0 - en to ru-RU translation catalogue (153 entries)

en: Network
ru-RU: Сеть

en: Gateway
ru-RU: Шлюз

en: Network Infrastructure
ru-RU: Сетевая инфраструктура

en: Linux sports the whole Unix heritage for networking, and Debian provides a full set of tools to create and manage them. This chapter reviews these tools.
ru-RU: Linux щеголяет в полной мере унаследованными от Unix сетевыми возможностями, и Debian предоставляет полный набор инструментов создания и управления сетями. Данная глава посвящена обзору этих инструментов.

en: <primary>gateway</primary>
ru-RU: <primary>шлюз</primary>

en: <primary>network</primary><secondary>gateway</secondary>
ru-RU: <primary>сеть</primary><secondary>шлюз</secondary>

en: <primary>router</primary>
ru-RU: <primary>маршрутизатор</primary>

en: A gateway is a system linking several networks. This term often refers to a local network's “exit point” on the mandatory path to all external IP addresses. The gateway is connected to each of the networks it links together, and acts as a router to convey IP packets between its various interfaces.
ru-RU: Шлюз — это система, связывающая несколько сетей. Этот термин часто употребляется для обозначения «точки выхода» из локальной сети на единственном пути ко всем внешним IP-адресам. Шлюз подключён к каждой  из сетей, которые он соединяет, и функционирует как маршрутизатор, пересылая IP-пакеты между своими интерфейсами.

en: <emphasis>BACK TO BASICS</emphasis> IP packet
ru-RU: <emphasis>К ОСНОВАМ</emphasis> IP-пакет

en: <primary>packet</primary><secondary>IP</secondary>
ru-RU: <primary>пакет</primary><secondary>IP</secondary>

en: Most networks nowadays use the IP protocol (<emphasis>Internet Protocol</emphasis>). This protocol segments the transmitted data into limited-size packets. Each packet contains, in addition to its payload data, a number of details required for its proper routing.
ru-RU: Большинство сетей в настоящее время используют протокол IP (<emphasis>Internet Protocol</emphasis>). Этот протокол разделяет передаваемые данные на пакеты ограниченного размера. Каждый пакет содержит, помимо данных нагрузки, информацию, необходимую для его правильной маршрутизации.

en: <emphasis>BACK TO BASICS</emphasis> TCP/UDP
ru-RU: <emphasis>К ОСНОВАМ</emphasis> TCP/UDP

en: <primary>port</primary><secondary>TCP</secondary>
ru-RU: <primary>порт</primary><secondary>TCP</secondary>

en: <primary>port</primary><secondary>UDP</secondary>
ru-RU: <primary>порт</primary><secondary>UDP</secondary>

en: Many programs do not handle the individual packets themselves, even though the data they transmit does travel over IP; they often use TCP (<emphasis>Transmission Control Protocol</emphasis>). TCP is a layer over IP allowing the establishment of connections dedicated to data streams between two points. The programs then only see an entry point into which data can be fed with the guarantee that the same data exits without loss (and in the same sequence) at the exit point at the other end of the connection. Although many kinds of errors can happen in the lower layers, they are compensated by TCP: lost packets are retransmitted, and packets arriving out of order (for example, if they used different paths) are re-ordered appropriately.
ru-RU: Многие программы не обрабатывают непосредственно пакеты, хотя они передают данные для их путешествия по сети через IP сети; они часто используют TCP(<emphasis>Transmission Control Protocol</emphasis>). TCP это слой над IP позволяющий создавать выделенные соединения для потока данных между двумя точками. Программы затем видят только точку входа, в которые данные могут быть переданы с гарантией, что эти же данные выйдут без потери (и в той же последовательности) на точки выхода на другой стороне подключения. Несмотря на то, что много ошибок могут возникнуть на нижних слоях передачи данных, они компенсируются TCP: потерянные пакеты передаются повторно, и если пакеты прибывают не в порядке переданной последовательности (например, если они переданы по разным путям), последовательность восстанавливается соответствующим образом.

