre>
Imres-MacBook-Air:/ root# launchctl list | grep myn
- 0 com.myname.addroute
</pre>

Põhimõtteliselt peaks töötama ka unload, aga antud juhul ei oma see toimet selle konkreetse nähtuse one-shot olemuse tõttu

<pre>
Imres-MacBook-Air:/ root# launchctl unload /Library/LaunchDaemons/com.myname.addroute.plist
</pre>

====Cron====

TODO

<pre>
Imres-MacBook-Air:~ root# plutil -p /System/Library/LaunchDaemons/com.apple.tmp_cleaner.plist
{
"Label" => "com.apple.tmp_cleaner"
"LowPriorityIO" => 1
"Nice" => 1
"ProgramArguments" => [
0 => "/usr/libexec/tmp_cleaner"
]
"StartCalendarInterval" => {
"Hour" => 0
}
}
</pre>

===Virtualiseerimine - UTM===

Süsteemis kirjeldatud virtuaalsed arvutid

<pre>
Imres-MacBook-Air:/ root# /System/Volumes/Data/Applications/UTM.app/Contents/MacOS/utmctl list
UUID Status Name
DE2A3E49-B049-40F9-9D79-3C1448B446C9 started vm-deb13-01
</pre>

Virtuaalse arvuti virtuaalne plokkseade

<pre>
Imres-MacBook-Air:/ root# du -sh /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
5.9G /Users/imreoolberg/Library/Containers/com.utmapp.UTM/Data/Documents/vm-deb13-01.utm/Data/2BBCF278-9AA7-4741-95B5-1886EC71C110.qcow2
</pre>

Virtuaalsele arvutile vastav võrgundus

<pre>
Imres-MacBook-Air:/ root# ifconfig bridge100
bridge100: flags=8a63<UP,BROADCAST,SMART,RUNNING,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
options=3<RXCSUM,TXCSUM>
ether fa:73:df:a0:51:64
inet 192.168.64.1 netmask 0xffffff00 broadcast 192.168.64.255
inet6 fe80::f873:dfff:fea0:5164%bridge100 prefixlen 64 scopeid 0x19
inet6 fda5:2ff0:49ee:6d45:14d7:6e80:6b22:c592 prefixlen 64 autoconf secured
Configuration:
id 0:0:0:0:0:0 priority 0 hellotime 0 fwddelay 0
maxage 0 holdcnt 0 proto stp maxaddr 100 timeout 1200
root id 0:0:0:0:0:0 priority 0 ifcost 0 port 0
ipfilter disabled flags 0x0
member: vmenet0 flags=3<LEARNING,DISCOVER>
ifmaxaddr 0 port 24 priority 0 path cost 0
Address cache:
5e:7f:36:30:6b:51 Vlan1 vmenet0 1161 flags=0<>
nd6 options=201<PERFORMNUD,DAD>
media: autoselect
status: active

Imres-MacBook-Air:/ root# ifconfig vmenet0
vmenet0: flags=8963<UP,BROADCAST,SMART,RUNNING,PROMISC,SIMPLEX,MULTICAST> mtu 1500
ether b2:7a:48:40:de:47
media: autoselect
status: active
</pre>

===Virtualiseerimine - Virtualization.framework===

TODO

Väited

* Virtualization.framework kasutamine on võimalik UTM lahendusega
* Virtualization.framework'i kasutab Rancher Desktop lahendendus
* Virtualization.framework'i kasutab Claude Desktop lahendendus (Claude Cowork ja Claude Code puhul)

Virtuaalsetele arvutitele vastavad protsessid paistavad sellised

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep Virtuali
imreoolberg 9439 0.9 4.3 439637536 728784 ?? Ss 5:05PM 8:35.18 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
imreoolberg 2439 0.3 0.3 439691712 46720 ?? Ss 10:05AM 4:55.14 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 2439 -P -n | grep claudevm
com.apple 2439 imreoolberg txt REG 1,13 131072 124423025 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/efivars.fd
com.apple 2439 imreoolberg 6u REG 1,13 10737418240 124154442 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/rootfs.img
com.apple 2439 imreoolberg 11u REG 1,13 35880960 124155054 /Users/imreoolberg/Library/Application Support/Claude/vm_bundles/claudevm.bundle/sessiondata.img
</pre>

Kasulikud lisamaterjalid

* https://developer.apple.com/documentation/virtualization?language=objc

===Võrk===

Vaikimisi on application firewall välja lülitatud

<pre>
Imres-MacBook-Air:~ root# /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
Firewall is disabled. (State = 0)
</pre>

ning pfctl olukord

<pre>
Imres-MacBook-Air:~ root# pfctl -si
No ALTQ support in kernel
ALTQ related functions disabled
Status: Enabled for 0 days 00:05:41 Debug: Urgent

State Table Total Rate
current entries 113
searches 11661 34.2/s
inserts 370 1.1/s
removals 257 0.8/s
Counters
match 579 1.7/s
bad-offset 0 0.0/s

Imres-MacBook-Air:~ root# pfctl -ss
No ALTQ support in kernel
ALTQ related functions disabled
ALL tcp 192.168.134.76:57540 -> 192.168.10.77:8291 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61048 <- 104.18.39.21:443 ESTABLISHED:ESTABLISHED
ALL tcp 192.168.134.76:61225 -> 192.168.10.196:80 ESTABLISHED:ESTABLISHED
ALL udp 192.168.134.76:49898 -> 142.251.151.119:443 MULTIPLE:MULTIPLE
..
</pre>

Parasjagu avatud võrgusoketid

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4TCP -sTCP:LISTEN
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 8u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 12u IPv4 0xd123f519af7dbdee 0t0 TCP *:22 (LISTEN)
launchd 1 root 36u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
launchd 1 root 38u IPv4 0x891943a4a4a3ca9 0t0 TCP 127.0.0.1:8021 (LISTEN)
ControlCe 632 imreoolberg 10u IPv4 0xde3561cefae81e29 0t0 TCP *:7000 (LISTEN)
ControlCe 632 imreoolberg 12u IPv4 0xbbbca5f5375388e5 0t0 TCP *:5000 (LISTEN)
rapportd 633 imreoolberg 10u IPv4 0x7505a25821d3a7df 0t0 TCP *:49152 (LISTEN)
zabbix_ag 6815 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
zabbix_ag 6816 zabbix 6u IPv4 0xe7ca8a84e1c8509f 0t0 TCP *:10050 (LISTEN)
...
</pre>

kus

* vaikimisi pfctl ei ole aktiivne, aga nt utm virtuaalse arvuti käivitamine aktiveerib (pfctl teeb utm arvutile src-nat teisendust
* pfctl laseb praktiliselt igasuguse liikluse läbi (nö tavaline brauser -> internet liiklus jms nö registreeritakse pfctl paketifiltriga, aga lubatakse läbi)
* 8021 on pfctl ftp-proxy mooduliga seotud
* 7000 ja 5000 pordid on seotud airdrop ja airport jms osakondadega (airport on vana aja nimetus everything-wifi kohta mac puhul)

Misc

<pre>
Imres-MacBook-Air:~ root# lsof -nP -i4UDP
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
launchd 1 root 7u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 8u IPv4 0xfd237aa308fea29c 0t0 UDP *:67
launchd 1 root 39u IPv4 0x8d461240652f3ced 0t0 UDP *:138
launchd 1 root 40u IPv4 0xb4b96b1c5de038ec 0t0 UDP *:137
mDNSRespo 441 _mdnsresponder 6u IPv4 0x2d5727fb23b4e854 0t0 UDP *:5353
mDNSRespo 441 _mdnsresponder 14u IPv4 0x1ed59c3cb4235fee 0t0 UDP *:53
airportd 455 root 4u IPv4 0x6e0c4f2c444299c 0t0 UDP *:*
airportd 455 root 9u IPv6 0xea04c0f07ef2ac65 0t0 UDP *:*
airportd 455 root 11u IPv4 0xb4a853f1977e96bf 0t0 UDP *:*
airportd 455 root 12u IPv4 0x6e9d20d0d8a5c95f 0t0 UDP *:*
...
</pre>

====Riistvara====

Võrguliidese MTU muutmiseks

<pre>
imreoolberg@Imres-MacBook-Air ~ % networksetup -listallnetworkservices
An asterisk (*) denotes that a network service is disabled.
USB 10/100/1000 LAN
USB 10/100/1G/2.5G LAN
USB 10/100/1G/2.5G LAN 2
Thunderbolt Bridge
Wi-Fi

imreoolberg@Imres-MacBook-Air ~ % networksetup -getMTU Wi-Fi
Active MTU: 1500 (Current Setting: 1500)

# networksetup -setMTU Wi-Fi 1400
</pre>

====Ruuting====

ipv4 ruutingutabeli esitamine

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet
Routing tables

Internet:
Destination Gateway Flags Netif Expire
default 192.168.134.77 UGScg en0
127 127.0.0.1 UCS lo0
127.0.0.1 127.0.0.1 UH lo0
169.254 link#12 UCS en0 !
192.168.134 link#12 UCS en0 !
192.168.134.2/32 link#12 UCS en0 !
192.168.134.77/32 link#12 UCS en0 !
192.168.134.77 64:d1:54:a7:cc:99 UHLWIir en0 1199
192.168.134.255 ff:ff:ff:ff:ff:ff UHLWbI en0 !
224.0.0/4 link#12 UmCS en0 !
224.0.0.251 1:0:5e:0:0:fb UHmLWI en0
255.255.255.255/32 link#12 UCS en0 !
</pre>

====Võrk - bluetooth====

Kuigi 2025 aastal müüdavate Apple Magic Keyboard puhul paljuski väljendatakse, et nad on kasutatavad wireless režiimis ja jääb mulje, et ainult nii, siis osutub, et tegelikult neil on toiteks mõeldud usb kaabel usb siiski ka andmevahetuseks võimaline. non-radio kasutamiseks

* system setting - bluetooth osakonnas lülitada välja bluetooth terviklikult, näiteks
* klaviatuur jätkab töötamist

====Võrk - wireless====

<pre>
Imres-MacBook-Air:~ root# wdutil info | head -n 44
————————————————————————————————————————————————————————————————————
NETWORK
————————————————————————————————————————————————————————————————————
Primary IPv4 : en0 (Wi-Fi / 9B1345E5-7303-47E8-9C98-5C1D150E7921)
: 192.168.134.74
Primary IPv6 : None
DNS Addresses : 1.1.1.1
Apple : Reachable
————————————————————————————————————————————————————————————————————
WIFI
————————————————————————————————————————————————————————————————————
MAC Address : <redacted> (hw=<redacted>)
Interface Name : en0
Power : On [On]
Op Mode : STA
SSID : <redacted>
BSSID : <redacted>
RSSI : -83 dBm
CCA : 2 %
Noise : -94 dBm
Tx Rate : 65.0 Mbps
Security : WPA2 Personal
PHY Mode : 11ac
MCS Index : 1
Guard Interval : 400
NSS : 1
Channel : 5g36/80
Country Code : EE
Scan Cache Count : 3
NetworkServiceID : 9B1345E5-7303-47E8-9C98-5C1D150E7921
IPv4 Config Method : DHCP
IPv4 Address : 192.168.134.74
IPv4 Router : 192.168.134.77
IPv6 Config Method : Automatic
IPv6 Address : fe80::ccb:dc0f:9b07:4271
IPv6 Router : None
DNS : 1.1.1.1
BTC Mode : Off
Desense :
Chain Ack : []
BTC Profile 2.4GHz : Disabled
BTC Profile 5GHz : Disabled
Sniffer Supported : YES
Supports 6e : Yes
</pre>

kus

* alumiselt pildilt tunneb ära sama info, nt channel 5g36/80
* 11ac tähistab protokolli 802.11ac

Visuaalne kujutis samas olukorras

[[Fail:20260718-macos-wifi-01.png|1000px]]

kus

* TODO

====SSH kaugligipääs====

Eemalt ligipääsu võimaldamiseks, ei pruugi olla hea mõte

[[Fail:20260706-macos-ssh-remote-access-01.png|600px]]

kus

* Remote Login

===Tarkvara haldus===

====Mõisted====

* DMG - disk image

====Sissejuhatus====

Üldiselt tekib tarkvara macos süsteemi kolmest allikast

* süsteemne tarkvara - nö süsteemi enda paigaldamise tagajärel, nt Safari brauser
* App Store - apple.com standardne viis tarkvara levitada, nt Yubico Authenticator
* tootja levitab - igasugused huvilised, ausama ja vähem ausamad levitavad .dmg formaadis tõmmist oma veebikohas/repos/jms - nt BetterTouchTool

Tarkvara paigaldamisel võiks eelistada App Store lahendust võimalusel

* tarkvara on läbinud teatud turvalisuse jms kaanonitega seotud protseduurid
* paigaldamise järgne uuendamine toimub automaatselt, sarnaselt põhisüsteemi tarkvaraga

Rakenduste jaoks on üldiselt kolm asukohta failisüsteemis

* /System/Applications - read only
* /Applications - read write
* ~/Applications ehk nt /Users/imreoolberg/Applications - read write

