Imre kasutab arvutit - Viimased muudatused [et]

PowerDNS webfrontend - Poweradmin

Imre — Wed, 05 Aug 2026 05:57:28 GMT

←Vanem redaktsioon		Redaktsioon: 5. august 2026, kell 08:57
1. rida:		1. rida:
	===Sissejuhatus===		===Sissejuhatus===
		+
		+	TODO
		+
		+	Osutub, et 2026 aasta kevadel on tekkinud Poweradmin lahendusele PowerDNS api kasutamise tugi. St enam ei ole tingimata vaja kasutada sama PowerDNS andmebaasi, https://github.com/poweradmin/poweradmin/releases/tag/v4.3.0
		+
		+	'v4.3.0 is the biggest release in the 4.x line so far. Native API-only deployments, a domainmetadata editor, log filtering and exports, hardened auth, and plenty more - see the full changelog for the complete list.'
		+
		+	===Tööpõhimõte===
		+
		+	TODO
		+
		+	===Paigaldamine===

	TODO		TODO

PowerDNS webfrontend - Poweradmin

Imre — Wed, 05 Aug 2026 05:54:57 GMT

Uus lehekülg: '===Sissejuhatus=== TODO ===Kasulikud lisamaterjalid=== * TODO'

Uus lehekülg

===Sissejuhatus===

TODO

===Kasulikud lisamaterjalid===

* TODO

PowerDNS webfrontend - PowerDNS-Admin

Imre — Wed, 05 Aug 2026 05:53:49 GMT

pdns podman lahendus

←Vanem redaktsioon		Redaktsioon: 5. august 2026, kell 08:53
(ei näidata sama kasutaja 3 vahepealset redaktsiooni)
1. rida:		1. rida:
		+	===Sissejuhatus===
−	===2024 aasta kevade tähelepanekud===

	Eesmärk		Eesmärk
10. rida:		10. rida:
	* andmeid hoitakse PostgreSQL andmebaasis		* andmeid hoitakse PostgreSQL andmebaasis

−	====Tööpõhimõte====	+	===Tööpõhimõte===

	Väited		Väited
25. rida:		25. rida:
	* krüptimise algoritmi vahetus		* krüptimise algoritmi vahetus

−	====Platvormi ettevalmistamine====	+	===Platvormi ettevalmistamine===

	Platvorm koosneb		Platvorm koosneb
80. rida:		80. rida:
	</pre>		</pre>

−	====PowerDNS paigaldamine====	+	===PowerDNS paigaldamine===

	PowerDNS ise ja tema tööks otseselt vajalikud komponendid (nt PostgreSQL andmebaas) töötavad nö tavalisel viisil operatsioonisüsteemi protsesside-teenustena st mitte-konteineritena.		PowerDNS ise ja tema tööks otseselt vajalikud komponendid (nt PostgreSQL andmebaas) töötavad nö tavalisel viisil operatsioonisüsteemi protsesside-teenustena st mitte-konteineritena.
150. rida:		150. rida:
	</pre>		</pre>

−	====PowerDNS seadistamine====	+	===PowerDNS seadistamine===

	Seadistamisel tegeldakse		Seadistamisel tegeldakse
158. rida:		158. rida:
	* DNSSEC vaike krüpto		* DNSSEC vaike krüpto

−	====PowerDNS-Admin paigaldamine - PDA - docker====	+	===PowerDNS-Admin paigaldamine - PDA - docker===

	PowerDNS-Admin tarvkara töötab docker konteinerina, aga kasutab host arvutist postgresql andmebaasi. Platvorm ettevalmistamine punktis on vajalik kasutaja ja create database tekitatud. PDA kasutamine eeldab, et PDNS juures on sisse lülitatud api liides (vaikimisi http liiklus üle port 8081).		PowerDNS-Admin tarvkara töötab docker konteinerina, aga kasutab host arvutist postgresql andmebaasi. Platvorm ettevalmistamine punktis on vajalik kasutaja ja create database tekitatud. PDA kasutamine eeldab, et PDNS juures on sisse lülitatud api liides (vaikimisi http liiklus üle port 8081).
204. rida:		204. rida:
	TODO		TODO

−	====PowerDNS-Admin paigaldamine - NginX operatsioonisüsteem====	+	===PowerDNS-Admin paigaldamine - NginX operatsioonisüsteem===

	NginX https:// frontend kasutamiseks sobib kasutada sellist seadistust		NginX https:// frontend kasutamiseks sobib kasutada sellist seadistust
249. rida:		249. rida:
	</pre>		</pre>

−	====PowerDNS-Admin paigaldamine - NginX docker====	+	===PowerDNS-Admin paigaldamine - NginX docker===

	<pre>		<pre>
315. rida:		315. rida:
	</pre>		</pre>

−	====Misc====	+	===Misc===

	Tulemusena saab pda webgui poole pöörduda aadressiga https://pdns.moraal.ee/.		Tulemusena saab pda webgui poole pöörduda aadressiga https://pdns.moraal.ee/.
372. rida:		372. rida:
	</pre>		</pre>

−	====PDA kasutamise privileegid====	+	===PDA kasutamise privileegid===

	Väited		Väited
394. rida:		394. rida:
	</pre>		</pre>

−	====PDA API liidese kasutamine====	+	===PDA API liidese kasutamine===

	Tsooni tekitamine		Tsooni tekitamine
558. rida:		558. rida:
	gpgsql-extra-connection-parameters=password=parool dbname=db_pdns port=5432 user=pdns host=192.168.1.147		gpgsql-extra-connection-parameters=password=parool dbname=db_pdns port=5432 user=pdns host=192.168.1.147
	</pre>		</pre>
		+
		+	===Kasulikud lisamaterjalid===
		+
		+	* [[:PowerDNS Authoritative Server nimeserveri kasutamine]]

PowerDNS Authoritative Server nimeserveri kasutamine

Imre — Wed, 05 Aug 2026 05:50:55 GMT

Kasulikud lisamaterjalid

Näita muudatusi

PowerDNS webfrontend - PowerDNS-Admin

Imre — Wed, 05 Aug 2026 05:50:27 GMT

Uus lehekülg: '===2024 aasta kevade tähelepanekud=== Eesmärk * ühe operatsioonisüteemi peal kompaktselt lahenduse pidamine - Debian v. 12 * dns server - PowerDNS * webgui haldusliides - PowerDNS-Admin (PDA) * dnssec võimekus * docker abil kasutatakse konteinerit (PDA) * andmeid hoitakse PostgreSQL andmebaasis ====Tööpõhimõte==== Väited * dnssec kasutab algoritmi nr 13 * NSEC3 kasutab '1 0 0 -' seadistust * sekundaarsete nimeserveritega suhtlemine toimub catalog-zones abil *...'