en: Another protocol relying on IP is UDP (<emphasis>User Datagram Protocol</emphasis>). In contrast to TCP, it is packet-oriented. Its goals are different: the purpose of UDP is only to transmit one packet from an application to another. The protocol does not try to compensate for possible packet loss on the way, nor does it ensure that packets are received in the same order as were sent. The main advantage to this protocol is that the latency is greatly improved, since the loss of a single packet does not delay the receiving of all following packets until the lost one is retransmitted.
ru-RU: Другой протокол, связанный с IP — это UPD (<emphasis>User Datagram Protocol</emphasis>). В отличии от TCP, он ориентирован на пакеты. Задача UDP состоит только в том, чтобы передать пакет от одного приложения другому. Этот протокол не учитывает возможные потери и очередность доставки. Главное же его достоинство в том, что затраченное на передачу время значительно уменьшается, т. к. потеря одного пакета не задерживает доставку следующих.

en: TCP and UDP both involve ports, which are “extension numbers” for establishing communication with a given application on a machine. This concept allows keeping several different communications in parallel with the same correspondent, since these communications can be distinguished by the port number.
ru-RU: Для TCP и UDP предусмотрены порты, которые являются «добавочными номерами» при установлении связи с определённым приложением. Эта концепция служит установлению параллельной передачи данных одному адресату, т. к. средства связи отличимы по номеру порта.

en: When a local network uses a private address range (not routable on the Internet), the gateway needs to implement <emphasis>address masquerading</emphasis> so that the machines on the network can communicate with the outside world. The masquerading operation is a kind of proxy operating on the network level: each outgoing connection from an internal machine is replaced with a connection from the gateway itself (since the gateway does have an external, routable address), the data going through the masqueraded connection is sent to the new one, and the data coming back in reply is sent through to the masqueraded connection to the internal machine. The gateway uses a range of dedicated TCP ports for this purpose, usually with very high numbers (over 60000). Each connection coming from an internal machine then appears to the outside world as a connection coming from one of these reserved ports.
ru-RU: Когда локальная сеть использует частный диапазон IP-адресов (не видимый за её пределами), шлюз должен выполнить <emphasis>преобразование сетевых адресов</emphasis>, чтобы компьютеры могли взаимодействовать с внешним миром. Такая операция похожа на прокси-сервер, но на сетевом уровне: при исходящей передачи данных — адрес локальной машины заменяется на адрес шлюза (видимый за пределами сети), при ответе из внешнего мира — данные проходят через шлюз и далее направляются по локальному адресу машины. Для этого, шлюз использует диапазон определенных TCP портов, обычно с большими числами (больше 60000). Каждое соединение, идущее от локальной машины во внешний мир, идет через один из этих зарезервированных портов.

en: <primary>masquerading</primary>
ru-RU: <primary>преобразование</primary>

en: <emphasis>CULTURE</emphasis> Private address range
ru-RU: <emphasis>КУЛЬТУРА</emphasis> Частный диапазон IP-адресов

en: <primary>private IP address</primary>
ru-RU: <primary>частный IP адрес</primary>

en: RFC 1918 defines three ranges of IPv4 addresses not meant to be routed on the Internet but only used in local networks. The first one, <literal>10.0.0.0/8</literal> (see sidebar <xref linkend="sidebar.networking-basics" />), is a class-A range (with 2<superscript>24</superscript> IP addresses). The second one, <literal>172.16.0.0/12</literal>, gathers 16 class-B ranges (<literal>172.16.0.0/16</literal> to <literal>172.31.0.0/16</literal>), each containing 2<superscript>16</superscript> IP addresses. Finally, <literal>192.168.0.0/16</literal> is a class-B range (grouping 256 class-C ranges, <literal>192.168.0.0/24</literal> to <literal>192.168.255.0/24</literal>, with 256 IP addresses each). <ulink type="block" url="http://www.faqs.org/rfcs/rfc1918.html" />
ru-RU: RFC 1918 определяет три диапазона адресов IPv4, которые не предназначены для маршрутизации в Интернете, а используются только в локальных сетях. Первый, <literal>10.0.0.0/8</literal> (смотрите <xref linkend="sidebar.networking-basics" />), — это диапазон класса A (с 2<superscript>24</superscript> IP-адресов). Второй, <literal>172.16.0.0/12</literal>, включает 16 диапазонов класса B (с <literal>172.16.0.0/16</literal> по <literal>172.31.0.0/16</literal>), каждый по 2<superscript>16</superscript> IP-адресов. Наконец, <literal>192.168.0.0/16</literal> — диапазон класса B (объединяющий 256 диапазонов класса C, с <literal>192.168.0.0/24</literal> по <literal>192.168.255.0/24</literal>, по 256 IP-адресов каждый). <ulink type="block" url="http://www.faqs.org/rfcs/rfc1918.html" />