~/Applications kataloogi on realistlik paigaldada nö lihtsat tarkvara, nt mis ei sisalda kernel extensioneid vms (nt OpenVPN ei saa, aga XCA saab). Paigaldamine toimub Finder gui liideses .dmg sees oleva .app kataloogi vedamise teel ~/Applications kataloogi või käsureal nt

$ ditto /Volumes/XCA/xca.app ~/Applications

====Tarkvara allikad====

TODO

Mitte-ametlikud registrid

* https://www.macupdate.com/
* https://www.apponic.com/mac/

====Tööpõhimõte - drag-and-drop install====

Tundub, et lihtsamal juhul tarkvara paigaldamine seisneb lihtsalt failide kopeerimises .dmg failist arvuti kataloogi /Applications. .dmg faili moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil create -ov -fs "APFS" -size 200m -volname "SimpleCalc" MyDisk.dmg
</pre>

monteerimine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil attach MyDisk.dmg
</pre>

Sisu moodustamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % date > /Volumes/SimpleCalc/testfile.txt
</pre>

lahti ühendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil detach /Volumes/SimpleCalc
</pre>

teisendamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % hdiutil convert MyDisk.dmg -format UDZO -o SimpleCalc-1.0.dmg
</pre>

Kui on soov läbi proovida nö omatehtud .dmg ja elamus, siis sobib

* mingi olemasolev lihtne .app põhine rakendus võtta aluseks - nt xca rakendus
* tema sisu kopeerida omatehtud .dmg sisse
* lõpuks selle abil tarkvara paigaldada

Osutub, et kui Finderis öelda Open siis monteeritaks .dmg nagu virtuaalne failipõhine plokkseade, mille juurkataloogi sisuks on peamiselt kaks sissekannet

* link /Applications kataloogile
* xca.app kataloog rakendusega

Ja Open avab ka nö erilises vaates Finderi, kus on näha nö traditsiooniline hiirega drag-and-drop install vaade, tehniliselt toimub tavaline kataloog-kopeeritakse-kataloogi muudatus.

MacOS sellist drag viisil tehtud tarkvara paigalduse ei registreeri kuskil keskses tarkvara-registris vms. Selline tarkvara paigaldamine on tehniliselt kataloogi kopeerimine, millega kaasneb signatuuri kontroll jms administratiivne element.

====Tööpõhimõte - installer packages====

<pre>
$ pkgutil --packages
$ pkgutil --files paketinimi
</pre>

====Paigaldatud tarkvara nimekirja esitamine====

GUI

<pre>
System Settings -> General -> System report -> Software -> Applications -> not obtained-from Apple
</pre>

käsurealt

<pre>
imreoolberg@Imres-MacBook-Air ~ % system_profiler SPApplicationsDataType | grep -B 3 -A 5 "Identified De" | head -n 20
Google Chrome:

Version: 140.0.7339.81
Obtained from: Identified Developer
Last Modified: 30.08.2025, 01:47
Kind: Universal
Signed by: Developer ID Application: Google LLC (EQHXZ8M8AV), Developer ID Certification Authority, Apple Root CA
Location: /Applications/Google Chrome.app
Get Info String: Google Chrome 140.0.7339.81, Copyright 2025 Google LLC. All rights reserved.
--
iTerm:

Version: 3.5.14
Obtained from: Identified Developer
Last Modified: 16.05.2025, 02:59
Kind: Universal
Signed by: Developer ID Application: GEORGE NACHMAN (H7V7XYVQ7D), Developer ID Certification Authority, Apple Root CA
Location: /Applications/iTerm.app
Get Info String: 3.5.14
--
</pre>

Üks viis on küsida failisüsteemis

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep imreoo
drwxr-xr-x@ 3 imreoolberg staff 96 Sep 3 11:10 /Applications/BetterTouchTool.app
drwxrwxr-x@ 3 imreoolberg admin 96 Aug 30 01:47 /Applications/Google Chrome.app
drwxr-xr-x@ 3 imreoolberg staff 96 May 16 02:59 /Applications/iTerm.app
drwxr-xr-x@ 3 imreoolberg admin 96 Apr 8 08:11 /Applications/UTM.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 25 15:41 /Applications/Visual Studio Code.app

imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/* | grep qdigi
drwxr-xr-x@ 3 root wheel 96 Sep 8 16:56 /Applications/qdigidoc4.app
</pre>

kus

* sõltuvalt paigaldusviisist on faili omanik erinev
* põhimõtteliselt tekib sellisest lähenemisest probleeme, nt mis siis kui süsteemil on mitu kasutajat, installinud kasutaja eemaldatakse jne - üks viis on kasutada süsteemis ühte non-personal administraator kasutajat kes tegeleb tarkvara paigaldamisega jms, ja ülejäänud kasutavad tarkvara
* @ tähistab asjaolu, et failiga on seotud apfs failisüsteemi extended attributs omadused, nt registreeritakse sedasi autor

<pre>
imreoolberg@Imres-MacBook-Air ~ % xattr -p com.apple.appstore.vendor_name "/Applications/Yubico Authenticator.app"
Yubico
</pre>

====Paigaldamine - App Store====

TODO

[[Fail:20250908-app-store-yubico-authenticator-01.png|900px]]

kus

* pressida Get -> Install -> Open
* tarkvara 'Obtained from' väärtuseks on 'App store'
* online otsing - https://www.apple.com/us/search/yubico?src=globalnav

====Paigaldamine - tootja juurest kopeerides====

TODO

====Tarkvara uuendamine====

Väited

* tarkvara uuendusi ei väljastata kindlaksmääratud aegadel (nt nagu Ubuntu või OpenBSD puhul)
* tarkvara uuendusi väljastatakse mitmel korral aastas ja vastavalt vajadusele
* tarkvara uuendused jaotuvad: 1. turva-uuendused, 2. vigade parandused, 3. funktsionaalsed muudatused
* tarkvara uuendusi koheldatakse terviklikult, st ei ole eraldi nt süsteemi osas ja rakendustarkvara, või pakettide nimekiri, millest saab teha käesoleva uuenduse korra jaoks valiku

Nt 2025 aastal on olnud selline uuenduste ajalugu

* January 27: macOS Sequoia 15.3, macOS Sonoma 14.7.3, and macOS Ventura 13.7.3 were released with security patches.
* February 10: An urgent security update, macOS Sequoia 15.3.1, was released.
* March 11: macOS Sequoia 15.3.2 was released, addressing security vulnerabilities in WebKit.
* March 31: macOS Sequoia 15.4, macOS Sonoma 14.7.5, and macOS Ventura 13.7.5 were released.
* April 16: macOS Sequoia 15.4.1 was released, providing security patches.
* May 12: macOS Sequoia 15.5, macOS Sonoma 14.7.6, and macOS Ventura 13.7.6 were released.
* July 29: macOS Sequoia 15.6, macOS Sonoma 14.7.7, and macOS Ventura 13.7.7 were released.
* August 20: macOS Sequoia 15.6.1 was released with security updates.

Käsundamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % sw_vers
ProductName: macOS
ProductVersion: 15.3
BuildVersion: 24D2059

imreoolberg@Imres-MacBook-Air ~ % softwareupdate -l
Software Update Tool

Finding available software
Software Update found the following new or updated software:
* Label: macOS Sequoia 15.6.1-24G90
Title: macOS Sequoia 15.6.1, Version: 15.6.1, Size: 6160384KiB, Recommended: YES, Action: restart,
</pre>

====Tarkvara uuendamine - App Store====

App Store rakendus vasakus paneelis on kõige all valik

Updates

[[Fail:20251203-macos-app-store-updates-01.png|800px]]

===Logi===

TODO

Kui klaviatuuri ja hiire kasutamine olid ebastabiilsed, siis soovitas gemini.google midagi sellist küsida, ei tea mis siit järeldada

<pre>
imreoolberg@Imres-MacBook-Air ~ % log show --predicate 'process == "WindowServer"' --style syslog --last 40m| grep -i skyl | tail -n 10
2026-07-06 00:49:00.495406+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:00.600614+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.751674+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.767823+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:00.824865+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] pid 771 failed to act on a ping it dequeued before timing out.
2026-07-06 00:49:00.847454+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.083920+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] delivery manager destinations for kCGSEventKeyDown event: <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.175320+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:KeyboardEvent] kCGSEventKeyUp was part of a sequence with destination <keyboardFocus; pid: 2922; token: viewbridge-key-window>
2026-07-06 00:49:01.498496+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
2026-07-06 00:49:01.498503+0300 localhost WindowServer[419]: (SkyLight) [com.apple.SkyLight:default] _CGXPackagesSetWindowConstraints: Invalid window
</pre>

===Misc===

====Screen Lock====

Tundub, et caffeinate on hästi efektiivne

$ caffeinate -di

====Watchdog====

Väited

* hardware watchdog on paratamatult sisse lülitatud
* software watchdog on seaditatav, vaikimisi on sisse lülitatud

<pre>
TODO
</pre>

====Programm====

Käivitamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % open -a BetterTouchTool
imreoolberg@Imres-MacBook-Air ~ %

imreoolberg@Imres-MacBook-Air ~ % "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
13:09:53.164 [desktop.init] INFO: Logging initialized, outputting to stderr
13:09:53.173 [desktop.init] INFO: Window hidden on startup: false
13:09:53.174 [desktop.init] INFO: Starting Helper subprocess: /Applications/Yubico Authenticator.app/Contents/Resources/helper/authenticator-helper
13:09:53.175 [desktop.init] INFO: Helper process started
13:09:53.176 [main] INFO: Running Yubico Authenticator...
{app_version: 7.2.3, dart: 3.8.1 (stable) (Wed May 28 00:47:25 2025 -0700) on "macos_arm64", os: macos, os_version: Version 15.6.1 (Build 24G90)}
13:09:53.302 [helper.ykman.logging] INFO: Logging at level: INFO
13:09:53.302 [helper.helper.device] INFO: Log level set to: INFO
13:09:53.302 [desktop.init] INFO: Helper log level set
13:09:53.327 [desktop.devices] INFO: USB state change
{"data":{"state":5740354900026072187,"pids":{}},"actions":["get","scan"],"children":{}}
13:09:53.327 [desktop.devices] INFO: USB state updated, unaccounted for: {}
..
</pre>

edasi

<pre>
Imres-MacBook-Air:/ root# file "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator: Mach-O universal binary with 2 architectures: [x86_64:Mach-O 64-bit executable x86_64] [arm64:Mach-O 64-bit executable arm64]
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture x86_64): Mach-O 64-bit executable x86_64
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (for architecture arm64): Mach-O 64-bit executable arm64
Imres-MacBook-Air:/ root#
</pre>

<pre>
imreoolberg@Imres-MacBook-Air Documents % cat hello.c
#include <stdio.h>

int main() {
printf("Hello, World!\n");
return 0;
}
</pre>

kompileerimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % clang hello.c -o hello
</pre>

käivitamine

<pre>
imreoolberg@Imres-MacBook-Air Documents % ./hello
Hello, World!
</pre>

otool abil binary uurimine

<pre>
imreoolberg@Imres-MacBook-Air Documents % otool -L hello
hello:
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1351.0.0)
</pre>

yubico authenticator binary uurimine

<pre>
Imres-MacBook-Air:/ root# otool -L "/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator"
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture x86_64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/Applications/Yubico Authenticator.app/Contents/MacOS/Yubico Authenticator (architecture arm64):
@rpath/desktop_drop.framework/Versions/A/desktop_drop (compatibility version 1.0.0, current version 1.0.0)
@rpath/file_picker.framework/Versions/A/file_picker (compatibility version 1.0.0, current version 1.0.0)
@rpath/local_notifier.framework/Versions/A/local_notifier (compatibility version 1.0.0, current version 1.0.0)
@rpath/path_provider_foundation.framework/Versions/A/path_provider_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/screen_retriever_macos.framework/Versions/A/screen_retriever_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/shared_preferences_foundation.framework/Versions/A/shared_preferences_foundation (compatibility version 1.0.0, current version 1.0.0)
@rpath/tray_manager.framework/Versions/A/tray_manager (compatibility version 1.0.0, current version 1.0.0)
@rpath/url_launcher_macos.framework/Versions/A/url_launcher_macos (compatibility version 1.0.0, current version 1.0.0)
@rpath/window_manager.framework/Versions/A/window_manager (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/libobjc.A.dylib (compatibility version 1.0.0, current version 228.0.0)
/usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1345.120.2)
/System/Library/Frameworks/AppKit.framework/Versions/C/AppKit (compatibility version 45.0.0, current version 2487.60.105)
/usr/lib/swift/libswiftCore.dylib (compatibility version 1.0.0, current version 0.0.0)
/usr/lib/swift/libswiftCoreAudio.dylib (compatibility version 1.0.0, current version 6.0.0, weak)
/usr/lib/swift/libswiftCoreFoundation.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
/usr/lib/swift/libswiftCoreImage.dylib (compatibility version 1.0.0, current version 2.0.0, weak)
/usr/lib/swift/libswiftCoreMedia.dylib (compatibility version 1.0.0, current version 3110.8.2, weak)
/usr/lib/swift/libswiftDarwin.dylib (compatibility version 1.0.0, current version 0.0.0, weak)
/usr/lib/swift/libswiftDispatch.dylib (compatibility version 1.0.0, current version 41.0.0, weak)
/usr/lib/swift/libswiftIOKit.dylib (compatibility version 1.0.0, current version 1.0.0, weak)
/usr/lib/swift/libswiftMetal.dylib (compatibility version 1.0.0, current version 343.19.0, weak)
/usr/lib/swift/libswiftOSLog.dylib (compatibility version 1.0.0, current version 4.0.0, weak)
/usr/lib/swift/libswiftObjectiveC.dylib (compatibility version 1.0.0, current version 8.0.0, weak)
/usr/lib/swift/libswiftQuartzCore.dylib (compatibility version 1.0.0, current version 3.0.0, weak)
/usr/lib/swift/libswiftUniformTypeIdentifiers.dylib (compatibility version 1.0.0, current version 791.2.12, weak)
/usr/lib/swift/libswiftXPC.dylib (compatibility version 1.0.0, current version 36.100.8, weak)
/usr/lib/swift/libswiftos.dylib (compatibility version 1.0.0, current version 1049.100.4, weak)
@rpath/FlutterMacOS.framework/Versions/A/FlutterMacOS (compatibility version 0.0.0, current version 0.0.0)
/usr/lib/swift/libswiftFoundation.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftAppKit.dylib (compatibility version 1.0.0, current version 1.0.0)
/usr/lib/swift/libswiftCoreGraphics.dylib (compatibility version 1.0.0, current version 120.100.0, weak)
</pre>