Uus lehekülg

===2024 aasta kevade tähelepanekud===

Eesmärk

* ühe operatsioonisüteemi peal kompaktselt lahenduse pidamine - Debian v. 12
* dns server - PowerDNS
* webgui haldusliides - PowerDNS-Admin (PDA)
* dnssec võimekus
* docker abil kasutatakse konteinerit (PDA)
* andmeid hoitakse PostgreSQL andmebaasis

====Tööpõhimõte====

Väited

* dnssec kasutab algoritmi nr 13
* NSEC3 kasutab '1 0 0 -' seadistust
* sekundaarsete nimeserveritega suhtlemine toimub catalog-zones abil
* kasutatakse KSK/ZSK ja CSK lähenemist võtmete pidamisel

Protseduuride võimekus

* NSEC, NSEC3 ja NSEC3 param väärtuste muutmine
* võtme vahetus
* krüptimise algoritmi vahetus

====Platvormi ettevalmistamine====

Platvorm koosneb

* Debian v. 12 operatsioonisüsteem
* Docker Community Edition
* PostgreSQL v. 12
* NginX

PostgreSQL

<pre>
root@pdns:/tmp# apt-get install postgresql-common
root@pdns:/tmp# mkdir /etc/postgresql-common/createcluster.d
root@pdns:/tmp# echo "initdb_options = '--data-checksums'" > /etc/postgresql-common/createcluster.d/moraal.conf
root@pdns:/tmp# echo "create_main_cluster = false" >> /etc/postgresql-common/createcluster.d/moraal.conf
root@pdns:/tmp# apt-get install postgresql-16
root@pdns:/tmp# pg_createcluster --locale en_US.UTF-8 16 pgcluster_pdns_prod

postgres=# \x
Expanded display is on.
postgres=# \l postgres
List of databases
-[ RECORD 1 ]-----+------------
Name | postgres
Owner | postgres
Encoding | UTF8
Locale Provider | libc
Collate | en_US.UTF-8
Ctype | en_US.UTF-8
ICU Locale |
ICU Rules |
Access privileges |
</pre>

PowerDNS kasutaja ja create database baasi tekitamiseks sobib öelda

<pre>
# su - postgres
$ psql
sql> create role pdns login;
sql> \password pdns
sql> create database db_pdns owner = pdns;
</pre>

PowerDNS-Admin kasutaja ja create database baasi tekitamiseks sobib öelda

<pre>
# su - postgres
$ psql
sql> create role pda login;
sql> \password pda
sql> create database db_pda owner = pda;
</pre>

====PowerDNS paigaldamine====

PowerDNS ise ja tema tööks otseselt vajalikud komponendid (nt PostgreSQL andmebaas) töötavad nö tavalisel viisil operatsioonisüsteemi protsesside-teenustena st mitte-konteineritena.

<pre>
# apt-get install pdns-server pdns-backend-pgsql pdns-tools
</pre>

Tulemusena käivitatakse pdns server ja tema bind backend.

TODO

PostgreSQL backend kasutamine

<pre>
# psql -h 127.0.0.1 -U pdns pdns < /usr/share/doc/pdns-backend-pgsql/schema.pgsql.sql
Password for user pdns:
CREATE TABLE
CREATE INDEX
CREATE INDEX
CREATE TABLE
CREATE INDEX
...
</pre>

Baasi ligipääs jms kirjeldatakse failis, https://doc.powerdns.com/authoritative/backends/generic-postgresql.html#

<pre>
root@pdns:~# egrep -v "^#|^$" /etc/powerdns/pdns.d/gpgsql.conf
launch+=gpgsql
gpgsql-dbname=db_pdns
gpgsql-dnssec=yes
gpgsql-host=127.0.0.1
gpgsql-password=parool
gpgsql-port=5432
gpgsql-user=pdns
</pre>

bind eemaldamiseks sobib kustutada fail

# rm /etc/powerdns/pdns.d/bind.conf

Tulemusena töötab pdns server, gpgsql backendiga

<pre>
2024-06-16T16:44:00.877817+03:00 pdns systemd[1]: Starting pdns.service - PowerDNS Authoritative Server...
2024-06-16T16:44:00.906026+03:00 pdns pdns_server[3916]: Loading '/usr/lib/x86_64-linux-gnu/pdns/libgpgsqlbackend.so'
2024-06-16T16:44:00.906356+03:00 pdns pdns_server[3916]: This is a standalone pdns
2024-06-16T16:44:00.906408+03:00 pdns pdns_server[3916]: Listening on controlsocket in '/run/pdns/pdns.controlsocket'
2024-06-16T16:44:00.906668+03:00 pdns pdns_server[3916]: UDP server bound to 0.0.0.0:53
2024-06-16T16:44:00.906684+03:00 pdns pdns_server[3916]: UDP server bound to [::]:53
2024-06-16T16:44:00.906735+03:00 pdns pdns_server[3916]: TCP server bound to 0.0.0.0:53
2024-06-16T16:44:00.906750+03:00 pdns pdns_server[3916]: TCP server bound to [::]:53
2024-06-16T16:44:00.906866+03:00 pdns pdns_server[3916]: PowerDNS Authoritative Server 4.9.1 (C) PowerDNS.COM BV
2024-06-16T16:44:00.906881+03:00 pdns pdns_server[3916]: Using 64-bits mode. Built using gcc 12.2.0 on May 28 2024 07:46:05 by root@localhost.
2024-06-16T16:44:00.906891+03:00 pdns pdns_server[3916]: PowerDNS comes with ABSOLUTELY NO WARRANTY. This is free software, and you are welcome to redistribute it according to the terms of the GPL version 2.
2024-06-16T16:44:00.915255+03:00 pdns pdns_server[3916]: Polled security status of version 4.9.1 at startup, no known issues reported: OK
2024-06-16T16:44:00.926644+03:00 pdns pdns_server[3916]: Creating backend connection for TCP
2024-06-16T16:44:00.935773+03:00 pdns pdns_server[3916]: About to create 3 backend threads for UDP
2024-06-16T16:44:00.935850+03:00 pdns systemd[1]: Started pdns.service - PowerDNS Authoritative Server.
2024-06-16T16:44:01.086206+03:00 pdns pdns_server[3916]: Done launching threads, ready to distribute questions
</pre>

ühtegi tsooni ei ole kirjeldatud

<pre>
root@pdns:/tmp# pdnsutil list-all-zones
root@pdns:/tmp#
</pre>

====PowerDNS seadistamine====

Seadistamisel tegeldakse

* api sisselülitamine (PDA jaoks)
* SOA kirje vaikeväärtused
* DNSSEC vaike krüpto

====PowerDNS-Admin paigaldamine - PDA - docker====

PowerDNS-Admin tarvkara töötab docker konteinerina, aga kasutab host arvutist postgresql andmebaasi. Platvorm ettevalmistamine punktis on vajalik kasutaja ja create database tekitatud. PDA kasutamine eeldab, et PDNS juures on sisse lülitatud api liides (vaikimisi http liiklus üle port 8081).

Docker compose fail

<pre>
root@pdns:~# cat docker-compose-pda.yml
services:
svc_pda:
image: powerdnsadmin/pda-legacy:v0.4.2

container_name: cn_pda
restart: always
logging:
driver: json-file
options:
max-size: 50m
ports:
- "9191:80"
environment:
- SECRET_KEY='saladus'
- SQLALCHEMY_DATABASE_URI=postgresql://pda:pdaparool@192.168.10.53/pda
- GUNICORN_TIMEOUT=60
- GUNICORN_WORKERS=2
- GUNICORN_LOGLEVEL=DEBUG
- OFFLINE_MODE=False
- CSRF_COOKIE_SECURE=False

networks:
- nw_pda

networks:
nw_pda:
name: nw_pda
driver: bridge
</pre>

Käivitamiseks

# docker compose -f docker-compose-pda.yml up -d

Tulemusena on aadressil http://192.168.10.53:9191/ PDA webgui sisselogimise ekraan. Pressida Create Account ja esimesena tekitatud kasutaja on admin privileegidega.