en: The gateway can also perform two kinds of <emphasis>network address translation</emphasis> (or NAT for short). The first kind, <emphasis>Destination NAT</emphasis> (DNAT) is a technique to alter the destination IP address (and/or the TCP or UDP port) for a (generally) incoming connection. The connection tracking mechanism also alters the following packets in the same connection to ensure continuity in the communication. The second kind of NAT is <emphasis>Source NAT</emphasis> (SNAT), of which <emphasis>masquerading</emphasis> is a particular case; SNAT alters the source IP address (and/or the TCP or UDP port) of a (generally) outgoing connection. As for DNAT, all the packets in the connection are appropriately handled by the connection tracking mechanism. Note that NAT is only relevant for IPv4 and its limited address space; in IPv6, the wide availability of addresses greatly reduces the usefulness of NAT by allowing all “internal” addresses to be directly routable on the Internet (this does not imply that internal machines are accessible, since intermediary firewalls can filter traffic).
ru-RU: Шлюз также может выполнять два вида <emphasis>преобразования сетевых адресов</emphasis> (для краткости — NAT, от "Network Address Translation"). Первый — <emphasis>Destination NAT</emphasis> (DNAT), суть которого в изменении IP адреса назначения (и/или порта TCP или UDP) для (как правило) входящего соединения. Отслеживающий соединение механизм тоже изменяет следующие пакеты в том же соединении для гарантии целостности. Второй вид NAT — это <emphasis>Source NAT</emphasis> (SNAT), для которого <emphasis>преобразование</emphasis> является особенным случаем. SNAT изменяет IP адрес источника (и/или TCP или UDP порта) для (в основном) исходящего соединения. Также как и для DNAT, все пакеты в соединении соответствующим образом контролируются механизмом, отслеживающим соединения. Заметьте, что NAT подходит только для IPv4 и его ограниченного адресного пространства. В IPv6, с огромным количеством адресов, преимущества NAT снижаются, т. к. «внутренние» адреса маршрутизируемы в интернете (что не означает их доступность, т. к. межсетевой экран может фильтровать трафик).

en: <emphasis>BACK TO BASICS</emphasis> Port forwarding
ru-RU: <emphasis> К ОСНОВАМ </emphasis> Перенаправление портов

en: A concrete application of DNAT is <emphasis>port forwarding</emphasis>. Incoming connections to a given port of a machine are forwarded to a port on another machine. Other solutions may exist for achieving a similar effect, though, especially at the application level with <command>ssh</command> (see <xref linkend="sect.ssh-port-forwarding" />) or <command>redir</command>.
ru-RU: Конкретное приложение DNAT — это <emphasis>перенаправление портов</emphasis>. Входящие соединения в порт одной машины перенаправляются в порт другой. Для подобного эффекта, но на прикладном уровне можно использовать <command>ssh</command> (см. <xref linkend="sect.ssh-port-forwarding" />) или <command>redir</command>.