kus

* @rpath viitab rakenduse kapsli sisestele ressurssidele

====dtruss====

<pre>
Imres-MacBook-Air:/ root# dtruss -p 65630 2>&1 | tail -n 1

: probe description syscall:::entry does not match any probes. System Integrity Protection is on

imreoolberg@Imres-MacBook-Air Documents % dtruss ./hello
dtrace: system integrity protection is on, some features will not be available
dtrace: failed to initialize dtrace: DTrace requires additional privileges
</pre>

====Screenshot====

Tähistatud ala

<pre>
Command + Shift + 4
</pre>

Kogu ekraan

<pre>
Command + Shift + 3
</pre>

Screen cast

<pre>
Command + Shift + 5
</pre>

Vaikimisi asub pildistus iseloomuliku nimega failis desktopil.

===Süsteemi taastamine===

====Recovery meedia ettevalmistamine====

<pre>
Imres-MacBook-Air:/ root# diskutil eraseDisk JHFS+ "MyVolume" /dev/disk4
Started erase on disk4
Unmounting disk
Creating the partition map
Waiting for partitions to activate
Formatting disk4s2 as Mac OS Extended (Journaled) with name MyVolume
Initialized /dev/rdisk4s2 as a 28 GB case-insensitive HFS Plus volume with a 8192k journal
Mounting disk
Finished erase on disk4

Imres-MacBook-Air:/ root# /Applications/Install\ macOS\ Sequoia.app/Contents/Resources/createinstallmedia --volume /Volumes/MyVolume
Ready to start.
To continue we need to erase the volume at /Volumes/MyVolume.
If you wish to continue type (Y) then press return: y
Erasing disk: 0%... 10%... 20%... 30%... 100%
Copying essential files...
Copying the macOS RecoveryOS...
Making disk bootable...
Copying to disk: 0%... 10%... 20%... 30%... 40%... 50%... 60%... 70%... 80%... 90%... 100%
Install media now available at "/Volumes/Install macOS Sequoia"
Imres-MacBook-Air:/ root# echo $?
0

# diskutil unmount /Volumes/Install\ macOS\ Sequoia
</pre>

Protseduur

1. Create a New APFS Volume
The first step is to create a new, separate volume on your internal drive where you will restore the backup.

Boot from your USB installer by holding the Option key on startup.

In the macOS Utilities window, select Disk Utility and click Continue.

In Disk Utility, go to the menu bar and select View > Show All Devices.

In the sidebar, select the APFS container (the device, not the volume) that holds your current macOS installation.

Click the + button in the toolbar to add a new APFS volume.

Give the new volume a name (e.g., "macOS Restored") and click Add. This process is very fast as APFS volumes share the same free space.

Once the new volume appears in the sidebar, close Disk Utility.

2. Restore the Backup to the New Volume
Now that the new volume is ready, you can restore your Time Machine backup to it.

From the macOS Utilities window, select Restore From Time Machine Backup and click Continue.

Follow the on-screen instructions, selecting your Time Machine backup drive when prompted.

When the installer asks you to choose a destination disk, you will see your original macOS volume and the new "macOS Restored" volume you just created.

Select the new "macOS Restored" volume as the destination for the restoration. The installer will then proceed to restore the system to that specific volume only.

After the restoration is complete, you can restart your Mac and, by holding down the Option key, you will be able to choose between your original macOS system and the restored system on the second volume.

===homebrew===

<pre>
imre@imre-mac ~ % /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
==> Checking for `sudo` access (which may request your password)...
Password:
==> This script will install:
/opt/homebrew/bin/brew
/opt/homebrew/share/doc/homebrew
/opt/homebrew/share/man/man1/brew.1
/opt/homebrew/share/zsh/site-functions/_brew
/opt/homebrew/etc/bash_completion.d/brew
/opt/homebrew
/etc/paths.d/homebrew
==> The following new directories will be created:
/opt/homebrew/bin
/opt/homebrew/etc
/opt/homebrew/include
/opt/homebrew/lib
/opt/homebrew/sbin
/opt/homebrew/share
/opt/homebrew/var
/opt/homebrew/opt
/opt/homebrew/share/zsh
/opt/homebrew/share/zsh/site-functions
/opt/homebrew/var/homebrew
/opt/homebrew/var/homebrew/linked
/opt/homebrew/Cellar
/opt/homebrew/Caskroom
/opt/homebrew/Frameworks
==> The Xcode Command Line Tools will be installed.

Press RETURN/ENTER to continue or any other key to abort:
==> /usr/bin/sudo /usr/bin/install -d -o root -g wheel -m 0755 /opt/homebrew
==> /usr/bin/sudo /bin/mkdir -p /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod ug=rwx /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /bin/chmod go-w /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions
==> /usr/bin/sudo /usr/sbin/chown imre /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/bin/chgrp admin /opt/homebrew/bin /opt/homebrew/etc /opt/homebrew/include /opt/homebrew/lib /opt/homebrew/sbin /opt/homebrew/share /opt/homebrew/var /opt/homebrew/opt /opt/homebrew/share/zsh /opt/homebrew/share/zsh/site-functions /opt/homebrew/var/homebrew /opt/homebrew/var/homebrew/linked /opt/homebrew/Cellar /opt/homebrew/Caskroom /opt/homebrew/Frameworks
==> /usr/bin/sudo /usr/sbin/chown -R imre:admin /opt/homebrew
==> Searching online for the Command Line Tools
==> /usr/bin/sudo /usr/bin/touch /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Installing Command Line Tools for Xcode-16.4
==> /usr/bin/sudo /usr/sbin/softwareupdate -i Command\ Line\ Tools\ for\ Xcode-16.4
Software Update Tool

Finding available software

Downloading Command Line Tools for Xcode

Downloaded Command Line Tools for Xcode
Installing Command Line Tools for Xcode
Done with Command Line Tools for Xcode
Done.
==> /usr/bin/sudo /usr/bin/xcode-select --switch /Library/Developer/CommandLineTools
Password:
Sorry, try again.
Password:
==> /usr/bin/sudo /bin/rm -f /tmp/.com.apple.dt.CommandLineTools.installondemand.in-progress
==> Downloading and installing Homebrew...
remote: Enumerating objects: 310493, done.
remote: Counting objects: 100% (16399/16399), done.
remote: Compressing objects: 100% (608/608), done.
remote: Total 310493 (delta 15991), reused 15838 (delta 15791), pack-reused 294094 (from 3)
remote: Enumerating objects: 55, done.
remote: Counting objects: 100% (34/34), done.
remote: Total 55 (delta 33), reused 33 (delta 33), pack-reused 21 (from 1)
==> /usr/bin/sudo /bin/mkdir -p /etc/paths.d
==> /usr/bin/sudo tee /etc/paths.d/homebrew
/opt/homebrew/bin
==> /usr/bin/sudo /usr/sbin/chown root:wheel /etc/paths.d/homebrew
==> /usr/bin/sudo /bin/chmod a+r /etc/paths.d/homebrew
==> Updating Homebrew...
==> Downloading https://ghcr.io/v2/homebrew/portable-ruby/portable-ruby/blobs/sha256:20fa657858e44a4b39171d6e4111f8a9716eb62a78ebbd1491d94f90bb7b830a
################################################################################################################################################################ 100.0%
==> Pouring portable-ruby-3.4.5.arm64_big_sur.bottle.tar.gz
==> Installation successful!

==> Homebrew has enabled anonymous aggregate formulae and cask analytics.
Read the analytics documentation (and how to opt-out) here:
https://docs.brew.sh/Analytics
No analytics data has been sent yet (nor will any be during this install run).

==> Homebrew is run entirely by unpaid volunteers. Please consider donating:
https://github.com/Homebrew/brew#donations

==> Next steps:
- Run these commands in your terminal to add Homebrew to your PATH:
echo >> /Users/imre/.zprofile
echo 'eval "$(/opt/homebrew/bin/brew shellenv)"' >> /Users/imre/.zprofile
eval "$(/opt/homebrew/bin/brew shellenv)"
- Run brew help to get started
- Further documentation:
https://docs.brew.sh

imre@imre-mac ~ %
</pre>

pyhton 3.13

<pre>
imre@imre-mac ti % brew install python@3.13
==> Fetching downloads for: python@3.13
==> Downloading https://ghcr.io/v2/homebrew/core/python/3.13/manifests/3.13.7
#################################################################################################################### 100.0%
==> Fetching dependencies for python@3.13: mpdecimal, ca-certificates, openssl@3, readline, sqlite and xz
==> Downloading https://ghcr.io/v2/homebrew/core/mpdecimal/manifests/4.0.1
#################################################################################################################### 100.0%
==> Fetching mpdecimal
...

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
==> Summary
🍺 /opt/homebrew/Cellar/python@3.13/3.13.7: 3,620 files, 66.6MB
==> Running `brew cleanup python@3.13`...
Disable this behaviour by setting `HOMEBREW_NO_INSTALL_CLEANUP=1`.
Hide these hints with `HOMEBREW_NO_ENV_HINTS=1` (see `man brew`).
==> No outdated dependents to upgrade!
==> Caveats
==> python@3.13
Python is installed as
/opt/homebrew/bin/python3

Unversioned symlinks `python`, `python-config`, `pip` etc. pointing to
`python3`, `python3-config`, `pip3` etc., respectively, are installed into
/opt/homebrew/opt/python@3.13/libexec/bin

`idle3.13` requires tkinter, which is available separately:
brew install python-tk@3.13

See: https://docs.brew.sh/Homebrew-and-Python
imre@imre-mac ti %

(py_venv) imre@imre-mac ti % brew tap hashicorp/tap
==> Tapping hashicorp/tap
Cloning into '/opt/homebrew/Library/Taps/hashicorp/homebrew-tap'...
remote: Enumerating objects: 5818, done.
remote: Counting objects: 100% (1132/1132), done.
remote: Compressing objects: 100% (221/221), done.
remote: Total 5818 (delta 1015), reused 913 (delta 911), pack-reused 4686 (from 3)
Receiving objects: 100% (5818/5818), 1.01 MiB | 1.18 MiB/s, done.
Resolving deltas: 100% (4104/4104), done.
Tapped 2 casks and 32 formulae (93 files, 1.3MB).
(py_venv) imre@imre-mac ti % brew install hashicorp/tap/vault
</pre>

===Xcode Command Line Tools===

Xcide CLI koosseisu kuuluvad muu hulgas

* git
* clang
* gcc

Paigaldamiseks sobib öelda

<pre>
# xcode-select --install
</pre>

to check

<pre>
imreoolberg@Imres-MacBook-Air ~ % xcode-select -p
/Library/Developer/CommandLineTools
</pre>

===Spaces===

Väited

* Spaces võimaldab tegeleda macos peal virtuaalsete desktop'idega
* käitumist kontrollib üldiselt 'System Settings -> Desktop & Dock -> Displays have separate Spaces' väärtus (vaikimisi 'On')
* F3 klahv abil saab Spaces riba kuvada monitoride üleosas
* Space'i saab liigutada monitoride vahel hiirega tirides, v.a. aktiivset space'i
* Space'ide vahel saab liikuda Control + left/righ arrow key abil
* Rakendust saab liigutada space'ide vahel minnes nn Mission Control vaatesse ja siis hiirega rakenduse akent lohistades
* Space sulgemisel paigutatakse vastavad aknad eelmisele space'ile

===Kellaaeg===

Süsteemi aeg

<pre>
Imres-MacBook-Air:~ root# date
Sat Sep 13 23:36:17 EEST 2025
</pre>

NTP serverilt kellaaja küsimine

<pre>
Imres-MacBook-Air:~ root# sntp time.apple.com
+0.049514 +/- 0.014280 time.apple.com 17.253.38.35
</pre>