TODO

====PowerDNS-Admin paigaldamine - NginX operatsioonisüsteem====

NginX https:// frontend kasutamiseks sobib kasutada sellist seadistust

<pre>
root@pdns:/etc/nginx/sites-enabled# cat /etc/nginx/sites-enabled/pdns
server {
listen 80;
server_name pdns.moraal.ee;
root /var/www/html;

if ($request_uri !~ /.well-known) {
return 301 https://pdns.moraal.ee/;
}
}

server {
listen 443 ssl http2;
server_name pdns.moraal.ee;
ssl_certificate /etc/ssl/localcerts/pdns.moraal.ee.pem;
ssl_certificate_key /etc/ssl/localcerts/pdns.moraal.ee.key;
ssl_session_timeout 1d;
ssl_session_cache shared:MozSSL:10m;
ssl_session_tickets off;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305;

client_max_body_size 25m;

ssl_stapling off;
add_header Strict-Transport-Security "max-age=63072000" always;

access_log /var/log/nginx/access-pdns.moraal.ee-443.log;
root /var/www/html;

location / {
proxy_set_header Host $http_host;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Forwarded-Proto https;
proxy_pass http://192.168.10.53:9191;
}
}
</pre>

====PowerDNS-Admin paigaldamine - NginX docker====

<pre>
# cat /srv/pdns/volume/nginx/etc/nginx/nginx.conf
# nginx.conf

user nginx;
worker_processes auto;
error_log /dev/stderr;
pid /var/run/nginx.pid;

events {
worker_connections 1024;
}

http {
include mime.types;
default_type application/octet-stream;

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log /dev/stdout main;

sendfile on;
keepalive_timeout 65;

# Redirect HTTP to HTTPS
server {
listen 80;
server_name _;
return 301 https://$host$request_uri;
}

# HTTPS Configuration
server {
listen 443 ssl;
server_name _;
http2 on;
ssl_protocols TLSv1.3;
ssl_prefer_server_ciphers on;

ssl_certificate /etc/ssl/localcerts/ns-pdns-01.auul.pri.ee.crt;
ssl_certificate_key /etc/ssl/localcerts/ns-pdns-01.auul.pri.ee.key;

# Recommended security settings
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305;

# Logging
access_log /dev/stdout;
error_log /dev/stdout;

# Reverse proxy to the destination
location / {
proxy_pass http://svc_pdns:8081;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
}
</pre>

====Misc====

Tulemusena saab pda webgui poole pöörduda aadressiga https://pdns.moraal.ee/.

PDA kasutaja parooli muutmine postgresql baasis, nb rakendus kasutab tabeli nimena 'user', see on postgresql nö built-in objekt ja name clash ületamiseks tuleb pöörduda rakendusega seotud ressursi poole "user" abil, eriti koos skeemi prefiksiga

<pre>
# su - postgres
$ psql db_pda
pda=# select * from public."user";
-[ RECORD 1 ]------------------------------------------------------------
id | 1
username | admin
password | $2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FF
firstname | Imre
lastname | Oolberg
email | imre.oolberg@auul.pri.ee
otp_secret |
role_id | 1
confirmed | f
..

db_pda=# update public."user" set password='$2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FC' where username='admin';
UPDATE 1
</pre>

kusjuures password väärtus tekitatakse nt

<pre>
$ htpasswd -bnBC 15 "" pdaparool | tr -d ':\n'
$2y$15$NgdA4JSsKb1RyaiWBdKjcODfgxkwmhMB.95sa07PX/d9a9QxZ/4FC
</pre>

Kasutaja lisamine

<pre>
db_pda=# insert into "user" (username, password, firstname, lastname, email, role_id, confirmed) values ('admin', '$2b$12$4M9qXQaWn95GTregvSO2v.I/1QQT0/Ayqt3jZsMp06FIa5dMme6Gu', 'Administrator', 'Administrator', 'priit@moraal.ee', 1, 'f');
</pre>

pdns api kontakti lisamine

<pre>
db_pda=# insert into setting (name, value) values ('pdns_api_url', 'http://192.168.10.80:8081');
INSERT 0 1
db_pda=# insert into setting (name, value) values ('pdns_api_key', 'apiparool');
INSERT 0 1
db_pda=# insert into setting (name, value) values ('pdns_version', '4.9.11');
INSERT 0 1
db_pda=# select * from setting;
id | name | value
----+--------------+------------------------
7 | pdns_api_url | http://192.168.10.80:8081
8 | pdns_api_key | apiparool
9 | pdns_version | 4.9.11
(3 rows)
</pre>

====PDA kasutamise privileegid====

Väited

* Account - grupi taoline moodustis, praktiliselt võiks vastata domeeni omanik asutusele
* User - kasutaja taoline moodustis, vastab inimesele kes süsteemi kasutab
* User ja Account vaheliste seoste abil saab anda hulgale kasutajatele õiguse tegeleda hulga domeenidega

<pre>
root@rv-xxx-01:/opt/pda/dc# docker exec -ti e8 sh
/app $ ps aux
PID USER TIME COMMAND
1 pda 0:00 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG
7 pda 0:02 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG
8 pda 0:01 {gunicorn} /usr/bin/python3 /usr/bin/gunicorn powerdnsadmin:create_app() -t 60 --workers 2 --bind 0.0.0.0:80 --log-level DEBUG

[2025-10-31 13:06:25,927] [record.py:61] ERROR - Cannot fetch zone's record data from remote powerdns api. DETAIL: HTTPSConnectionPool(host='rvxxx-01.test.moraal.ee', port=443): Max retries exceeded with url: /api/v1/servers/localhost/zones/imretest-03.ee (Caused by SSLError(SSLCertVerificationError(1, '[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self-signed certificate in certificate chain (_ssl.c:1007)')))

volumes:
# - /opt/pda/volume/pda/etc/ssl/certs/ca-certificates.crt:/usr/lib/python3.10/site-packages/certifi/cacert.pem
</pre>

====PDA API liidese kasutamine====

Tsooni tekitamine

<pre>
$ curl -s -L -H 'Content-Type: application/json' -H 'Authorization: Basic xxx' -X POST https://pda.moraal.ee/api/v1/pdnsadmin/zones \
--data '{"name": "zone-moraal-imre-test-01.ee.", "kind": "MASTER", "nameservers": ["ans1.moraal.ee.", "ans2.moraal.ee."]}' | jq .
{
"account": "",
"api_rectify": false,
"catalog": "",
"dnssec": false,
"edited_serial": 2026010802,
"id": "zone-moraal-imre-test-01.ee.",
"kind": "Master",
"last_check": 0,
"master_tsig_key_ids": [],
"masters": [],
"name": "zone-moraal-imre-test-01.ee.",
"notified_serial": 0,
"nsec3narrow": false,
"nsec3param": "",
"rrsets": [
{
"comments": [],
"name": "zone-moraal-imre-test-01.ee.",
"records": [
{
"content": "ans1.moraal.ee. hostmaster.moraal.ee. 2026010801 86400 7200 2419200 10800",
"disabled": false
}
],
"ttl": 3600,
"type": "SOA"
},
{
"comments": [],
"name": "zone-moraal-imre-test-01.ee.",
"records": [
{
"content": "ans1.moraal.ee.",
"disabled": false
},
{
"content": "ans2.moraal.ee.",
"disabled": false
}
],
"ttl": 3600,
"type": "NS"
}
],
"serial": 2026010801,
"slave_tsig_key_ids": [],
"soa_edit": "",
"soa_edit_api": "DEFAULT",
"url": "/api/v1/servers/localhost/zones/zone-moraal-imre-test-01.ee."
}
</pre>

Kui pole ligipääsu saab sellise vastuse

<pre>
% curl -s -L -H 'Content-Type: application/json' -H 'X-API-KEY: xxx' -X GET "https://pda.moraal.ee/api/v1/servers/localhost/zones/zone-moraal-imre-test-01.ee" | jq .
{
"msg": "Zone access not allowed"
}
</pre>