en: Enough theory, let's get practical. Turning a Debian system into a gateway is a simple matter of enabling the appropriate option in the Linux kernel, by way of the <filename>/proc/</filename> virtual filesystem:
ru-RU: Хватит теории, к практике! Для превращения Debian в шлюз достаточно изменить нужный параметр в ядре Linux через виртуальную файловую систему <filename>/proc/</filename>:

en: The <filename>/etc/sysctl.conf</filename> file
ru-RU: Файл <filename>/etc/sysctl.conf</filename>

en: The same effect can be obtained for IPv6 by simply replacing <literal>ipv4</literal> with <literal>ipv6</literal> in the manual command and using the <literal>net.ipv6.conf.all.forwarding</literal> line in <filename>/etc/sysctl.conf</filename>.
ru-RU: Тоже для IPv6: необходимо заменить <literal>ipv4</literal> на <literal>ipv6</literal> и соответственно использовать <literal>net.ipv6.conf.all.forwarding</literal> в файле <filename>/etc/sysctl.conf</filename>.

en: Enabling IPv4 masquerading is a slightly more complex operation that involves configuring the <emphasis>netfilter</emphasis> firewall.
ru-RU: Для использования преобразования адресов (маскарадинг) IPv4 нужно изменить конфигурацию файервола <emphasis>netfilter</emphasis>.

en: Similarly, using NAT (for IPv4) requires configuring <emphasis>netfilter</emphasis>. Since the primary purpose of this component is packet filtering, the details are listed in <xref linkend="security" xrefstyle="select: label quotedtitle nopage" /> (see <xref linkend="sect.firewall-packet-filtering" />).
ru-RU: Также и для использования NAT (для IPv4) необходимо настраивать <emphasis>netfilter</emphasis>. Так как основное назначение для этого компонента — фильтрация пакетов, детали описаны в <xref linkend="security" xrefstyle="select: label quotedtitle nopage" /> (см. <xref linkend="sect.firewall-packet-filtering" />).

en: <primary>certificate</primary><secondary>X.509</secondary>
ru-RU: <primary>сертификат</primary><secondary>X.509</secondary>

en: Public Key Infrastructure: <emphasis>easy-rsa</emphasis>
ru-RU: Инфраструктура открытых ключей: <emphasis>easy-rsa</emphasis>

en: <primary>Public Key Infrastructure</primary>
ru-RU: <primary>Инфраструктура открытого ключа</primary>

en: <primary>RSA (algorithm)</primary>
ru-RU: <primary>RSA (алгоритм)</primary>

en: <primary>key pair</primary>
ru-RU: <primary>пара ключей</primary>

en: The Falcot Corp administrators use this tool to create the required certificates, both for the server and the clients. This allows the configuration of all clients to be similar since they will only have to be set up so as to trust certificates coming from Falcot's local CA. This CA is the first certificate to create; to this end, the administrators set up a directory with the files required for the CA in an appropriate location, preferably on a machine not connected to the network in order to mitigate the risk of the CA's private key being stolen.
ru-RU: Администраторы Falcot Corp используют этот инструмент для создания нужных сертификатов, для обеих сторон - для сервера и клиентов. Это позволяет настраивать всех клиентов похожим образом, поскольку на клиентах надо только установить, чтобы они считали доверенными сертификатами те, что были выданы локальным CA, расположенным в  Falcot. Этот CA в  Falcot имеет порядковый номер - первый сертификат, который он выдал сам себе в самом начале своей работы. Для учёта и хранения выдаваемых сертификатов администраторы создают каталог с нужными файлами для CA в подходящем месте, предпочтительнее на машине, не подсоединённой к сети. Это делается для того, чтобы уменьшить риск кражи закрытых ключей, выданных локальным CA.

en: The following step creates certificates for the VPN clients; one certificate is required for each computer or person allowed to use the VPN:
ru-RU: Следующим шагом создаются сертификаты для клиентов VPN; один сертификат нужен каждому компьютеру или лицу, которым позволено использовать VPN:

en: Virtual Private Network
ru-RU: Виртуальная частная сеть

en: <primary>network</primary><secondary>virtual private</secondary>
ru-RU: <primary>сеть</primary><secondary>виртуальная частная</secondary>

en: A <emphasis>Virtual Private Network</emphasis> (VPN for short) is a way to link two different local networks through the Internet by way of a tunnel; the tunnel is usually encrypted for confidentiality. VPNs are often used to integrate a remote machine within a company's local network.
ru-RU: <emphasis>Виртуальная частная сеть</emphasis> (VPN) предоставляет возможность контакта для двух локальных сетей через интернет, используя туннель. Туннель обычно зашифрован для конфиденциальности. VPN сети часто используются для интеграции удалённой машины в локальную сеть компании.