Väärtuse küsimine

<pre>
Imres-MacBook-Air:~ root# systemsetup -getnetworktimeserver
Network Time Server: time.euro.apple.com
</pre>

Väärtuse muutmine

<pre>
Imres-MacBook-Air:~ root# systemsetup -setnetworktimeserver time.euro.apple.com
</pre>

Logist kellaajaga seotud sündmuste kohta küsimine

<pre>
Imres-MacBook-Air:~ root# log stream --predicate 'subsystem == "com.apple.timed"
</pre>

Kas kellaaeg automaatne hoidmine on kasutuses

<pre>
Imres-MacBook-Air:~ root# systemsetup -getusingnetworktime
Network Time: On
</pre>

===BSD pärand===

<pre>
imreoolberg@Imres-MacBook-Air ~ % which openssl
/usr/bin/openssl
imreoolberg@Imres-MacBook-Air ~ % openssl version
LibreSSL 3.3.6

Imres-MacBook-Air:~ root# ssh -V
OpenSSH_9.9p2, LibreSSL 3.3.6

Imres-MacBook-Air:~ root# pfctl -v
No ALTQ support in kernel
ALTQ related functions disabled

Imres-MacBook-Air:~ root# netstat -nr -f inet
</pre>

Süsteemsete kasutajate nimed algavad alakriipsuga (nt sarnaselt toimib OpenBSD), nt timed (ntp local protsess) töötab kasutajana _timed

<pre>
Imres-MacBook-Air:~ root# ps aux | grep timed
_timed 373 0.0 0.0 426967056 4576 ?? Ss Tue02PM 0:03.41 /usr/libexec/timed
</pre>

/etc/passwd failis on palju nö legacy kasutajad mille nimi viitab nö klassikalisele lahendusele

<pre>
Imres-MacBook-Air:~ root# egrep "_postgres|_dovenull|_postfix|_avamis|_clamav|_cyrus|_mailman|_cvs|_mysql|_jabber|_ftp" /etc/passwd
_postfix:*:27:27:Postfix Mail Server:/var/spool/postfix:/usr/bin/false
_cvs:*:72:72:CVS Server:/var/empty:/usr/bin/false
_mysql:*:74:74:MySQL Server:/var/empty:/usr/bin/false
_cyrus:*:77:6:Cyrus Administrator:/var/imap:/usr/bin/false
_mailman:*:78:78:Mailman List Server:/var/empty:/usr/bin/false
_clamav:*:82:82:ClamAV Daemon:/var/virusmails:/usr/bin/false
_jabber:*:84:84:Jabber XMPP Server:/var/empty:/usr/bin/false
_ftp:*:98:-2:FTP Daemon:/var/empty:/usr/bin/false
_postgres:*:216:216:PostgreSQL Server:/var/empty:/usr/bin/false
_dovenull:*:227:227:Dovecot Authentication:/var/empty:/usr/bin/false
</pre>

===Süsteemi paigaldamine===

Eesmärk

* paigaldada töötav töökoha keskkond
* valmituda juhtumiks kui kasutaja parool kaob ja on vaja seda taastada (teha reset)

TODO

===Google Chrome brauser===

TODO

Google Chrome brauseril on lubatud kuvada ssh privaatset võtit, nt

file:///Users/imreoolberg/.ssh/id_ed25519

Analoogliselt on see lubatud Ubuntu 24.04 platvormil, aga nt OpenBSD puhul mitte (tänu unveil tehnoloogiale).

===GateKeeper===

Kui kopeerida internetist tarkvara nt .dmg kujul ja paigaldada, siis esimesel käivitamisel küsib süsteem, et kas ikka käivitada see internetist kopeeritud programm, küsimus ja vastusega tegelemine on seotud xattr parameetriga com.apple.quarantine

<pre>
Imres-MacBook-Air:~ root# xattr -p com.apple.quarantine /Applications/KeePassXC.app
0181;68c6f083;Chrome;AF698614-F806-4A2B-B66C-4B09CB133779
</pre>
ja
<pre>
# spctl
</pre>

ja

<pre>
Imres-MacBook-Air:~ root# sqlite3 /Users/imreoolberg/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2
SQLite version 3.43.2 2023-10-10 13:08:14
Enter ".help" for usage hints.

sqlite> .schema
CREATE TABLE LSQuarantineEvent ( LSQuarantineEventIdentifier TEXT PRIMARY KEY NOT NULL, LSQuarantineTimeStamp REAL, LSQuarantineAgentBundleIdentifier TEXT, LSQuarantineAgentName TEXT, LSQuarantineDataURLString TEXT, LSQuarantineSenderName TEXT, LSQuarantineSenderAddress TEXT, LSQuarantineTypeNumber INTEGER, LSQuarantineOriginTitle TEXT, LSQuarantineOriginURLString TEXT, LSQuarantineOriginAlias BLOB );
CREATE INDEX LSQuarantineEventIndex ON LSQuarantineEvent ( LSQuarantineEventIdentifier );
CREATE INDEX LSQuarantineTimeStampIndex ON LSQuarantineEvent ( LSQuarantineTimeStamp );

sqlite> select * from LSQuarantineEvent;
9446C9BF-45BE-49C7-8EBE-2F15796AC8C8|778543831.0|com.google.Chrome|Chrome||||0|||
BDC2404B-51CD-4561-B50B-97C0C4272BF4|778543831.0|com.google.Chrome|Chrome||||0|||
295142B0-B654-4691-9F45-774441058E9A|778543831.0|com.google.Chrome|Chrome||||0|||
E806F7A8-856B-4A57-ADD6-0FFC2CAEECCB|778543833.0|com.google.Chrome|Chrome||||0|||
</pre>

===Transparency, Consent, and Control (TCC)===

Esmakordsel käivitamisel küsitakse vahel kataloogide ja failide avamise õiguse kohta, sellega tegeleb TCC. Tulemus on paista nt

System Settings -> Privacy & Security -> KeePassXC -> xxx

<pre>
Imres-MacBook-Air:~ root# mdls -name kMDItemCFBundleIdentifier /Applications/KeePassXC.app
kMDItemCFBundleIdentifier = "org.keepassxc.keepassxc"
</pre>

ning eemaldamiseks

<pre>
Imres-MacBook-Air:~ root# tccutil reset All org.keepassxc.keepassxc
Successfully reset All approval status for org.keepassxc.keepassxc
</pre>

===Kasutajate haldamine===

Kasutaja tekitamiseks sobib

System Settings -> Users & Groups -> Add User -> ...

Teise kasutajana lisaks sisse logimiseks sobib kasutada

System Settings -> Control Center -> Fast User Switching -> ...

===Eesti id kaart===

TODO

Peale paigaldamist on

System Settings -> ID-updater

===Finder===

Finder programm on sarnane nö vana-aja Windows Explorer programmile või XFCE4 prorammile Thunar.

Vasaku sidebar ehk paneeli sisu muutmiseks sobib kasutada Finder -> Settings ja nt muuta nähtavaks kasutaja kodukataloog.

===XQuartz===

Väited

* X11 põhiste rakenduste töötamiseks vajalik tarkvara (nö linux traditsiooni juhtumiks)
* X2go töötamise eelduseks

===Locale===

MacOS on väga utf-8 keskne süsteem, graafiliste rakenduste ja käsurea osakonnas

<pre>
imreoolberg@Imres-MacBook-Air ~ % env | grep LANG
LANG=en_US.UTF-8

imreoolberg@Imres-MacBook-Air ~ % locale
LANG="en_US.UTF-8"
LC_COLLATE="en_US.UTF-8"
LC_CTYPE="en_US.UTF-8"
LC_MESSAGES="en_US.UTF-8"
LC_MONETARY="en_US.UTF-8"
LC_NUMERIC="en_US.UTF-8"
LC_TIME="en_US.UTF-8"
LC_ALL=
</pre>

Juhtimiseks sobib kasutada faili ~/.zshrc

===Mälu haldus===

Käesolevat mälukasutust saab jälgida Activity Monitor utiliidi abil

[[Fail:20250918-macos-memory-01.png|900px]]

kus

* physical memory - arvuti riistvaralise mälu hulk
* memory used - mälu hulk mida operatsioonisüteem moel või teisel aktiivsemalt/vähem-aktiivsemalt/jne kasutab
* swap used - plokkseadmele/failisüsteemi salvestatud/puhverdatud mälu sisu

Memory Used koosneb neljast osast

* app memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis on välja swapitav, kokku pakitav jms paindlik
* wired memory - operatsioonisüsteemi, rakenduste koodi ja andmete jms kasutusel olev mälu mis ei ole välja swapitav, kokku pakitav jms paindlik
* cached files - apfs jt failisüsteemide cache, st mällu puhverdatud sisu (tõenäoliselt teeb lugemise oluliselt kiiremaks)
* kokku pakitud mälule vastav maht mis kulub pakitud sisu hoidmiseks (mis on pakitud kujul)

'Compressed' väärtus väljendab, milline kokkupakkimata maht õnnestus kokku pakkida.

Väited

* arvutis on 'available memory' maht 16.00 - 12.84 = 3.16 G mälu - st see on ressurss, mida saab süsteem kohe kasutada täiendavate vajaduste jaoks
* kokku pakitud kujul olevate andmete maht on 12.84 - 5.90 - 2.17 - 3.30 = 1.47
* kokku pakkkimise efektiivsus on 3.96/1.47 = 2.69 st peaaegu 3x
* kuigi süsteemis on vaba mälu, siis on süsteem otsustanud siiski 175.6 MB välja swappida, ju ta teab mis teeb, ja nii on olnud otstarbekas
* cached files maht on selline ressurss, mille saab süsteem kiiresti võtta uude kasutusse, st nt rakenduse koodi jaoks

Swap asub failisüsteemis kataloogis /private/var/vm.

===Yubico Authenticator===

====Tööpõhimõte====

Yubico tootja krüptoseadmed on hästi populaarsed ja korralikud, Eestis on ka nende kasutamine päris levinud

[[Fail:20260718-macos-yubico-01.png|700px]]

Füüsilise seadme haldamiseks on kasutada tarkvara 'Yubico Authenticator'

[[Fail:20260718-macos-yubico-02.png|600px]]

kus

* nime 'Authenticator' viitab justkui TOTP tüüpi rakendusele, tegelikult on see palju funktsionaalsem (FIDO2 saladuste haldamine, PIV saladuste haldamine jne)

====Paigaldamine====

Yubico Authenticator paigaldamine toimub nö tavalisel viisil Apple App Store abil, samuti edasine tarkvara uuendamine.

====Kasulikud lisamaterjalid====

* https://www.auul.pri.ee/wiki/Yubikey

===Yubikey===

TODO

Kui ssh kliendi kasutamisel tekib olukord

<pre>
... sign_and_send_pubkey: signing failed for ECDSA .. from agent: agent refused operation
</pre>

võib abistada

<pre>
% ssh-add -e /usr/local/lib/libykcs11.dylib
Card removed: /usr/local/lib/libykcs11.dylib

% ssh-add -s /usr/local/lib/libykcs11.dylib
Enter passphrase for PKCS#11:
Card added: /usr/local/lib/libykcs11.dylib

%
</pre>

===Apple riistvara-tarkvara ajalugu===

Küsimus chatgpt'le

'what operating system apple computers have used, please give timeline of cpu and operating system with mentioning whether is was single or two-mode privilege separation solution'

Vastus chatgpt'lt - eristatakse 6 ajastut

The Early Days (1976-1984)

* Computer: Apple I, Apple II series.
* CPU: MOS Technology 6502.
* Operating System: Apple DOS, ProDOS.
* Privilege Mode: Single-mode. The CPU and OS lacked a concept of privilege separation. All software, including the operating system, ran with full, unrestricted access to the hardware.

The Early Macintosh (1984-1987)

* Computer: Macintosh 128K, Macintosh Plus, Mac SE.
* CPU: Motorola 68000.
* Operating System: System Software (System 1.0 - 4.0).
* Privilege Mode: The CPU had a two-mode (Supervisor/User) architecture. However, the early Mac OS did not fully use it for memory protection. The OS was based on a cooperative multitasking model, and a buggy program could still crash the entire system.

The 32-bit Transition (1987-1994)

* Computer: Macintosh II series.
* CPU: Motorola 68020, 68030, 68040.
* Operating System: Mac OS (System 5.0 - 7.5).
* Privilege Mode: The CPUs were fully capable of two-mode operation. The OS began to use some of these features, but it was still not a truly protected-mode, preemptive multitasking system.

The PowerPC Era (1994-2006)

* Computer: Power Macintosh series.
* CPU: PowerPC 601, 603, G3, G4.
* Operating System: Mac OS 7.5 - Mac OS 9.
* Privilege Mode: The PowerPC was a modern two-mode RISC architecture with a robust privilege model. Despite the powerful hardware, the underlying Mac OS remained non-preemptive and lacked true memory protection between applications. This was a key reason why Apple chose to adopt a BSD-based foundation for its next-generation OS.