===pdns docker lahendus===

<pre>
# egrep -v "^$|^#" /etc/powerdns/pdns.conf
allow-axfr-ips=127.0.0.1,192.168.10.0/24
allow-notify-from=
allow-unsigned-notify=yes
also-notify=
api=yes
api-key=saladus
default-api-rectify=yes
default-ksk-algorithm=ecdsa256
default-soa-content=ans1.auu.pri.ee hostmaster.auul.pri.ee 0 86400 7200 2419200 10800
default-soa-edit=INCEPTION-INCREMENT
default-soa-edit-signed=INCEPTION-INCREMENT
default-ttl=3600
disable-syslog=no
forward-notify=
include-dir=/etc/powerdns/pdns.d
launch=
local-address=172.30.0.15, 10.30.0.15
local-port=53
log-dns-details=yes
log-dns-queries=yes
log-timestamp=yes
loglevel=4
only-notify=
primary=yes
secondary=yes
webserver=yes
webserver-address=10.30.0.15
webserver-allow-from=0.0.0.0/0
webserver-loglevel=detailed
webserver-password=saladus
webserver-port=8081
</pre>

===pdns podman lahendus===

PDNS Quadlet Service kirjeldus

<pre>
kasutaja@ns-pdns-01:~$ cat .config/containers/systemd/pdns-01.container
[Unit]
Description=My PDNS Quadlet Service
DefaultDependencies=no
After=network.target

[Container]
Image=docker.io/powerdns/pdns-auth-49:latest
PublishPort=1053:8053/tcp
PublishPort=1053:8053/udp
ContainerName=pdns-01
Volume=%h/volume/pdns/etc/powerdns/pdns.conf:/etc/powerdns/pdns.conf:ro
Environment=PDNS_local_port=8053

[Install]
# This tells systemd to start it when you log in
WantedBy=default.target
</pre>

ning pdns.conf seadistusfail

<pre>
# cat /opt/pdns/volume/pdns/etc/powerdns/pdns.conf
local-address=0.0.0.0
launch=
# include-dir=/etc/powerdns/pdns.d
api=yes
api-key=parool
webserver=yes
webserver-address=0.0.0.0
webserver-allow-from=0.0.0.0/0

#master=yes

primary=yes
secondary=yes
allow-axfr-ips= 100.20.21.0/24,127.0.0.1/32,172.17.0.0/16
also-notify=192.168.1.150
only-notify=
forward-notify=
default-soa-content=ans1.auul.pri.ee hostmaster.auul.pri.ee 0 86400 7200 2419200 10800
default-soa-edit=INCEPTION-INCREMENT
default-soa-edit-signed=INCEPTION-INCREMENT
default-ttl=3600

default-ksk-algorithm=ecdsa256
default-api-rectify=yes
# default-nsec3-param=1 0 0 -

launch+=gpgsql
gpgsql-dnssec=yes
gpgsql-extra-connection-parameters=password=parool dbname=db_pdns port=5432 user=pdns host=192.168.1.147
</pre>

Nimesüsteem

Imre — Wed, 05 Aug 2026 05:47:32 GMT

←Vanem redaktsioon		Redaktsioon: 5. august 2026, kell 08:47
16. rida:		16. rida:
	* [[:knot kasutamine - protsess docker konteineris]]		* [[:knot kasutamine - protsess docker konteineris]]
	* [[:Kõrgkäigeldav pädev nimeserveri lahendus - NSD]]		* [[:Kõrgkäigeldav pädev nimeserveri lahendus - NSD]]
		+	* [[:PowerDNS webfrontend - PowerDNS-Admin]]
		+	* [[:PowerDNS webfrontend - Poweradmin]]

Podman kasutamine

Imre — Mon, 03 Aug 2026 20:35:03 GMT

Quadlet kasutamine

@@ 56. rida: / 56. rida: @@
 ===Quadlet kasutamine===
 <pre>
@@ 159. rida: / 167. rida: @@
               └─podman-pause-407bd36c.scope
                 └─3427 catatonit -P
 </pre>

Rancher Desktop - MacOS

Imre — Mon, 03 Aug 2026 18:18:02 GMT

Claude Code kasutamine konteineris - litellm

←Vanem redaktsioon		Redaktsioon: 3. august 2026, kell 21:18
575. rida:		575. rida:
	- ANTHROPIC_API_KEY=${LITELLM_API_KEY}		- ANTHROPIC_API_KEY=${LITELLM_API_KEY}
	- ANTHROPIC_MODEL=claude-sonnet-4-6		- ANTHROPIC_MODEL=claude-sonnet-4-6
		+	- DISABLE_UPDATES=1

	working_dir: /workspace		working_dir: /workspace

Claude Desktop - MacOS

Imre — Mon, 03 Aug 2026 16:39:55 GMT

←Vanem redaktsioon		Redaktsioon: 3. august 2026, kell 19:39
(ei näidata sama kasutaja 2 vahepealset redaktsiooni)
3. rida:		3. rida:
	Väited		Väited

−	* Claude tähistab üldiselt tootja ~~Antrophic~~ ühte toodete komplekti - keelemudel, teenus, klienttarkavara, protokoll jne	+	* Claude tähistab üldiselt tootja Anthropic ühte toodete komplekti - keelemudel, teenus, klienttarkavara, protokoll jne
	* käesolev tekst keskendub Claude abil agentse lahenduse kasutamisele - st eesmärgiks on, et inimene istub koos agendiga samas aruvutis ja nad koos teevad midagi aktiivselt (nt paigaldavad arvutisse tarkvara, analüüsivad arvutis toimuvaid protsesse jne (jutt ei ole inimese töökohaarvutist, aga mingist muust arvutist, nt serverist)		* käesolev tekst keskendub Claude abil agentse lahenduse kasutamisele - st eesmärgiks on, et inimene istub koos agendiga samas aruvutis ja nad koos teevad midagi aktiivselt (nt paigaldavad arvutisse tarkvara, analüüsivad arvutis toimuvaid protsesse jne (jutt ei ole inimese töökohaarvutist, aga mingist muust arvutist, nt serverist)
	* Claude agentset kasutamist tähistatakse 'Claude Code'		* Claude agentset kasutamist tähistatakse 'Claude Code'

MacOS operatsioonisüsteemi kasutamine füüsilise MacBook Air M4 arvutiga

Imre — Mon, 03 Aug 2026 10:57:46 GMT

iterm2

@@ 321. rida: / 321. rida: @@
 * ei toimu app store kaudu
 * toimib rakenduse enda menüüst
 ===timemachine===
@@ 2868. rida: / 2892. rida: @@
 [[Fail:20260706-macos-zabbix-02.png|1400px]]
 ===scutil===
@@ 2909. rida: / 2929. rida: @@
 ===Kasulikud lisamaterjalid===
 * https://github.com/luchina-gabriel/OSX-PROXMOX
 * https://www.apple.com/mac/compare/

Fail:Openssh-1.gif

Imre — Thu, 30 Jul 2026 21:22:43 GMT

Imre laadis üles faili Fail:Openssh-1.gif

Uus lehekülg

Autentimine ja autoriseerimine

Imre — Thu, 30 Jul 2026 21:19:59 GMT

←Vanem redaktsioon		Redaktsioon: 31. juuli 2026, kell 00:19
51. rida:		51. rida:
	* [[:Let's Encrypt kasutamine]]		* [[:Let's Encrypt kasutamine]]
	* [[:Authelia]]		* [[:Authelia]]
		+	* [[:OpenSSH kasutamine]]

Kahetasemeline autentimine tarkvaraga OpenSSH

Imre — Thu, 30 Jul 2026 21:18:39 GMT

Imre teisaldas lehekülje Kahetasemeline autentimine tarkvaraga OpenSSH pealkirja OpenSSH kasutamine alla

@@ 422. rida: / 422. rida: @@
  fs:~$ ps aux | grep 'sshd:'
  imre     19383  0.0  0.3   8264  2744 ?        Ss   20:33   0:00 sshd: imre@pts/0,pts/1,pts/2
 ===X rakenduste kasutamine üle võrgu===

Kahetasemeline autentimine tarkvaraga OpenSSH

Imre — Thu, 30 Jul 2026 21:14:31 GMT

Uus lehekülg: '===Sissejuhatus=== OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt...'