en: OpenVPN is a piece of software dedicated to creating virtual private networks. Its setup involves creating virtual network interfaces on the VPN server and on the client(s); both <literal>tun</literal> (for IP-level tunnels) and <literal>tap</literal> (for Ethernet-level tunnels) interfaces are supported. In practice, <literal>tun</literal> interfaces will most often be used except when the VPN clients are meant to be integrated into the server's local network by way of an Ethernet bridge.
ru-RU: OpenVPN используется для создания виртуальных частных сетей. В его настройку входит создание частных сетевых интерфейсов на VPN сервере и на клиенте (клиентах). Оба <literal>tun</literal> (для туннелей уровня IP) и <literal>tap</literal> (для туннелей уровня Ethernet) интерфейса поддерживаются. На практике <literal>tun</literal> используется чаще, за исключением необходимости интеграции VPN клиентов в локальную сеть сервера через Ethernet мост.

en: OpenVPN relies on OpenSSL for all the SSL/TLS cryptography and associated features (confidentiality, authentication, integrity, non-repudiation). It can be configured either with a shared private key or using X.509 certificates based on a public key infrastructure. The latter configuration is strongly preferred since it allows greater flexibility when faced with a growing number of roaming users accessing the VPN.
ru-RU: Для использования SSL/TLS криптографии и смежных возможностей (конфиденциальность, аутентификация, целостность, неапеллируемость) OpenVPN полагается на OpenSSL. Конфигурация осуществляется с помощью общего секретного ключа или используя сертификаты X.509, основанные на инфраструктуре публичного ключа.

en: Configuring the OpenVPN Server
ru-RU: Настройка сервера OpenVPN

en: Barring further action, VPN clients can only access the VPN server itself by way of the <literal>10.8.0.1</literal> address. Granting the clients access to the local network (192.168.0.0/24), requires adding a <literal>push route 192.168.0.0 255.255.255.0</literal> directive to the OpenVPN configuration so that VPN clients automatically get a network route telling them that this network is reachable by way of the VPN. Furthermore, machines on the local network also need to be informed that the route to the VPN goes through the VPN server (this automatically works when the VPN server is installed on the gateway). Alternatively, the VPN server can be configured to perform IP masquerading so that connections coming from VPN clients appear as if they are coming from the VPN server instead (see <xref linkend="sect.gateway" />).
ru-RU: Для исключения отдалённых последствий, клиенты VPN могут только получать доступ к серверу VPN через адрес <literal>10.8.0.1</literal>. Для предоставления клиентам доступа в локальную сеть (192.168.0.0/24), необходимо добавить директиву <literal>push route 192.168.0.0 255.255.255.0</literal> в конфигурацию OpenVPN, тогда клиенты VPN автоматически получат уведомление о том, что сетевая маршрутизация к этой сети осуществляется через VPN. Кроме того, машины в локальной сети также должны быть информированы о том, что маршрутизация пакетов VPN должна осуществляться через сервер VPN (в случае установки сервера VPN на шлюз это происходит автоматически). И как альтернатива, сервер VPN можно настроить с возможностью использования IP masquerading (трансляция - замена одних IP на другие) таким образом, что соединения, приходящие от клиентов VPN будут появляться так, как будто они пришли с сервера VPN взамен (смотри вкладку <xref linkend="sect.gateway" />).