The Intel Era (2006-2020)

* Computer: MacBook, MacBook Pro, iMac, Mac Mini, Mac Pro (Intel models).
* CPU: Intel Core 2 Duo, Core i3/i5/i7/i9, Xeon (x86 architecture).
* Operating System: Mac OS X (versions 10.4 to 10.15), later renamed macOS (from 10.12 onward).
* Privilege Mode: Two-mode (Ring 0 for the kernel, Ring 3 for applications). This was a pivotal time for Apple, as their BSD-based Mac OS X was finally running on a CPU architecture with a robust, industry-standard privilege model. The operating system could now fully leverage preemptive multitasking and true memory protection, making the Mac far more stable and secure than in the previous eras.

The ARM Era (2020-Present)

* Computer: MacBook Air, MacBook Pro, iMac, Mac Mini (Apple Silicon models).
* CPU: Apple Silicon (M1, M2, M3, and so on), which are custom ARM-based processors.
* Operating System: macOS (starting with macOS 11 Big Sur).
* Privilege Mode: The ARM architecture uses a sophisticated multi-level privilege model. The OS runs in EL1 (Kernel Mode), while user applications run in EL0 (User Mode). The system also utilizes EL2 (Hypervisor Mode) for virtualization and security features. The transition to ARM allowed Apple to fully integrate hardware and software, creating a highly efficient platform where the CPU, GPU, and memory are on a single chip. The macOS operating system is built specifically to take advantage of this architecture and its robust privilege model.

===Apple Continuity===

Apple Continuity initsiatiiv võimaldab ühe appleid konto külge kinnitatud seadmete vahel teha koostööd, nt selliste seadmete ja tegevuste osas

* veebikaamera
* Universal Control - clipboard st kopi-paste üle seadmete (Synergy/Barrier/jms sarnane)
* rakenduste kasutamise jätkamine - nt brauser
* Contacts

Kasulikud lisamaterjalid

* https://www.apple.com/macos/continuity/

===Ansible===

export OBJC_DISABLE_INITIALIZE_FORK_SAFETY=YES

===vnc klient===

vnc kliendi kasutamise eelduseks on kuskil võrgus töötav ja ligipääsetav vnc server. MacOS operatsioonisüsteemiga tuleb kaasa vnc klient, kasutamiseks sobib käivitada programm Finder

Finder -> Go -> Go to server

ning sisestada lahtrisse nt

vnc://192.168.10.187:5901

===Mail - IMAP ja SMTP klient===

TODO

===DFU - Device Firmware Update===

====Mõisted====

* Revive - tegevuse tulemusena asendatakse arvuti tava-firmware ja restore partitsioon - macos operatsioonisüsteem ja kasutaja andmed säilivad
* Restore - tegevuse tulemusena asendatakse arvuti tava-firmware, restore partition jne sh macos operatsioonisüsteem - st kõik
* IPSW - iphone software - praktiliselt kõik moodsad seadmed, nt https://ipsw.me/

====Tööpõhimõte====

Väited

* DFU puudutab 'macos all oleva tava-firmware all olevat eri-firmware kihti
* erinevalt nö x86 riistvara lahendustest saab mac riistvara puhul kasutada kahte seadet komplektis - seadmed ühendatakse tavalise thunderbolt vms kaabliga ning seejärel üks seade võimaldab teist ravida kasutades Apple Configurator tarkvara
* Apple Configurator ei võimalda tegeleda selle sama arvuti riistvaraga millel ta töötab, ta võimaldab tegeleda selle arvuti riistvaraga, mis on ühendatud thunderbolt kaabliga

====Apple Configurator tarkvara kasutamine====

* Apple Configurator paigaldatakse tavalisel viisil AppStore platvormi abil

====Kasulikud lisamaterjalid====

* youtube kanal lapfix sisaldab saateid - https://www.youtube.com/@lapfix

===Windows remote desktop klient===

AppStore abil on kasutada tasuta tarkvara 'Windows App'.

[[Fail:20251119-macos-windows-app-01.jpg|700px]]

===WireGuard===

WireGuard vpn klienti saab paigaldada tavalisel viisil App Store keskkonna abil. Peale paigaldamist ja esmast käivitamist valides spotlight otsingus wireguard, tuleks ilmselt kirjaldada vpn ühendus wireguard nö serveriga ning pressides + nuppu

[[Fail:20251215-macos-wireguard-04.png|700px]]

ning

[[Fail:20251215-macos-wireguard-01.png|700px]]

Käivitatud st aktiivse vpn tunneli olek paistab selline

[[Fail:20251215-macos-wireguard-02.png|700px]]

ning üldises vpn ühenduste nimekirjas

[[Fail:20251215-macos-wireguard-03.png|700px]]

<pre>
Imres-MacBook-Air:~ root# ifconfig utun6
utun6: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1420
options=6460<TSO4,TSO6,CHANNEL_IO,PARTIAL_CSUM,ZEROINVERT_CSUM>
inet 10.168.112.68 --> 10.168.112.68 netmask 0xffffff00
</pre>

ning ruuting

<pre>
Imres-MacBook-Air:~ root# netstat -nr -f inet | grep utun6
default link#22 UCSIg utun6
10.168.10.177/32 link#22 UCS utun6
10.168.112/24 10.168.112.68 UGSc utun6
10.168.112.68 10.168.112.68 UH utun6
192.168.112 link#22 UCS utun6
224.0.0/4 link#22 UmCSI utun6
255.255.255.255/32 link#22 UCSI utun6
</pre>

Tundub, et mingitel hetkedel wireguard klient nö ei allu eriti, siis võib olla abiks protsessi lõpetamine teminali aknas ning käivitamine 'open -a ..' abil

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i wireg
imreoolberg 757 0.0 0.4 435612624 63120 ?? S Wed12PM 0:01.19 /Applications/WireGuard.app/Contents/MacOS/WireGuard
imreoolberg 30026 0.0 0.0 435300208 1344 s014 S+ 5:10AM 0:00.01 grep -i wireg

imreoolberg@Imres-MacBook-Air ~ % killall WireGuard

imreoolberg@Imres-MacBook-Air ~ % open -a WireGuard
</pre>

vpn kasutamisel tuleb arvestada, et kui MacOS tulemüür ei ole sisselülitatud ja ei takista, siis saab vpn serveri poolelt pöörduda ka macos arvuti poole.

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_OpenBSD_kasutamine#Wireguard
* https://www.auul.pri.ee/wiki/MikroTik_RouterOS#WireGuard

===Eesti ID kaardi kasutamine===

Eesti ID kaardi tarkvara paistab esindatud nn System Settings vasakus paneelis

[[Fail:20251216-macos-software-01.png|700px]]

Ning App Store peal

[[Fail:20251203-macos-app-store-updates-02.png|700px]]

ning

System Report -> Software -> Applications

juures

[[Fail:20251216-macos-software-02.png|700px]]

Lisaks Eesti ID kaardi tarkvara paistab nö .pkg osakonnas esindatud

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -v ^com.apple
..
eu.web-eid.web-eid-chrome
ee.ria.open-eid
ee.ria.qdigidoc4
eu.web-eid.web-eid
eu.web-eid.web-eid-safari
ee.ria.ID-updater
...
</pre>

kusjuures konkreetsed versioonid on sellest pkgutil vaatest

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.5.0.1954
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.7.0.660
volume: /
location: /
install-time: 1757342106

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.15.0
volume: /
location: /
install-time: 1757342106
</pre>

Kusjuures siit paistab vastuolu: pkgutil eistab nt paketi ee.ria.qdigidoc4 versiooniks 4.8.2 kuid muud 4.9.1. Kui küsida käsurealt teisiti versiooni

<pre>
Imres-MacBook-Air:~ root# defaults read /Applications/qdigidoc4.app/Contents/Info.plist CFBundleShortVersionString
4.9.1
</pre>

Ning programmi enda gui liides ütleb samuti versiooniks 4.9.1, lisaks tundub, et tegu on siiski sama tarkvara eksemplariga

<pre>
Imres-MacBook-Air:~ root# ps aux | grep qdigidoc4 | grep -v grep
imreoolberg 38841 0.0 0.4 436001936 63600 ?? S 4:19AM 0:01.45 /Applications/qdigidoc4.app/Contents/MacOS/qdigidoc4
</pre>

ning

[[Fail:20251216-macos-software-03.png|700px]]

====System Settings vasaku paneeli ID-updater kasutamine====

Peale System Settings vasaku paneeli ID-update kasutamist ja jaatavat vastamist vaikimisi valikutega

[[Fail:20251216-macos-eid-updater-01.png|700px]]

tessa

[[Fail:20251216-macos-eid-updater-02.png|700px]]

kossa

[[Fail:20251216-macos-eid-updater-03.png|700px]]

nessa

[[Fail:20251216-macos-eid-updater-04.png|700px]]

on tulemuseks

[[Fail:20251216-macos-eid-updater-05.png|700px]]

ning käsurealt küsides, st mõne komponendi versioon uuenes

* eu.web-eid.web-eid-chrome
* ee.ria.open-eid
* eu.web-eid.web-eid
* ee.ria.ID-updater

<pre>
Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-chrome
package-id: eu.web-eid.web-eid-chrome
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.open-eid
package-id: ee.ria.open-eid
version: 25.10.0.235
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.qdigidoc4
package-id: ee.ria.qdigidoc4
version: 4.8.2
volume: /
location: Applications
install-time: 1757339813

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid
package-id: eu.web-eid.web-eid
version: 2.8.0.710
volume: /
location: /
install-time: 1765858910

Imres-MacBook-Air:~ root# pkgutil --pkg-info eu.web-eid.web-eid-safari
package-id: eu.web-eid.web-eid-safari
version: 2.7.0
volume: /
location: Applications
install-time: 1757342162

Imres-MacBook-Air:~ root# pkgutil --pkg-info ee.ria.ID-updater
package-id: ee.ria.ID-updater
version: 3.18.0
volume: /
location: /
install-time: 1765858910
</pre>

20260630 kogemus

[[Fail:20260630-macos-eid-updater-01.png|900px]]

kus

* tundub, et macos lähenemisele natuke iseloomulikult erinevad kohad kirjutavad versiooni uuenduse kohta erinevat infot

===Mikrotik Winbox===

Paistab, et alates winbox v. 4 on toetatud MacOS

[[Fail:20260330-macos-mikrotik-install-01.png|800px]]

kus

* .dmg on Finder peal 'Open with' -> 'Diskmounter' abil avatud (monteeritud)
* paigaldamiseks tuleb nihutada .dmg sees paistev nö ressurss Applications alla kõrvale avatud Finder programmis (tavaliselt on .dmg avatud image nö ristkülikus kaks ikooni, rakendus ja Application ja tuleb nihutada selle akna sees
* Finder vasakus paneelis on Windbox disk image lahti monteeritud

kasutamine paistab välja nii

[[Fail:20260311-mikrotik-winbox-4-01.png|800px]]

Andmefailid asuvad

<pre>
imreoolberg@Imres-MacBook-Air ~ % find ~/Library/Application\ Support/MikroTik/WinBox -type f -ls
105559824 8 -rw-r--r-- 1 imreoolberg staff 1998 Jun 3 23:34 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.78.cfg.viw2
119606360 16 -rw-r--r-- 1 imreoolberg staff 5126 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/workspaces/__192.168.10.77.cfg.viw2
..