Uus lehekülg

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* host key algorithm (HostKeyAlgorithms) - ecdsa-sha2-nistp256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

* digital signature scheme

<pre>
$ ssh -Q key
ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521
ssh-rsa-cert-v01@openssh.com
ssh-dss-cert-v01@openssh.com
ecdsa-sha2-nistp256-cert-v01@openssh.com
ecdsa-sha2-nistp384-cert-v01@openssh.com
ecdsa-sha2-nistp521-cert-v01@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

Podman Desktop - MacOS

Imre — Thu, 30 Jul 2026 08:23:27 GMT

Uus lehekülg: '===Sissejuhatus=== TODO ===Tööpõhimõte=== TODO ===Paigaldamine ja käivitamine=== TODO ===Kasulikud lisamaterjalid=== * TODO'

Uus lehekülg

===Sissejuhatus===

TODO

===Tööpõhimõte===

TODO

===Paigaldamine ja käivitamine===

TODO

===Kasulikud lisamaterjalid===

* TODO

Virtualiseerimine

Imre — Thu, 30 Jul 2026 08:22:39 GMT

←Vanem redaktsioon		Redaktsioon: 30. juuli 2026, kell 11:22
100. rida:		100. rida:
	* [[:Podman kasutamine]]		* [[:Podman kasutamine]]
	* [[:Rancher Desktop]]		* [[:Rancher Desktop]]
		+	* [[:Podman Desktop - MacOS]]

Rsyslog kasutamine operatsioonisüsteemiga Debian

Imre — Thu, 30 Jul 2026 00:10:07 GMT

Logiserveri kasutamine

←Vanem redaktsioon		Redaktsioon: 30. juuli 2026, kell 03:10
32. rida:		32. rida:
	\| \| \| \| \| \|		\| \| \| \| \| \|
	\|_____\| \|_____\| \|_____\|		\|_____\| \|_____\| \|_____\|
		+
−
	smtp www dns		smtp www dns

Fail:Rsyslog-1.gif

Imre — Thu, 30 Jul 2026 00:09:39 GMT

Imre laadis üles faili Fail:Rsyslog-1.gif

Uus lehekülg

Rsyslog kasutamine operatsioonisüsteemiga Debian

Imre — Thu, 30 Jul 2026 00:09:28 GMT

Uus lehekülg: '===Sissejuhatus=== Rsyslog http://www.rsyslog.com/ v. 8.4 on Debian v. 8 Jessie operatsioonisüsteemis vaikimisi logimise tarkvara. Kui tarkvara mingil põhjusel süsteemis ei ole, nt süsteem moodustati Debian Etch -> Lenny uuendamisel, siis saab Rsyslogi paigaldada öeldes # apt-get install rsyslog rsyslog-doc Rsyslogil on sellised omadused * tcp/udp tugi * oskab kasutada sql andmebaasi (nt PostgreSQL, Oracle, MySQL) * failisüsteemi puhverdamine (nt juhtumil kui and...'

Uus lehekülg

===Sissejuhatus===

Rsyslog http://www.rsyslog.com/ v. 8.4 on Debian v. 8 Jessie operatsioonisüsteemis vaikimisi logimise tarkvara. Kui tarkvara mingil põhjusel süsteemis ei ole, nt süsteem moodustati Debian Etch -> Lenny uuendamisel, siis saab Rsyslogi paigaldada öeldes

# apt-get install rsyslog rsyslog-doc

Rsyslogil on sellised omadused

* tcp/udp tugi
* oskab kasutada sql andmebaasi (nt PostgreSQL, Oracle, MySQL)
* failisüsteemi puhverdamine (nt juhtumil kui andmebaasi ei saa mingil põhjusel kirjutada)
* RELP protokolli tugi

Tarkvara juhib seadistusfail /etc/rsyslogd.conf, mis on süntaksiliselt tagasiühilduv seni Debianis kasutuses olnud Syslog tarkvara seadistusfailiga. Tundub, et uuemal ajal tuleb arvestada, millist rsyslog versiooni kasutatakse

* rsyslog v. 3 - Debian v. 5 Lenny
* rsyslog v. 5 - Debian v. 7 Wheezy
* rsyslog v. 8 - Debian v. 8 Jessie

===Logiserveri kasutamine===

Reeglina soovitatakse seadistada arvutid logima võrgus töötavasse logiserverisse, nt turvalisuse ja logitöötluse kaalutlustel

_____ logiserver
| | :514/tcp
|_____| :514/udp
|
|
-|---------|----------|----....---|--
| | |
__|__ __|__ __|__
| | | | | |
|_____| |_____| |_____|

smtp www dns

kus

* logiseveri kuulab ühedusi oma 514/tcp ja 514/udp soketitel
* smtp, www ja dns arvutid logivad oma andmed logiserverisse

Rsyslogi käivitamisel tuleb arvestada, kas protsess töötab logiseverina või logiserveri kliendina.

* Logiserveris tuleb öelda, et teenindatakse kliente

# cat /etc/rsyslog.conf
..
# provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

# provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

* Logiserveri kliendis on oluline näidata logiserveri asukoht (kusjuures @192.168.1.247 kopeerib logi üle UDP), praktiliselt piisab järgnev rida lisada vaikimisi toodud seadistusfaili lõppu, tulemusena logitakse endiselt ja lisaks võrku

*.* @@192.168.1.247

===SSL/TLS ühenduse kasutamine===

Eesmärgiks on saavutada olukord, kus

* serveri ei võtaks kelleltki peale seadistatud klientide logi vastu
* kliendid ei saaks saata kellelegi peale seadistatud serveri logi

SSL/TLS toe lisamiseks tuleb süsteemi paigaldada pakett rsyslog-gnutls

# apt-get install rsyslog-gnutls

Tulemusena tekib failisüsteemi muu hulgas teek

/usr/lib/rsyslog/lmnsd_gtls.so

====Serveri seadistamine====

Serveris võiks seadistuse koondada faili /etc/rsyslog.d/tls.conf

# cat /etc/rsyslog.d/tls.conf
# make gtls driver the default
$DefaultNetstreamDriver gtls

# certificate files
$DefaultNetstreamDriverCAFile /etc/ssl/certs/auul-ca-chain.pem
$DefaultNetstreamDriverCertFile /etc/ssl/certs/rsyslog.loomaaed.tartu.ee.crt
$DefaultNetstreamDriverKeyFile /etc/ssl/private/rsyslog.loomaaed.tartu.ee.key

$InputTCPServerStreamDriverAuthMode x509/name
$InputTCPServerStreamDriverPermittedPeer *.loomaaed.tartu.ee
$InputTCPServerStreamDriverMode 1 # run driver in TLS-only mode
$InputTCPServerRun 10514 # start up listener at port 10514

kus

* $DefaultNetstreamDriver gtls - lülitab TLS mooduli sisse
* näidatakse, millist CA ahelat, sertifikaati ja võtit server kasutab
* $InputTCPServerStreamDriverPermittedPeer - milliste subjecti nimedega sertifikaatidega varustatud kliente teenindatakse