en: Configuring the OpenVPN Client
ru-RU: Настройка клиента OpenVPN

en: Setting up an OpenVPN client also requires creating a configuration file in <filename>/etc/openvpn/</filename>. A standard configuration can be obtained by using <filename>/usr/share/doc/openvpn/examples/sample-config-files/client.conf</filename> as a starting point. The <literal>remote vpn.falcot.com 1194</literal> directive describes the address and port of the OpenVPN server; the <literal>ca</literal>, <literal>cert</literal> and <literal>key</literal> also need to be adapted to describe the locations of the key files.
ru-RU: При настройке клиента OpenVPN нужно тоже создать конфигурационный файл, поместив его в <filename>/etc/openvpn/</filename>. Стандартная конфигурация, которую можно принять за основу, расположена в примерах по адресу <filename>/usr/share/doc/openvpn/examples/sample-config-files/client.conf</filename>. Директива <literal>remote vpn.falcot.com 1194</literal> описывает адрес и порт сервера OpenVPN; <literal>ca</literal>, <literal>cert</literal> и <literal>key</literal> также нуждаются в редактировании описаний с уточнением месторасположения файлов ключей.

en: Virtual Private Network with SSH
ru-RU: Виртуальные Частные Сети с SSH

en: The second method is more recent, and was introduced with OpenSSH 4.3; it is now possible for OpenSSH to create virtual network interfaces (<literal>tun*</literal>) on both sides of an SSH connection, and these virtual interfaces can be configured exactly as if they were physical interfaces. The tunneling system must first be enabled by setting <literal>PermitTunnel</literal> to “yes” in the SSH server configuration file (<filename>/etc/ssh/sshd_config</filename>). When establishing the SSH connection, the creation of a tunnel must be explicitly requested with the <literal>-w any:any</literal> option (<literal>any</literal> can be replaced with the desired <literal>tun</literal> device number). This requires the user to have administrator privilege on both sides, so as to be able to create the network device (in other words, the connection must be established as root).
ru-RU: Второй способ является более современным, и был введён с появлением OpenSSH 4.3; теперь стало возможным для OpenSSH создание виртуальных сетевых интерфейсов (<literal>tun*</literal>) на обеих сторонах соединения SSH, и эти виртуальные интерфейсы можно настраивать так, как будто они являются физическими интерфейсами. Первоначально необходимо разрешить создание тунельной системы путём установки для <literal>PermitTunnel</literal> опции “yes” в конфигурационном файле сервера SSH(<filename>/etc/ssh/sshd_config</filename>). При устанавлении соединения SSH, необходимо ясно выразить желание создать тунель с опцией <literal>-w any:any</literal> (<literal>any</literal> может быть заменено на уже имеющееся в системе устройство с номером <literal>tun</literal>). Такое решение требует наличия на обеих сторонах соединения SSH у пользователя прав администратора, так как необходимо создавать сетевые устройства (другими словами, соединение должно устанавливаться администратором).

en: Both methods for creating a virtual private network over SSH are quite straightforward. However, the VPN they provide is not the most efficient available; in particular, it does not handle high levels of traffic very well.
ru-RU: Оба метода создания виртуальных частных сетей через SSH довольно просты. Однако, VPN поддерживает такие соединения не очень эффективно; в частности, не достигается высокий уровень скорости прохождения трафика, как бы хотелось.

en: In spite of its status as the reference, the complexity of setting up IPsec restricts its usage in practice. OpenVPN-based solutions will generally be preferred when the required tunnels are neither too many nor too dynamic.
ru-RU: Несмотря на его статус, как рекомендованный, сложность настройки при запуске IPsec ограничивает его использование на практике. В случае, если требуется не слишком много туннелей и они не будут слишком динамичными, то более предпочтительным является решение, базирующееся на OpenVPN.

en: <emphasis>CAUTION</emphasis> IPsec and NAT
ru-RU: <emphasis>ПРЕДОСТЕРЕЖЕНИЕ</emphasis> IPsec и NAT

en: NATing firewalls and IPsec do not work well together: since IPsec signs the packets, any change on these packets that the firewall might perform will void the signature, and the packets will be rejected at their destination. Various IPsec implementations now include the <emphasis>NAT-T</emphasis> technique (for <emphasis>NAT Traversal</emphasis>), which basically encapsulates the IPsec packet within a standard UDP packet.
ru-RU: Имеющийся у брэндмауэров механизм NAT и IPsec в совместной связке работают не очень хорошо: поскольку IPsec подписывает пакеты, то любые изменения этих пакетов, проделываемые брандмауэром, могут нарушить эти подписи, и пакеты не будут приняты в месте назначения как недостоверные. Различные реализации IPsec сейчас включают в себя технологию <emphasis>NAT-T</emphasis> (для <emphasis>NAT Traversal</emphasis>), которая обычно запаковывает (инкапсулирует, то есть помещает в капсулу) пакет IPsec внутрь стандартного пакета UDP.