105555588 8 -rw-r--r-- 1 imreoolberg staff 502 Jun 3 23:29 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/Addresses.cdb
119606359 8 -rw-r--r-- 1 imreoolberg staff 383 Jun 29 09:39 /Users/imreoolberg/Library/Application Support/MikroTik/WinBox/settings.cfg.viw2
</pre>

====WindBox 4.1 -> 4.2 uuendamine====

Winbox uuendamine toimub üsna manuaalselt

[[Fail:20260709-mikrotik-01.png|900px]]

kus

* tootja jagab .dmg faili
* see fail tuleb eraldi liigutusena kopeerida tootja veebikohast
* antud juhtum on hea näide kuidas MacOS Application kataloogi alamkataloogis asendab vana versiooni uuega

Kusjuures paigaldamise ajal midagi ei küsitud st privileegide saamiseks, tundub, et põhjusel kuna kataloog oli juba olemas ja kuulus kasutajale

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld /Applications/*
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 29 2025 /Applications/balenaEtcher.app
drwxr-xr-x@ 3 imreoolberg staff 96 Jul 3 07:43 /Applications/BetterTouchTool.app
drwxr-xr-x 13 root staff 416 Jul 5 16:07 /Applications/DDPM
..
drwxr-xr-x@ 3 root wheel 96 Dec 3 2025 /Applications/web-eid-safari.app
drwxr-xr-x@ 3 root wheel 96 Jun 30 19:52 /Applications/WhatsApp.app
drwxr-xr-x@ 3 imreoolberg admin 96 Jul 8 10:25 /Applications/WinBox.app
drwxr-xr-x@ 3 root wheel 96 Jul 4 19:44 /Applications/Windows App.app
drwxr-xr-x@ 3 root wheel 96 Dec 9 2025 /Applications/WireGuard.app
...
</pre>

kus

* sõltuvalt paigalduse viisist on kataloogil omanikuks kasutaja või root
* nt tundub, et app store ja pkgutil puhul on omanikuks root
* niisama kasutajana nö visuaalselt liigutades rakenduse Applications osakonda esmakordsel paigaldusel küsitakse täiendavalt privileegide kohta, ja seejärel enam mitte (st uuendamisel)

===MacOS virtualiseerimine===

TODO

===QR Journal===

TODO

===etcher===

TODO

===Rosetta paigaldamine===

<pre>
$ softwareupdate --install-rosetta
</pre>

===Dell U2725QE monitor===

Kuigi kõik niisamagi töötab, monitori tootja veebikohas on üsna huvitavat tarkvara

[[Fail:20260705-dell-macos-01.png|900px]]

kus

* DDPM - Dell Display and Peripherial Manager
* Monitor Firmware Update Utility

====DDPM====

Mõisted

* DDPM - Dell Display and Peripherial Manager

Peale allkopeerimist paistab .pkg pakenduses tarkvara

[[Fail:20260705-dell-macos-02.png|1100px]]

kus

* TODO

Paigaldamine paistab

[[Fail:20260705-dell-macos-03.png|500px]]

ja kasutamine

[[Fail:20260705-dell-macos-04.png|700px]]

* paistab midagi sellist nagu monitori enda peal füüsiliselt

====Dell U2725QE Monitor Firmware Update Utility====

Väited

* monitori firmware uuendmaine toimub üle arvuti ja monitori vahelise thunderbolt kaabli

Paigaldamine paistab selline .pkg pakett

[[Fail:20260705-dell-macos-05.png|600px]]

Firmware uuendamine toimub üle thunderbolt kaabli

[[Fail:20260705-dell-macos-06.png|700px]]

kus

* oluline mitte lasta monitori screen saverisse, power save'i jms - nt 'caffeinate -di' abil
* firmware versioon muutab M2T101 -> M2T102

====Kahe monitori kasutamine====

Osutub võimalikuks ühe MacBook Air arvutiga ühendada kaks Dell monitori nö tunderbolt mõttes järjestikuliselt

[[Fail:20260718-macos-dell-01.png|800px]]

ning

[[Fail:20260718-macos-dell-02.png|800px]]

kus

* TODO

Tegu ei ole Dell monitor daisy-chain tehnoloogiaga, sest daisy-chain töötab display protocol kihis, antud juhul toimub kontakt thunderbolt kihis.

===character terminal seadme kasutamine===

character teminal seadme kasutamine paistab nii, väga analoogne ubuntu ja debian operatsioonisüsteemiga

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep -i iterm2
imreoolberg 1112 11.2 1.8 436586496 306448 ?? S 6:11PM 3:08.34 /Applications/iTerm.app/Contents/MacOS/iTerm2
</pre>

ning iterm protsessis on pseudo-terminal master multiplexer seadmed

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1112 -P -n | grep ptmx
iTerm2 1112 imreoolberg 5u CHR 15,0 0t23863949 609 /dev/ptmx
iTerm2 1112 imreoolberg 44u CHR 15,1 0t1199 609 /dev/ptmx
iTerm2 1112 imreoolberg 45u CHR 15,2 0t204098 609 /dev/ptmx
</pre>

zsh shelli avatud terminaliga seotud

<pre>
imreoolberg@Imres-MacBook-Air ~ % ps aux | grep zsh
imreoolberg 1398 0.0 0.0 435312416 2784 s003 S 6:17PM 0:00.01 -zsh
imreoolberg 1380 0.0 0.0 435313360 3472 s002 S 6:17PM 0:00.11 -zsh
imreoolberg 1376 0.0 0.0 435308624 2672 s001 S 6:17PM 0:00.01 -zsh
imreoolberg 1115 0.0 0.0 435313184 2896 s000 S+ 6:11PM 0:00.06 -zsh
imreoolberg 2434 0.0 0.0 435299552 1392 s002 S+ 7:16PM 0:00.00 grep zsh

imreoolberg@Imres-MacBook-Air ~ % lsof -p 1376 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
zsh 1376 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
zsh 1376 imreoolberg txt REG 1,15 1361216 1152921500312571448 /bin/zsh
zsh 1376 imreoolberg txt REG 1,15 81288 1152921500312585080 /usr/share/locale/en_US.UTF-8/LC_COLLATE
zsh 1376 imreoolberg txt REG 1,15 118896 1152921500312574306 /usr/lib/zsh/5.9/zsh/terminfo.so
zsh 1376 imreoolberg txt REG 1,15 593088 1152921500312574312 /usr/lib/zsh/5.9/zsh/zle.so
zsh 1376 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
zsh 1376 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 1u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
zsh 1376 imreoolberg 10u CHR 16,1 0t683 733 /dev/ttys001
</pre>

ssh kliendis on

<pre>
imreoolberg@Imres-MacBook-Air ~ % lsof -p 1437 -P -n
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
ssh 1437 imreoolberg cwd DIR 1,15 7744 267481 /Users/imreoolberg
ssh 1437 imreoolberg txt REG 1,15 1555472 1152921500312572845 /usr/bin/ssh
ssh 1437 imreoolberg txt REG 1,15 72984 121429580 /Library/Preferences/Logging/.plist-cache.a1S8PMuK
ssh 1437 imreoolberg txt REG 1,15 2374000 1152921500312573276 /usr/lib/dyld
ssh 1437 imreoolberg 0u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 1u CHR 3,2 0t0 340 /dev/null
ssh 1437 imreoolberg 2u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 3u IPv4 0x79fda12a4e8825b1 0t0 TCP 192.168.134.76:49197->192.168.10.166:22 (ESTABLISHED)
ssh 1437 imreoolberg 4u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 5u CHR 16,1 0t513 733 /dev/ttys001
ssh 1437 imreoolberg 6u CHR 16,1 0t513 733 /dev/ttys001
</pre>

kus

* ilusti on paista järgnevus iterm2 -> zsh -> ssh

Selline pilt võiks

[[Fail:20260706-macos-char-01.png|800px]]

kus

* ptmx - pseudo-terminal master multiplexer
* ttys - teletypewriter slave
* console - füüsiline laptop graafilisse osakonda sisselogimise kohalolek
* Sun18 - kuna klassikaliselt on see tulp olnud max pikkusega 6 sümbolit, sellest selline notatsioon - kell 18, pühapäev

Kasulikud lisamaterjalid

* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteemi_Debian_GNU/Linux_kasutamine#Seadmed_2

===Zabbix agent===

<pre>
imreoolberg@Imres-MacBook-Air ~ % sudo -i
Password:
Imres-MacBook-Air:~ root# file /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg: xar archive compressed TOC: 5108, SHA-1 checksum
</pre>

Misc

<pre>
imreoolberg@Imres-MacBook-Air ~ % installer -volinfo -pkg Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg
/Volumes/PRO-G40
/Volumes/volume-tm-backup-01
/
</pre>

Paigaldamine

<pre>
Imres-MacBook-Air:~ root# installer -pkg /Users/imreoolberg/Downloads/zabbix_agent-7.0.27-macos-arm64-openssl.pkg -target /
installer: Package name is Zabbix Agent
installer: Installing at base path /
installer: The install was successful.
</pre>

Tulemusena tekib süsteemi

<pre>
Imres-MacBook-Air:~ root# pkgutil --packages | grep -i zabbix
com.zabbix.pkg.ZabbixAgent

Imres-MacBook-Air:~ root# pkgutil --files com.zabbix.pkg.ZabbixAgent
Library
Library/LaunchDaemons
Library/LaunchDaemons/com.zabbix.zabbix_agentd.plist
usr
usr/local
usr/local/bin
usr/local/bin/zabbix_get
usr/local/bin/zabbix_sender
usr/local/etc
usr/local/etc/zabbix
usr/local/etc/zabbix/zabbix_agentd
usr/local/etc/zabbix/zabbix_agentd/userparameter_examples.conf.NEW
usr/local/etc/zabbix/zabbix_agentd/userparameter_mysql.conf.NEW
usr/local/etc/zabbix/zabbix_agentd.conf.NEW
usr/local/sbin
usr/local/sbin/zabbix_agentd
</pre>

Seadistused

<pre>
Imres-MacBook-Air:~ root# egrep -v "^$|^#" /usr/local/etc/zabbix/zabbix_agentd.conf
LogFile=/var/log/zabbix/zabbix_agentd.log
Server=192.168.10.196
Hostname=macos-air.auul.pri.ee
</pre>

Tulemusena paistab vaikimisi Zabbix kaasa tuleva template abil selline pilt

[[Fail:20260706-macos-zabbix-01.png|1100px]]

kus

* võrreldes nt vaikimisi top utiliidi väljundiga, mis esitab muu hulgas andmeid cpu interruptide kohta, on zabbix esitus üsna tagasihoidlik

[[Fail:20260706-macos-zabbix-02.png|1400px]]

===Rancher desktop===

TODO

===scutil===

Osutub, et arvuti dhcp serveriga kohtumisele omandab lisaks ip aadressile jms võrguseadistusele ka uue hostname'i väärtuse, st mida vastab 'hostname' käsk kui kinnitatud uus dünaamiline ip address omab revers teisendust nimesüsteemis

<pre>
imreoolberg@orcl2-vip ~ % scutil --get LocalHostName
Imres-MacBook-Air
imreoolberg@orcl2-vip ~ % scutil --get ComputerName
Imre’s MacBook Air
imreoolberg@orcl2-vip ~ % scutil --get HostName
HostName: not set
</pre>

pinnimiseks sobib öelda

<pre>
orcl2-vip:~ root# scutil --set HostName "Imres-MacBook-Air"
</pre>

===Trash===

<pre>
imreoolberg@Imres-MacBook-Air ~ % du -sh .Trash
18G .Trash
</pre>

graafiliselt

kus

* TODO

===Kasulikud lisamaterjalid===

* https://github.com/luchina-gabriel/OSX-PROXMOX
* https://www.apple.com/mac/compare/

Ollama - MacOS

2026-07-28T22:21:10Z

Imre: /* Paigaldamine ja käivitamine */

===Sissejuhatus===

TODO

===Tööpõhimõte===

Tingimata ei ole see vajalik, aga kui pressida Sign In ollama veebikohas https://ollama.com/ ja nt Google kontoga sisse logida, paistab selline pilt

[[Fail:20260728-ollama-02.png|900px]]

kus

* TODO

===Paigaldamine ja käivitamine===

Ollama tarkvara saab kopeerida aadressilt https://ollama.com/download/mac

[[Fail:20260728-ollama-01.png|900px]]

kus

* TODO

<pre>
imreoolberg@Imres-MacBook-Air ~ % ollama pull mistral:7b
pulling manifest
pulling f5074b1221da: ... 100%
verifying sha256 digest
writing manifest
success
imreoolberg@Imres-MacBook-Air ~ %
</pre>

Kasutamiseks käsurealt, nt

<pre>
imreoolberg@Imres-MacBook-Air ~ % ollama run mistral:7b
>>> please list from smaller to bigger 4 first amicable numbers
Amicable numbers are pairs of integers (u, v) such that the sum of the proper divisors of u is equal to v, and the sum of the proper divisors of v is equal to u. The first four
amicable numbers are:

1. (220, 284)
2. (1184, 1210)
3. (2620, 2924)
4. (5020, 5564)

These numbers are sorted from smallest to largest: (220, 284), (1184, 1210), (2620, 2924), and (5020, 5564).