====Kliendi seadistamine====

Serveris võiks seadistuse koondada faili /etc/rsyslog.d/tls.conf

# cat /etc/rsyslog.d/tls.conf
# make gtls driver the default
$DefaultNetstreamDriver gtls

# certificate files
$DefaultNetstreamDriverCAFile /etc/ssl/certs/auul-ca-chain.pem
$DefaultNetstreamDriverCertFile /etc/ssl/certs/rsyslog-client-loomaaed.loomaaed.tartu.ee.crt
$DefaultNetstreamDriverKeyFile /etc/ssl/private/rsyslog-client-loomaaed.loomaaed.tartu.ee.key

$ActionSendStreamDriverAuthMode x509/name
$ActionSendStreamDriverPermittedPeer rsyslog.loomaaed.tartu.ee
$ActionSendStreamDriverMode 1 # run driver in TLS-only mode

*.* @@(o)rsyslog.loomaaed.tartu.ee:10514

kus

* *.* @@(o)rsyslog.loomaaed.tartu.ee:10514 - kuhu logi saata, (o) ka vajalik, liiklus logimise jaoks optimaalsem

====Tulemuse kontrollimine====

* veenduda, et logitakse üle seadistatud pordi ja andmevahetus on ilmselt krüpteeritud (nt wireshark abil)
* proovida pöörduda kasutades mingit suvalist kliendi serti ja veenduda, et logida ei saa (või muuta serveris ja kliendis kordamööda InputTCPServerStreamDriverPermittedPeer väärtus ära)

Nt kirjutatakse ebasobiva kliendi pöördumisel serveri logisse klienti rsyslog protsessi startimisel

May 4 20:32:58 rsyslog rsyslogd-2088: error: peer name not authorized - not permitted to talk to it. \
Names: CN: rsyslog-client-auul.lloomaaed.tartu.ee;

====Kasulikud lisamaterjalid====

* http://www.rsyslog.com/doc/rsyslog_secure_tls.html

===Logimine failisüsteemi===

Failisüsteemi moodustatakse logiserverit kasutavate arvutite ja programmide nö puu lisades logiserveri rsyslog.conf faili muude logi salvestamist juhtivate kirjete ette

..
###############
#### RULES ####
###############

$template TraditionalFormat,"%timegenerated% %HOSTNAME% %syslogtag%%msg:::drop-last-lf%\n"
$template DailyPerHostLogs,"/srv/logs/%HOSTNAME%/%programname%.%$YEAR%-%$MONTH%-%$DAY%.log"
# *.* -?DailyPerHostLogs;TraditionalFormat
if $fromhost-ip startswith '10.1.1.' then -?DailyPerHostLogs;TraditionalFormat
& ~

#
# First some standard log files. Log by facility.
#
auth,authpriv.* /var/log/auth.log
*.*;auth,authpriv.none -/var/log/syslog
...

kus

* - - syncida failisüsteemi puhvrid maha
* ? - tähistab asjaolu, et järgneb nn dünaamiline failinimi
* ; järel on template nimi, kust võetakse logikirje formaat
* %msg% - algne logi sissekanne, millele kirjutatakse ette ja taha juurde
* if $fromhost-ip startswith '10.1.1.' then ... näitab, millisel tingimusel näidatud viisil logida
* & ~ - tähistab, et logides järgmiseid reegleid ei käsitleta; vastasel korral kirjutatakse üle võrgu tulnud logi lisaks ka nö kohalikesse logifailidesse (/var/log/syslog jt)

Postinduse logimisel on praktiliselt mõistlik logida samasse faili kokku amavis-postfix-spamd-jms programmid, nt sedasi

$template TraditionalFormat,"%timegenerated% %FROMHOST-IP% %syslogtag%%msg:::drop-last-lf%\n"
$template DailyPerHostLogs,"/srv/data/logs/%FROMHOST-IP%/%programname%.%$YEAR%-%$MONTH%-%$DAY%.log"
$template DailyPerHostLogsMail,"/srv/data/logs/%FROMHOST-IP%/mail.%$YEAR%-%$MONTH%-%$DAY%.log"

if $fromhost-ip startswith '192.168.1.250' and ( $programname == 'spamd' or $programname == 'clamav-milter' or $programname == 'postfix' ) \
then -? DailyPerHostLogsMail;TraditionalFormat
& ~

if $fromhost-ip startswith '192.168.' then -?DailyPerHostLogs;TraditionalFormat
& ~

kus

* esmalt kirjeldatakse template'd - formaadi kohta üks ja kaks failinimede jaoks
* esimene if tingimus määrab mail faili kirjutamise tingimused
* teine if tingimus ülejäänud

ning

-?DailyPerHostLogs;TraditionalFormat

kus

* - - kirjutada puhvrid maha
* ?DailyPerHostLogs - failinimed moodustatakse dünaamiliselt (st saavad sisaldada kuupäeva jms)
* TraditionalFormat - kirje formaat

===Rsyslogi mitte kasutava programmi logifaili muudatuste logimine Rsyslogi===

Rsyslog võimaldab töötada nö iseseisvalt oma logifaile kirjutavate programmidega, nt Tomcat. Enne allkirjeldatud viisi rakendamist tasub uurida alternatiivseid võimalusi, nt PostgreSQL puhul on võimalik kirjutada logi samaaegselt mitmesse kohta.

====Logi klient====

Logi kliendi arvutis tuleb kasutada /etc/rsyslog.conf failis nt ridu

$ModLoad imfile
...
# RULES
if $programname == 'tomcat' then @@10.100.1.19
& ~
...
$InputFileName /usr/local/tomcat/logs/catalina.out
$InputFileTag tomcat:
$InputFileStateFile stat-file-tomcat
$InputRunFileMonitor
...
*.* @@10.100.1.19

kus

* if ... then .. - tingimus suunab tomcat nimelise logi logiserverisse aadressi 10.100.1.19
* & ~ - järgnedes vahetult eelmisele tähendab see, et kõnealuse logikirjega enam rohkem ei tegelda
* *.* - kõik logi saadetakse logiserverisse

Kui if .. then tingimust mitte kasutada, siis salvestatakse tomcat logi nii kohaliku süsteemi logifailidesse kui ka logiserverisse

====Logiserver====

Logiserver salvestab muude seadmete poolt üle võrgu talle saadetud logi, nt oma failisüsteemi

$ModLoad imudp.so
$UDPServerRun 514

===Logimine PostgreSQL andmebaasi===

Mõnel juhtumil, nt LogAnalyzer http://loganalyzer.adiscon.com/ tarkvara kasutamisel võib olla asjakohane logida andmebaasi, selleks tuleb paigadalda PostgreSQL andmebaasi puhul rsyslog-pgsql pakett

# apt-get install rsyslog-pgsql

Baasi logimisel kasutatakse kahte tabelit, tõenäoliselt on mõistlik moodustada eraldi andmebaas ja tekitada tabelid

$ psql -h 127.0.0.1 -U rsyslog rsyslog < /usr/share/dbconfig-common/data/rsyslog-pgsql/install/pgsql

Ligipääs andmebaasile tuleb näidata /etc/rsyslog.d/pgsql.conf failis, nt

$ModLoad ompgsql
*.* :ompgsql:ip,baasinimi, kasutajanimi, parool;

Muudatuste kehtestamiseks tuleb teha Rsyslogile stop ja start

# /etc/init.d/rsyslog stop ... start

Kui mingil juhtumil ei peaks andmebaas töötama, siis Rsyslog võimaldab logi kohalikus arvutis puhverdada ning see kopeeritakse andmebaasi järgmisel võimalusel, selleks sobib kasutada seadistusfailis