en: <emphasis>SECURITY</emphasis> IPsec and firewalls
ru-RU: <emphasis>БЕЗОПАСНОСТЬ</emphasis> IPsec и брэндмауэры

en: The standard mode of operation of IPsec involves data exchanges on UDP port 500 for key exchanges (also on UDP port 4500 in the case that NAT-T is in use). Moreover, IPsec packets use two dedicated IP protocols that the firewall must let through; reception of these packets is based on their protocol numbers, 50 (ESP) and 51 (AH).
ru-RU: В стандартном режиме работы IPsec подразумевается, что обмен данными происходит по UDP через порт 500 для обмена ключами (а в случае с использованием NAT-T по UDP через порт 4500). Кроме того, пакеты IPsec используют два предназначенных для этого, IP протокола, которые брандмауэр должен пропускать; получение таких пакетов осуществляется на основании номеров их протоколов, 50 (ESP) и 51 (AH).

en: PPTP (for <emphasis>Point-to-Point Tunneling Protocol</emphasis>) uses two communication channels, one for control data and one for payload data; the latter uses the GRE protocol (<emphasis>Generic Routing Encapsulation</emphasis>). A standard PPP link is then set up over the data exchange channel.
ru-RU: По протоколу PPTP (расшифровывается как тунельный протокол "точка-точка" или <emphasis>Point-to-Point Tunneling Protocol</emphasis>) организуется соединение, включающее в себя два канала связи, один - для контроля процесса передачи данных, второй - непосредственно для перемещения самих данных; последний использует протокол GRE (<emphasis>Generic Routing Encapsulation</emphasis>). На базе этих двух каналов связи организуется обычное PPP соединение.

en: Configuring the Client
ru-RU: Настройка Клиента

en: The <emphasis role="pkg">pptp-linux</emphasis> package contains an easily-configured PPTP client for Linux. The following instructions take their inspiration from the official documentation: <ulink type="block" url="http://pptpclient.sourceforge.net/howto-debian.phtml" />
ru-RU: Пакет <emphasis role="pkg">pptp-linux</emphasis> содержит быстронастраиваемого клиента PPTP для Linux. Описываемые далее шаги по настройке клиента были позаимствованы из официальной документации: <ulink type="block" url="http://pptpclient.sourceforge.net/howto-debian.phtml" />

en: The Falcot administrators created several files: <filename>/etc/ppp/options.pptp</filename>, <filename>/etc/ppp/peers/falcot</filename>, <filename>/etc/ppp/ip-up.d/falcot</filename>, and <filename>/etc/ppp/ip-down.d/falcot</filename>.
ru-RU: Администраторы Falcot создали несколько файлов: <filename>/etc/ppp/options.pptp</filename>, <filename>/etc/ppp/peers/falcot</filename>, <filename>/etc/ppp/ip-up.d/falcot</filename>, и <filename>/etc/ppp/ip-down.d/falcot</filename>.

en: The <filename>/etc/ppp/options.pptp</filename> file
ru-RU: Файл <filename>/etc/ppp/options.pptp</filename>

en: 
    # PPP options used for a PPTP connection
    lock
    noauth
    nobsdcomp
    nodeflate
ru-RU: 
    # Параметры PPP, используемые для PPTP соединения
    lock
    noauth
    nobsdcomp
    nodeflate

en: The <filename>/etc/ppp/peers/falcot</filename> file
ru-RU: Файл <filename>/etc/ppp/peers/falcot</filename>