>>> Send a message (/? for help)
</pre>

Võrgu seadistamine

<pre>
imreoolberg@Imres-MacBook-Air ~ % launchctl setenv OLLAMA_HOST "192.168.64.1:11434"

imreoolberg@Imres-MacBook-Air ~ % launchctl getenv OLLAMA_HOST
192.168.64.1:11434
</pre>

===Mudelid===

====Pilvepõhised====

<pre>
imreoolberg@Imres-MacBook-Air ~ % ollama show gemma4:cloud
Model
architecture gemma4
parameters 32682372656
context length 262144
embedding length 5376
quantization BF16

Capabilities
completion
thinking
tools
vision
</pre>

===Kasutamine===

TODO

<pre>
TODO
</pre>

===Kasulikud lisamaterjalid===

* https://enos.itcollege.ee/~edmund/it-didaktika/2025-08-15-IT-6petajad-suvekool/vabavara-TI-ajastul.pdf

Rancher Desktop - MacOS

2026-07-28T20:57:30Z

Imre: /* Misc */

===Sissejuhatus===

TODO

* https://rancherdesktop.io/
* https://docs.rancherdesktop.io/getting-started/installation/
* https://github.com/rancher-sandbox/rancher-desktop

===Tööpõhimõte===

Väited

* MacOS XNU kernel ise ei oma selliseid nö isolatsiooni võimeid, mida eeldab nn OCI (open container initiative) moodi workload käitamine
* MacOS XNU kerneli võimestamiseks kasutatakse automaatselt docker workload käitamisel nö vahel virtuaalset arvutit ja linux kernelit
* virtuaalset arvutit ja linux kernelit kasutatakse nö loogiliseks teisendamiseks, operatsioonisüsteem linux -> macos, mitte riistvara platvorm x86 -> arm64
* virtuaalse arvuti käivitamisel on võimalus valida qemu ja 'Apple Virtualization framework' vahel

Seda nähtust illustreerib

<pre>
imre@imre-mac ~ % docker run --rm ubuntu uname -a
Linux f727300fb889 6.18.36-0-virt #1-Alpine SMP PREEMPT_DYNAMIC 2026-06-20 16:50:52 aarch64 GNU/Linux

imre@imre-mac ~ % docker run --rm debian uname -a
Linux 779bb27224d4 6.18.36-0-virt #1-Alpine SMP PREEMPT_DYNAMIC 2026-06-20 16:50:52 aarch64 GNU/Linux

imre@imre-mac ~ % docker run --rm fedora uname -a
Linux dae1ddad3271 6.18.36-0-virt #1-Alpine SMP PREEMPT_DYNAMIC 2026-06-20 16:50:52 aarch64 GNU/Linux
</pre>

kus

* kõik erinevad linux distributsioonid raporteerivad sama Alpine nimelise kompileerimiskorra arm linux kerneli kasutamist

Joonis (claude.ai tehtud)

[[Fail:20260721-rancher-desktop-macos-01.png|900px]]

kus

* Rancher desktop kasutamisel käivitatakse taustal üks Apple Virtualization.framework virtuaalne arvuti
* virtuaalse arvuti sees töötab operatsioonisüsteem Alpine
* virtuaalse arvuti sees töötavad docker konteinerid
* võrgu töötamine on natuke sarnane pssta/pasta lahendusele, st macos host peal töötab limectl protsess ja selle kaudu toimub virtuaalselt arvutist välja pöördumine
* eemalt sisse pöördumine toimub sõna otses mõttes viisil, et ssh abil pöördutakse macos hostist virtuaalsesse arvutisse (limectl protsessi kaudu), tehakse port forward
* võimalik on forwardida tcp protokolli põhist liiklust konteineritele (seda ssh forward seadistamist hallatakse automaatselt kui teha nö tavaline 'docker expose'

===Paigaldamine ja käivitamine===

Tarkvara saab kopeerida nt github keskkonnast

[[Fail:20260720-rancher-desktop-macos-01.png|800px]]

kus

* sobiv on valida arm arhitektuur

Tavalisel viisil monteerida .dmg

[[Fail:20260720-rancher-desktop-macos-02.png|700px]]

kus

* paigaldamiseks nihutada hiirega rakendus tavalisel viisil -> Applications osakonda

[[Fail:20260717-rancher-desktop-01.png|400px]]

kus

* antud juhul keskendutakse docker workloadile, st Kubernetes valiku võiks välja lülitada

[[Fail:20260717-rancher-desktop-02.png|800px]]

Kokkuvõttes on töötava rancher desktop puhul näha ta

[[Fail:20260722-rancher-desktop-macos-02.png|400px]]

Failisüsteemis asub

<pre>
/Users/imreoolberg/Library/Application Support/rancher-desktop
/Users/imreoolberg/Library/Preferences/rancher-desktop
/Users/imreoolberg/Library/Logs/rancher-desktop
</pre>

Rancher desktop enda protsessideks on nt

<pre>
imreoolberg@Imres-MacBook-Air dc % ps aux | grep -i Rancher
..
imreoolberg 36680 0.0 0.6 1949692784 97648 ?? S 10:50PM 2:00.60 /Applications/Rancher Desktop.app/Contents/MacOS/Rancher Desktop
</pre>

ning konkreetsele virtuaalsele arvutile (millel töötab linux, mille sees on docker)

<pre>
imreoolberg@Imres-MacBook-Air dc % ps aux | grep -i virtualizat
imreoolberg 36900 1.6 1.6 439638656 266272 ?? Ss 10:50PM 32:55.69 /System/Library/Frameworks/Virtualization.framework/Versions/A/XPCServices/com.apple.Virtualization.VirtualMachine.xpc/Contents/MacOS/com.apple.Virtualization.VirtualMachine
...
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air dc % lsof -p 36900 -P -n | grep rancher-desktop
com.apple 36900 imreoolberg txt REG 1,13 131072 124449068 /Users/imreoolberg/Library/Application Support/rancher-desktop/lima/0/vz-efi
com.apple 36900 imreoolberg 3w REG 1,13 7423 124449069 /Users/imreoolberg/Library/Application Support/rancher-desktop/lima/0/serialv.log
com.apple 36900 imreoolberg 4u REG 1,13 107374182400 124448998 /Users/imreoolberg/Library/Application Support/rancher-desktop/lima/0/disk
com.apple 36900 imreoolberg 5r REG 1,13 301281280 124448997 /Users/imreoolberg/Library/Application Support/rancher-desktop/lima/0/iso
com.apple 36900 imreoolberg 6r REG 1,13 19736576 124607540 /Users/imreoolberg/Library/Application Support/rancher-desktop/lima/0/cidata.iso
...
</pre>

kus

* muu hulgas on paista virtuaalse arvutiga seotud plokkseadmetele vastavad failid macos failisüsteemis

===Kasutamine - docker===

Paigaldamise tulemusena on kasutada sellised utiliidid

<pre>
imreoolberg@Imres-MacBook-Air ~ % ls -ld .rd/bin/docker*
lrwxr-xr-x@ 1 imreoolberg staff 80 Jul 20 16:56 .rd/bin/docker -> /Applications/Rancher Desktop.app/Contents/Resources/resources/darwin/bin/docker
lrwxr-xr-x@ 1 imreoolberg staff 102 Jul 20 16:56 .rd/bin/docker-buildx -> /Applications/Rancher Desktop.app/Contents/Resources/resources/darwin/docker-cli-plugins/docker-buildx
lrwxr-xr-x@ 1 imreoolberg staff 103 Jul 20 16:56 .rd/bin/docker-compose -> /Applications/Rancher Desktop.app/Contents/Resources/resources/darwin/docker-cli-plugins/docker-compose
lrwxr-xr-x@ 1 imreoolberg staff 101 Jul 20 16:56 .rd/bin/docker-credential-ecr-login -> /Applications/Rancher Desktop.app/Contents/Resources/resources/darwin/bin/docker-credential-ecr-login
lrwxr-xr-x@ 1 imreoolberg staff 96 Jul 20 16:56 .rd/bin/docker-credential-none -> /Applications/Rancher Desktop.app/Contents/Resources/resources/darwin/bin/docker-credential-none
lrwxr-xr-x@ 1 imreoolberg staff 103 Jul 20 16:56 .rd/bin/docker-credential-osxkeychain -> /Applications/Rancher Desktop.app/Contents/Resources/resources/darwin/bin/docker-credential-osxkeychain
</pre>

kus

* utiliidid on nii kavalasti realiseeritud, et macos peal käivitades nad tegelikult opereerivad virtuaalse arvuti sees

docker jt utiliidid peavad olema path peal, vaikimisi nad sinna pannakse, kasutamiseks tuleb avada uus nt iterm2 aken

<pre>
imreoolberg@Imres-MacBook-Air ~ % cat .zshrc
### MANAGED BY RANCHER DESKTOP START (DO NOT EDIT)
export PATH="/Users/imreoolberg/.rd/bin:$PATH"
### MANAGED BY RANCHER DESKTOP END (DO NOT EDIT)
</pre>

macos peal hostis

<pre>
imreoolberg@Imres-MacBook-Air ~ % docker run -ti --rm --name ubuntu-imre-01 ubuntu bash
imreoolberg@Imres-MacBook-Air ~ % docker run -ti --rm --name ubuntu-imre-02 ubuntu bash
imreoolberg@Imres-MacBook-Air ~ % docker run -ti --rm --name ubuntu-imre-03 ubuntu bash

# lsof -nP -iTCP -sTCP:LISTEN
</pre>

ning linux vm docker pidamise arvutisse sisenemiseks sobib öelda

<pre>
imre@imre-mac ~ % rdctl shell
lima-rancher-desktop:/Users/imre$
</pre>

ning seal sees toimetamiseks nt

<pre>
lima-rancher-desktop:/Users/imre$ sudo -i

lima-rancher-desktop:~# docker version
Client:
Version: 29.5.2
API version: 1.54
Go version: go1.25.10
Git commit: 79eb04c7d8e1d73247cb7fe011eecc645063e0f0
Built: Sun May 31 13:53:18 2026
OS/Arch: linux/arm64
Context: default
...

lima-rancher-desktop:~# docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
1be37b403d0d ubuntu "bash" 26 minutes ago Up 26 minutes ubuntu-imre-03
1662f4905b26 ubuntu "bash" 26 minutes ago Up 26 minutes ubuntu-imre-02
b6dbbc4dae3a ubuntu "bash" 27 minutes ago Up 27 minutes ubuntu-imre-01

lima-rancher-desktop:~# cat /etc/os-release
NAME="Alpine Linux"
ID=alpine
VERSION_ID=3.23.5
PRETTY_NAME="Alpine Linux v3.23"
HOME_URL="https://alpinelinux.org/"
BUG_REPORT_URL="https://gitlab.alpinelinux.org/alpine/aports/-/issues"
BUILD_ID="v0.2.47.rd8"
VARIANT_ID="rd"

lima-rancher-desktop:~# brctl show
bridge name bridge id STP enabled interfaces
docker0 8000.d61e94e66512 no veth9d3c213
veth627ad00
vethbc5522e

lima-rancher-desktop:~# ip route
default via 192.168.5.2 dev eth0 metric 202
default via 192.168.65.1 dev vznat metric 203
172.17.0.0/16 dev docker0 proto kernel scope link src 172.17.0.1
192.168.5.0/24 dev eth0 proto kernel scope link src 192.168.5.15
192.168.65.0/24 dev vznat proto kernel scope link src 192.168.65.2
</pre>

===Claude Code kasutamine konteineris===

Väited

* Claude Code kasutamine nö käsurea rakendusena annab otsekohesema positsiooni nt claude abil arvutitega tegelemiseks üle võrgu
* Claude Code kasutamine konteinerist tekitab selgema piiri töökohaarvuti ja claude tegevuste vahel (nt on väga selgesti kontrollitud mis osadele saab töökohaarvuti failisüsteemile juurde
* antud juhul on tegu klient-rakendus tüüpi konteineriga (mitte server-rakendus tüüpi konteineriga nagu tavaliselt, st konteiner pakub mingi teenust mille poole pöördutakse)

====Ettevalmistused operatsioonisüsteemis====

Ettevalmistused MacOS keskkonnas, tühjad kataloogid

<pre>
imre@imre-mac ~ % mkdir -p /Users/imreoolberg/cc/dc
imre@imre-mac ~ % mkdir -p /Users/imreoolberg/cc/volume/workspace
imre@imre-mac ~ % mkdir -p /Users/imreoolberg/cc/volume/home/node
</pre>

====Tõmmise moodustamine====

Osutub, et ei ole nö usaldusväärset valmis claude-code docker tõmmist, st tuleb Dockerfile abiga ise tekitada

<pre>
imreoolberg@Imres-MacBook-Air dc % cat Dockerfile
FROM node:24-trixie

RUN apt-get update && \
DEBIAN_FRONTEND=noninteractive apt-get install -y --no-install-recommends \
less \
git \
procps \
sudo \
fzf \
zsh \
man-db \
unzip \
gnupg2 \
gh \
iptables \
ipset \
iproute2 \
dnsutils \
aggregate \
jq \
nano \
vim \
openssh-client \
ripgrep \
bash \
fd-find \
bat \
tmux \
tree \
htop \
iputils-ping \
traceroute \
net-tools \
lsof \
python3-pip \
python3-venv \
zip \
rsync \
&& apt-get clean && rm -rf /var/lib/apt/lists/*

RUN npm install -g @anthropic-ai/claude-code
WORKDIR /workspace
ENTRYPOINT ["claude"]
</pre>

kus

* alusena kasutatakse ausat node v 24 ja debian v 13 tõmmist (node v 24 on lts kestab kuni 2028)
* paigaldatakse lisa tarkvara, mida on niisama vajadusel hea kasutada või claude protsessil on vaja (nt openssh-client, et logida üle võrgu sisse teisse arvutisse)
* npm abil claude-code kasutamine tegelikult on pigem paketihalduse kui sisuline javascript runtime kasutamine; claude-code on juba kompileeritud-assembleeritud-lingitud jne
* kirjeldatakse entry point väärtuseks claude rakendus ise (node image enda puhul on selleks programm node)

tõmmise moodustamiseks

<pre>
imreoolberg@Imres-MacBook-Air dc % docker build -t claude-code .
</pre>

Tulemusena

<pre>
imreoolberg@Imres-MacBook-Air dc % docker image ls

IMAGE ID DISK USAGE CONTENT SIZE EXTRA
claude-code:latest 0b7fb18a11e4 1.27GB 344MB
...
</pre>

Selline tarkvara koosseis on turvaline kuna kasutusel olev dockerhost kernel on uuemast ajast kui userspace'ile vastav kernel