$WorkDirectory /var/spool/rsyslog # default location for work (spool) files
$ActionQueueType LinkedList # use asynchronous processing
$ActionQueueFileName dbq # set file name, also enables disk mode
$ActionResumeRetryCount -1 # infinite retries on insert failure

ning moodustada kataloog /var/spool/rsyslog

# mkdir /var/spool/rsyslog

===LogAnalyzeri kasutamine===

LogAnalyzer http://loganalyzer.adiscon.com/ on veebipõhine PHP rakendus, mis võimaldab töötada andmebaasi salvestatud logiga. Lisaks nö vanilla Apache veebiserverile peavad olema paigaldatud php5-gd ja php5-pgsql paketid

# apt-get install php5-gd php5-pgsql

Tarkvara tuleb lahti pakkida veebiserveri dokumendijuurika alla, rakendus asub src alamkataloogis. Rakenduse seadistamine, sh andmebaasi ligipääsu kirjeldamine toimub veebiliideses (andmed salvestatakse faili config.php).

LogAnalyzeri kasutajaliides näeb välja selline

[[Pilt:rsyslog-1.gif]]

kus

* üleval ääres olevate linkide abil saab liikuda otsingu, statistika jt sektsioonide vahel
* üleval keskel on filter, antud juhul kuvatakse kõigi logiserverit kasutavate arvutite viimase tunni sissekandeid
* sissekanded esitatakse ridadena, antud juhtumil on näha, et arvuti 192.168.1.210 on tegelenud dhcp'ga
* veebilehele on määratud kord minutis automaatne värskendus

Kuna logis võivad esineda tundlikud andmed, nt kasutaja sisestas oma kasutaja nime asemele kogemata parooli, siis ei peaks logile saama juurde kõrvalised tegelased.

===Märkused===

* OpenBSD baaskomplekti syslogd oskab ainult UDP protokolli, kui seda arvestada, siis saab logida sealt Rsyslogi.
* Tundub, et igasuguste Rsyslogi seadistusfaili tehtud muudatuste kehtestamiseks tuleb öelda Rsyslogile stop ja start.
* osutub, et logger programm ei sobib tcp peal logimiseks; või teisipidi, lõpus peab olema reavahetus

$ logger -n 192.168.10.85 -p local3.info "test"
$ logger -n 192.168.10.85 -T -P 514 -p local3.info "test"

paistab, et netcat toimib

$ echo "test" | netcat -q 0 10.0.9.45 514

* selleks, et kõik kirjed eraldi ridadele kantaks

$RepeatedMsgReduction off

===Rsyslog v. 8 kasutamise iseärasused===

* Logiserveris erinevatesse failidesse logimiseks sobib kasutada

..
template(name="DailyPerHostLogsMail" type="string" string="/srv/logs/%FROMHOST-IP%/mail.%$YEAR%-%$MONTH%-%$DAY%.log")

if $fromhost-ip startswith '192.168.1.250' and ( $programname == 'spamd' or $programname == 'clamav-milter' ) then
{
action(type="omfile" DynaFile="DailyPerHostLogsMail")
stop
}
...

* Tundub, et rsyslog v. 8 toetab otse elasticsearch andmebaasi sissekannete tegemist, http://www.rsyslog.com/output-to-elasticsearch-in-logstash-format-kibana-friendly/ (iseasi, kas see 2015 aasta alguses on nii kasutatav kui Logstash, nt GeoIP paistab puuduvat)

# apt-get install rsyslog-elasticsearch

* rainerscriptiga TLS serveris kasutada /etc/rsyslog.conf failis kõige lõpus (ees vaikimisi olev 'module(type="imtcp")' kommenteerida välja)

<pre>
..
$DefaultNetstreamDriverCAFile /var/tmp/s/syslog-ca-cert.crt
$DefaultNetstreamDriverCertFile /var/tmp/s/syslog-server-cert.crt
$DefaultNetstreamDriverKeyFile /var/tmp/s/syslog-server-key.key
$DefaultNetstreamDriver gtls

module(load="imtcp" streamdriver.mode="1" streamdriver.authmode="x509/certvalid")
input(type="imtcp" port="10514" name="tcp-tls")
</pre>

* legacy direktiividega TLS serveris kasutada /etc/rsyslog.conf failis kõige lõpus (ees vaikimisi olev 'module(type="imtcp")' kommenteerida välja)

<pre>
$DefaultNetstreamDriverCAFile /var/tmp/s/syslog-ca-cert.crt
$DefaultNetstreamDriverCertFile /var/tmp/s/syslog-server-cert.crt
$DefaultNetstreamDriverKeyFile /var/tmp/s/syslog-server-key.key
$DefaultNetstreamDriver gtls

$ModLoad imtcp

$InputTCPServerStreamDriverMode 1
$InputTCPServerStreamDriverAuthMode anon
$InputTCPServerRun 10514 # start up listener at port 10514
</pre>

* TLS kliendis kasutada /etc/rsyslog.conf failis kõige lõpus

<pre>
$ModLoad lmnsd_gtls

# certificate files
$DefaultNetstreamDriverCAFile /etc/rsyslog.ca.pem
$DefaultNetstreamDriverCertFile /etc/rsyslog.crt
$DefaultNetstreamDriverKeyFile /etc/rsyslog.key

$DefaultNetstreamDriver gtls
$ActionSendStreamDriverMode 1 # run driver in TLS-only mode
$ActionSendStreamDriverAuthMode x509/certvalid
# $ActionSendStreamDriverPermittedPeer rsyslog.moraal.ee

*.* @@rsyslog.moraal.ee:10514 # forward everything to remote server
</pre>

Testimiseks peab nö tavaline ssl klient saama vastuse, nt

<pre>
# openssl s_client -connect 10.80.102.35:1999
...
Start Time: 1496000983
Timeout : 300 (sec)
Verify return code: 21 (unable to verify the first certificate)
---
</pre>

või

<pre>
# gnutls-cli -p 1999 logi.moraal.ee --x509cafile /etc/rsyslog-ca.crt
..

- Status: The certificate is trusted.
- Description: (TLS1.0)-(RSA)-(AES-128-CBC)-(SHA1)
- Session ID: BA:3A:80:16:79:F2:F6:8B:1A:E9:C1:87:D9:52:D6:53:28:3B:EC:3C:45:52:5A:76:C4:4D:09:F6:D1:B1:5C:A2
- Version: TLS1.0
- Key Exchange: RSA
- Cipher: AES-128-CBC
- MAC: SHA1
- Compression: NULL
- Options: safe renegotiation,
- Handshake was completed

- Simple Client Mode:
</pre>

Kasulikud lisamaterjalid

* http://blog.vuksan.com/2016/05/10/rsyslog-server-tls-termination

===Kasulikud lisamaterjalid===

* http://www.rsyslog.com/doc/manual.html
* http://wiki.rsyslog.com/index.php/Main_Page
* http://en.wikipedia.org/wiki/Rsyslog

Neural Network

Imre — Wed, 29 Jul 2026 23:11:52 GMT

Kasulikud lisamaterjalid

←Vanem redaktsioon		Redaktsioon: 30. juuli 2026, kell 02:11
36. rida:		36. rida:
	* https://web.htk.tlu.ee/digitaru/tarkvara2/chapter/narvivorgud-ja-pytorch/		* https://web.htk.tlu.ee/digitaru/tarkvara2/chapter/narvivorgud-ja-pytorch/
	* https://courses.cs.ut.ee/2020/Tehisintellekti_algkursus/spring/Main/PARTIIIVorgud		* https://courses.cs.ut.ee/2020/Tehisintellekti_algkursus/spring/Main/PARTIIIVorgud
		+	* https://tartunlp.ai/

Ollama - MacOS

Imre — Tue, 28 Jul 2026 22:45:01 GMT

Paigaldamine ja käivitamine

←Vanem redaktsioon		Redaktsioon: 29. juuli 2026, kell 01:45
51. rida:		51. rida:
	</pre>		</pre>

−	Võrgu seadistamine	+	Võrgu seadistamine, eeldusel, et
		+
		+	* ollama kliendiks on claude-code-in-docker vms
		+	* macos peal on olemas utm virtualiseerime (st on virt liides 192.168.64.1)
		+
		+	on võimalik bindida ollama macos sisemisele (kohtvõrgust jm mitte ligipääsetavale liidesele-ip-aadressile) mida saab aga konteinerist kätte
		+
		+	* sulgeda ollama rakendus
		+	* tekitada

	<pre>		<pre>
59. rida:		67. rida:
	192.168.64.1:11434		192.168.64.1:11434
	</pre>		</pre>
		+
		+	* käivitada ollama rakendus

	===Mudelid===		===Mudelid===

MacOS operatsioonisüsteemi kasutamine füüsilise MacBook Air M4 arvutiga

Imre — Tue, 28 Jul 2026 22:29:50 GMT

Trash

←Vanem redaktsioon		Redaktsioon: 29. juuli 2026, kell 01:29
(ei näidata sama kasutaja 2 vahepealset redaktsiooni)
2900. rida:		2900. rida:

	graafiliselt		graafiliselt
		+
		+	[[Fail:20260729-macos-trash-01.png\|600px]]

	kus		kus

Fail:20260729-macos-trash-01.png

Imre — Tue, 28 Jul 2026 22:29:11 GMT

Imre laadis üles faili Fail:20260729-macos-trash-01.png

Uus lehekülg

MacOS operatsioonisüsteemi kasutamine füüsilise MacBook Air M4 arvutiga

Imre — Tue, 28 Jul 2026 22:26:51 GMT

Kasulikud lisamaterjalid

@@ 2891. rida: / 2891. rida: @@
 orcl2-vip:~ root# scutil --set HostName "Imres-MacBook-Air"
 </pre>
 ===Kasulikud lisamaterjalid===

Ollama - MacOS

Imre — Tue, 28 Jul 2026 22:21:10 GMT

Paigaldamine ja käivitamine

←Vanem redaktsioon		Redaktsioon: 29. juuli 2026, kell 01:21
49. rida:		49. rida:

	>>> Send a message (/? for help)		>>> Send a message (/? for help)
		+	</pre>
		+
		+	Võrgu seadistamine
		+
		+	<pre>
		+	imreoolberg@Imres-MacBook-Air ~ % launchctl setenv OLLAMA_HOST "192.168.64.1:11434"
		+
		+	imreoolberg@Imres-MacBook-Air ~ % launchctl getenv OLLAMA_HOST
		+	192.168.64.1:11434
	</pre>		</pre>

Rancher Desktop - MacOS

Imre — Tue, 28 Jul 2026 20:57:30 GMT

Misc

←Vanem redaktsioon		Redaktsioon: 28. juuli 2026, kell 23:57
537. rida:		537. rida:
	+-- corepack@0.35.0		+-- corepack@0.35.0
	`-- npm@11.16.0		`-- npm@11.16.0
		+	</pre>
		+
		+	Selleks, et nö 'rdctl shell' virtuaalse arvuti käest ruum kätte saada macos host operatsioonisüsteemi failisüsteemis tuleb peale nt docker image kustutamist öelda
		+
		+	<pre>
		+	lima-rancher-desktop:~# fstrim -av
		+	/mnt/data: 9.3 GiB (9953943552 bytes) trimmed on /dev/vda1
	</pre>		</pre>

Ollama - MacOS

Imre — Tue, 28 Jul 2026 20:33:12 GMT

Paigaldamine ja käivitamine

←Vanem redaktsioon		Redaktsioon: 28. juuli 2026, kell 23:33
49. rida:		49. rida:

	>>> Send a message (/? for help)		>>> Send a message (/? for help)
		+	</pre>
		+
		+	===Mudelid===
		+
		+	====Pilvepõhised====
		+
		+	<pre>
		+	imreoolberg@Imres-MacBook-Air ~ % ollama show gemma4:cloud
		+	Model
		+	architecture gemma4
		+	parameters 32682372656
		+	context length 262144
		+	embedding length 5376
		+	quantization BF16
		+
		+	Capabilities
		+	completion
		+	thinking
		+	tools
		+	vision
	</pre>		</pre>

OpenCode - MacOS

Imre — Tue, 28 Jul 2026 20:12:10 GMT

Uus lehekülg: '===Sissejuhatus=== TODO ===Kasulikud lisamaterjalid=== * TODO'

Uus lehekülg

===Sissejuhatus===

TODO

===Kasulikud lisamaterjalid===

* TODO

Programmeerimine

Imre — Tue, 28 Jul 2026 19:59:21 GMT

←Vanem redaktsioon		Redaktsioon: 28. juuli 2026, kell 22:59
16. rida:		16. rida:
	* [[:Claude Code - Ubuntu]]		* [[:Claude Code - Ubuntu]]
	* [[:Claude Code - MacOS]]		* [[:Claude Code - MacOS]]
		+	* [[:OpenCode - MacOS]]
	* [[:Neural Network]]		* [[:Neural Network]]
	* [[:Ollama - MacOS]]		* [[:Ollama - MacOS]]

Neural Network

Imre — Tue, 28 Jul 2026 19:52:40 GMT

←Vanem redaktsioon		Redaktsioon: 28. juuli 2026, kell 22:52
(ei näidata sama kasutaja 4 vahepealset redaktsiooni)
2. rida:		2. rida:

	* TODO		* TODO
		+
		+	===Tööpõhimõte===
		+
		+	TODO
		+
		+	Väited
		+
		+	* neuron - funktsioon, millel on väärtus
		+	* weight
		+	* base
		+	* activation
		+	* forward pass
		+	* backpropagation
		+	* quantization
		+
		+	LLM mudeli omadused
		+
		+	* number of parameters - nt 8b (billion - 10^9)
		+	* token
		+	* context lenght - mudelil on max context pikkuse piir (alla selle saab kasutada ja seda otsustab llm-klient, nt 128k)
		+
		+	===Misc===
		+
		+	Väited
		+
		+	* neural network ja selle juurde kuuluv tehnoloogia aastal 2026 on pigem empiiriline kui täppisteadus
		+	* neural network on sarnane atmosfäärifüüsikaga - molekuli tasemel on asjad väga selged, aga tohutu mastaap toob kaasa uue kvaliteediga nähtusi - neid nähtusi käsitletakse järgmise abstraktsiooni taseme tööriistadega - fluid dynamics
		+	* emergent capabilities - neural network nähtusele on iseloomulik, et teatud nö horisondi ületamisel ilmuvad uued võimed (ootamatult)

	===Kasulikud lisamaterjalid===		===Kasulikud lisamaterjalid===

LiteLLM

Imre — Tue, 28 Jul 2026 06:17:19 GMT

llm-client - llm-server

@@ 93. rida: / 93. rida: @@
 [[Fail:20260728-litellm-01.png|1100px]]
 <pre>
@@ 145. rida: / 163. rida: @@
+}
 </pre>
 ===Kasulikud lisamaterjalid===