* linux kernel ja userspace sobivuse lubadus on, et uuem kernel on tagasiühilduv (Linus Torvalds fraas 'never break userspace' - nt mõtlemisega, et uuema kerneliga arvestavas userspace'is võivad olla kasutuses olematud syscallid kui kasutada vastu vanemat kernelit)
* debian v. 13 enda naturaalne kernel on v. 6.12
* dockerhost kernel on v. 6.18

<pre>
imreoolberg@Imres-MacBook-Air dc % rdctl shell uname -a
Linux lima-rancher-desktop 6.18.36-0-virt #1-Alpine SMP PREEMPT_DYNAMIC 2026-06-20 16:50:52 aarch64 Linux
</pre>

====Käivitamine====

Käsurealt käivitamiseks (ajutiseks katseks)

<pre>
imreoolberg@Imres-MacBook-Air 20260721 % docker run -it -v $(pwd):/workspace claude-code
</pre>

docker compose abil käivitamiseks

<pre>
imreoolberg@Imres-MacBook-Air dc % cat docker-compose.yml
name: p_claude-code
services:
svc_claude-code:
image: claude-code
container_name: cn_claude-code
init: true
volumes:
- /Users/imreoolberg/cc/volume/workspace:/workspace
- /Users/imreoolberg/cc/volume/root:/root

working_dir: /workspace
stdin_open: true
tty: true

networks:
- nw_claude-code

networks:
nw_claude-code:
name: nw_claude-code
driver: bridge
</pre>

kus

* init: true - oluline kuna konteineri tõmmis ise ei sisalda init-kvaliteediga protsessi (init kvaliteet on vajalik nö descendant protsesside eemaldamiseks vajadusel, nn zombie tõrjeks)
* protsessid võiksid töötada non-root kasutajana konteineri sees, st seda praegu ei ole
* stdin_open ja tty on iseloomulikud nn kliend-rakendus konteinerile

ning käivitamine

<pre>
imreoolberg@Imres-MacBook-Air dc % pwd
/Users/imreoolberg/cc/dc

imreoolberg@Imres-MacBook-Air dc % docker compose run --name cn_claude-code --rm svc_claude-code
</pre>

kus

* docker compose'i ei käivitata nö backgroundis (kunagi ei öelda nö tavalist 'docker compose up -d')
* käivitatakse viidates docker compose faili service elemendile

Tulemusena paistab selline pilt

[[Fail:20260722-rancher-desktop-macos-01.png|900px]]

kus

* ja esitab vastuse mõõdukalt vabas vormis, aga sisuliselt väga korrektse

Vaatlemine

<pre>
imreoolberg@Imres-MacBook-Air dc % docker compose ls
NAME STATUS CONFIG FILES
p_claude-code running(1) /Users/imreoolberg/cc/dc/docker-compose.yml

imreoolberg@Imres-MacBook-Air dc % docker ps
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
7731d1366371 claude-code "claude" 14 minutes ago Up 14 minutes cn_claude_code
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air dc % docker compose exec svc_claude-code bash
root@7731d1366371:/workspace# ps -ef
UID PID PPID C STIME TTY TIME CMD
root 1 0 0 09:40 pts/0 00:00:00 /sbin/docker-init -- claude
root 7 1 2 09:40 pts/0 00:00:15 claude
root 109 7 0 09:51 ? 00:00:00 /usr/bin/zsh -c source /root/.claude/shell-snapshots/snapshot-zsh-1784713826690-ovcwwb.sh 2>/dev/null || true && setopt NO_EXTENDED_GLOB NO_BARE_GLOB_QUAL 2>/dev/null || true && eval 'ssh -o Batch
root 111 109 0 09:51 ? 00:00:00 ssh -o BatchMode=yes -o ConnectTimeout=10 root@192.168.10.52 ping -c 20 8.8.8.8
root 114 0 0 09:52 pts/2 00:00:00 bash
root 121 114 0 09:52 pts/2 00:00:00 ps -ef
</pre>

kus

* parasjagu paluti arvutist .52 pingida 8.8.8.8
* on näha, et docker enda init on pid 1
* initist tuleb claude protsess
* claude protsessist tulevad shellid
* shellist ssh abil sisselogimine teisse arvutisse

Moniteeritud bind failisüsteemid

<pre>
node@99e63ae3a184:/workspace$ findmnt -t virtiofs
TARGET SOURCE FSTYPE OPTIONS
/workspace lima-f07754c14865dffc[/cc/volume/workspace] virtiofs rw,relatime
/home/node lima-f07754c14865dffc[/cc/volume/home/node] virtiofs rw,relatime
</pre>

====Kasutamine====

TODO

Kasutamisega on seotud sellised asjaolud, tõenäoliselt on asjakohased ssh võtmed, mille abil saab teistesse arvutitesse sisse logida üle ssh

<pre>
imreoolberg@Imres-MacBook-Air cc % ls -ld volume/root/.ssh/*
-rw------- 1 imreoolberg staff 2602 Jul 22 01:09 volume/root/.ssh/id_rsa
-rw-r--r-- 1 imreoolberg staff 571 Jul 22 01:09 volume/root/.ssh/id_rsa.pub
-rw------- 1 imreoolberg staff 1120 Jul 22 01:23 volume/root/.ssh/known_hosts
-rw-r--r-- 1 imreoolberg staff 142 Jul 22 01:10 volume/root/.ssh/known_hosts.old
</pre>

Claude seadistused, eriti ligipääs oma isanda juurde internetti (credentials)

<pre>
imreoolberg@Imres-MacBook-Air cc % ls -ld volume/root/.claude volume/root/.claude.json
drwxr-xr-x 15 imreoolberg staff 480 Jul 22 13:00 volume/root/.claude
-rw------- 1 imreoolberg staff 37603 Jul 22 13:00 volume/root/.claude.json
</pre>

Töö lõpetamine

<pre>
Claude rakenduses
> quit
</pre>

Tulemusena eemaldatakse konteiner, aga alles jäävad nn bind-volume'id.

====non-root konteiner====

<pre>
imreoolberg@Imres-MacBook-Air dc % cat docker-compose.yml
name: p_claude-code
services:
svc_claude-code:
image: claude-code
container_name: cn_claude-code
init: true
user: node
volumes:
- /Users/imreoolberg/cc/volume/workspace:/workspace
- /Users/imreoolberg/cc/volume/home/node:/home/node
- /run/host-services/ssh-auth.sock:/ssh-agent

environment:
- SSH_AUTH_SOCK=/ssh-agent

working_dir: /workspace
stdin_open: true
tty: true

networks:
- nw_claude-code

networks:
nw_claude-code:
name: nw_claude-code
driver: bridge
</pre>

Tundub, et node tõmmis on ise selline mis ei luba eleveerida

<pre>
imreoolberg@Imres-MacBook-Air dc % rdctl shell
lima-rancher-desktop:/Users/imreoolberg/cc/dc$ sudo -i
lima-rancher-desktop:~# egrep "node|root" /var/lib/docker/rootfs/overlayfs/98fa407430c5fe80b3c3012dd471e95521e4ea94abc9797bd29aa99dd3a61c2d/etc/shadow
root:*:20647:0:99999:7:::
node:!:20648:0:99999:7:::
</pre>

====Misc====

Konteinerist edasipääsu kontrollimiseks

<pre>
imreoolberg@Imres-MacBook-Air dc % rdctl shell sh -c 'sudo iptables -I DOCKER-USER -d 8.8.8.8 -j DROP'
</pre>

ssh-agent forward ning taaskäivitada Rancher Desktop

<pre>
imreoolberg@Imres-MacBook-Air dc % cat ~/Library/Application\ Support/rancher-desktop/lima/_config/override.yaml
ssh:
forwardAgent: true
</pre>

ning

<pre>
imreoolberg@Imres-MacBook-Air dc % rdctl shell
lima-rancher-desktop:/Users/imreoolberg/cc/dc$ sudo -i
lima-rancher-desktop:~# apk add acl

lima-rancher-desktop:~# ls -ld /run/host-services/ssh-auth.sock
lrwxrwxrwx 1 imreoolberg root 63 Jul 23 16:57 /run/host-services/ssh-auth.sock -> /home/imreoolberg.guest/.ssh/agent/s.cQhHjK447O.sshd.9yxIs9MasI

lima-rancher-desktop:~# setfacl -m u:1000:rw /home/imreoolberg.guest/.ssh/agent/s.cQhHjK447O.sshd.9yxIs9MasI
</pre>

Kui on tekkinud hulka konteinereid ja korraga kustutada

<pre>
imre@imre-mac ~ % for i in `docker ps -a | awk {'print $1'} | grep -v CONT`; do echo "docker rm $i"; done
</pre>

ja korraga kustutada imaged

<pre>
imre@imre-mac ~ % for i in `docker images | awk {'print $2'} | grep -v ID | grep -v Info` ; do echo "docker rmi $i"; done
</pre>

node tarkvara konteineris

<pre>
imreoolberg@Imres-MacBook-Air dc % docker exec -ti cn_claude-code npm list -g
/usr/local/lib
+-- @anthropic-ai/claude-code@2.1.218
+-- corepack@0.35.0
`-- npm@11.16.0
</pre>

Selleks, et nö 'rdctl shell' virtuaalse arvuti käest ruum kätte saada macos host operatsioonisüsteemi failisüsteemis tuleb peale nt docker image kustutamist öelda

<pre>
lima-rancher-desktop:~# fstrim -av
/mnt/data: 9.3 GiB (9953943552 bytes) trimmed on /dev/vda1
</pre>

====Tarkvara uuendamine====

Uuendamiseks tuleks kusutada senine claude-code tõmmis ja moodustada uuesti.

====Kasulikud lisamaterjalid====

* vestlus Claude Chat osakonnas
* https://github.com/anthropics/claude-code/blob/main/.devcontainer/Dockerfile

===Claude Code kasutamine konteineris - litellm===

<pre>
name: p_claude-code-lllm
services:
svc_claude-code-lllm:
image: claude-code
container_name: cn_claude-code-lllm
init: true
user: node
volumes:
- /Users/imreoolberg/cc-lllm/volume/workspace:/workspace
- /Users/imreoolberg/cc-lllm/volume/home/node:/home/node
- /run/host-services/ssh-auth.sock:/ssh-agent

environment:
- SSH_AUTH_SOCK=/ssh-agent
- ANTHROPIC_BASE_URL=https://skm-litellm-01.auul.pri.ee
- ANTHROPIC_API_KEY=${LITELLM_API_KEY}
- ANTHROPIC_MODEL=claude-sonnet-4-6

working_dir: /workspace
stdin_open: true
tty: true

networks:
- nw_claude-code-lllm

networks:
nw_claude-code-lllm:
name: nw_claude-code-lllm
driver: bridge
</pre>

===Kasulikud lisamaterjalid===

* TODO

Ollama - MacOS

2026-07-28T20:33:12Z

Imre: /* Paigaldamine ja käivitamine */

===Sissejuhatus===

TODO

===Tööpõhimõte===

Tingimata ei ole see vajalik, aga kui pressida Sign In ollama veebikohas https://ollama.com/ ja nt Google kontoga sisse logida, paistab selline pilt

[[Fail:20260728-ollama-02.png|900px]]

kus

* TODO

===Paigaldamine ja käivitamine===

Ollama tarkvara saab kopeerida aadressilt https://ollama.com/download/mac

[[Fail:20260728-ollama-01.png|900px]]

kus

* TODO

<pre>
imreoolberg@Imres-MacBook-Air ~ % ollama pull mistral:7b
pulling manifest
pulling f5074b1221da: ... 100%
verifying sha256 digest
writing manifest
success
imreoolberg@Imres-MacBook-Air ~ %
</pre>

Kasutamiseks käsurealt, nt

<pre>
imreoolberg@Imres-MacBook-Air ~ % ollama run mistral:7b
>>> please list from smaller to bigger 4 first amicable numbers
Amicable numbers are pairs of integers (u, v) such that the sum of the proper divisors of u is equal to v, and the sum of the proper divisors of v is equal to u. The first four
amicable numbers are:

1. (220, 284)
2. (1184, 1210)
3. (2620, 2924)
4. (5020, 5564)

These numbers are sorted from smallest to largest: (220, 284), (1184, 1210), (2620, 2924), and (5020, 5564).

>>> Send a message (/? for help)
</pre>

===Mudelid===

====Pilvepõhised====

<pre>
imreoolberg@Imres-MacBook-Air ~ % ollama show gemma4:cloud
Model
architecture gemma4
parameters 32682372656
context length 262144
embedding length 5376
quantization BF16

Capabilities
completion
thinking
tools
vision
</pre>

===Kasutamine===

TODO

<pre>
TODO
</pre>

===Kasulikud lisamaterjalid===

* https://enos.itcollege.ee/~edmund/it-didaktika/2025-08-15-IT-6petajad-suvekool/vabavara-TI-ajastul.pdf

OpenCode - MacOS

2026-07-28T20:12:10Z

Imre: Uus lehekülg: '===Sissejuhatus=== TODO ===Kasulikud lisamaterjalid=== * TODO'

===Sissejuhatus===

TODO

===Kasulikud lisamaterjalid===

* TODO