en: 
    # vpn.falcot.com is the PPTP server
    pty "pptp vpn.falcot.com --nolaunchpppd"
    # the connection will identify as the "vpn" user
    user vpn
    remotename pptp
    # encryption is needed
    require-mppe-128
    file /etc/ppp/options.pptp
    ipparam falcot
ru-RU: 
    # vpn.falcot.com -это сам сервер
    pty "pptp vpn.falcot.com --nolaunchpppd"
    # соединение идентифицирует пользователя "vpn"
    user vpn
    remotename pptp
    # применение шифрования необходимо
    require-mppe-128
    file /etc/ppp/options.pptp
    ipparam falcot

en: The <filename>/etc/ppp/ip-up.d/falcot</filename> file
ru-RU: Файл <filename>/etc/ppp/ip-up.d/falcot</filename>

en: The <filename>/etc/ppp/ip-down.d/falcot</filename> file
ru-RU: Файл <filename>/etc/ppp/ip-down.d/falcot</filename>

en: <emphasis>SECURITY</emphasis> MPPE
ru-RU: <emphasis>БЕЗОПАСНОСТЬ</emphasis> MPPE

en: Securing PPTP involves using the MPPE feature (<emphasis>Microsoft Point-to-Point Encryption</emphasis>), which is available in official Debian kernels as a module.
ru-RU: Для обеспечения безопасности PPTP используются возможности MPPE (<emphasis>Microsoft Point-to-Point Encryption</emphasis>), которые в Debian скомпонованы в модуль и доступны в официальных ядрах.

en: Configuring the Server
ru-RU: Настройка сервера

en: <emphasis>CAUTION</emphasis> PPTP and firewalls
ru-RU: <emphasis>ПРЕДОСТЕРЕЖЕНИЕ</emphasis> PPTP и брандмауэры

en: Intermediate firewalls need to be configured to let through IP packets using protocol 47 (GRE). Moreover, the PPTP server's port 1723 needs to be open so that the communication channel can happen.
ru-RU: Промежуточные звенья брандмауэра должны быть настроены так, чтобы пропускались IP пакеты, использующие протокол 47 (GRE). Кроме того, порт 1723 на сервере PPTP должен быть открытым, чтобы соединение в принципе стало возможным.

en: <command>pptpd</command> is the PPTP server for Linux. Its main configuration file, <filename>/etc/pptpd.conf</filename>, requires very few changes: <emphasis>localip</emphasis> (local IP address) and <emphasis>remoteip</emphasis> (remote IP address). In the example below, the PPTP server always uses the <literal>192.168.0.199</literal> address, and PPTP clients receive IP addresses from <literal>192.168.0.200</literal> to <literal>192.168.0.250</literal>.
ru-RU: Сервером PPTP для Linux является программа <command>pptpd</command>. Её главный файл настройки <filename>/etc/pptpd.conf</filename>  нуждается совсем в небольших изменениях: <emphasis>localip</emphasis> (локальный IP адрес) и <emphasis>remoteip</emphasis> (удалённый IP адрес). В нижеприведённом примере, сервер PPTP всегда использует адрес <literal>192.168.0.199</literal>, а клиент PPTP получает адрес динамически из диапазона адресов от <literal>192.168.0.200</literal> до <literal>192.168.0.250</literal>.

en: The <filename>/etc/pptpd.conf</filename> file
ru-RU: Файл <filename>/etc/pptpd.conf</filename>

en: The PPP configuration used by the PPTP server also requires a few changes in <filename>/etc/ppp/pptpd-options</filename>. The important parameters are the server name (<literal>pptp</literal>), the domain name (<literal>falcot.com</literal>), and the IP addresses for DNS and WINS servers.
ru-RU: Используемое PPP соединение для работы с сервером PPTP также нуждается в небольших изменениях для настройки в файле <filename>/etc/ppp/pptpd-options</filename>. Важными параметрами являются: имя сервера (<literal>pptp</literal>), доменное имя (<literal>falcot.com</literal>), и IP адрес для DNS и WINS серверов.

en: The <filename>/etc/ppp/pptpd-options</filename> file
ru-RU: Файл <filename>/etc/ppp/pptpd-options</filename>

en: The last step involves registering the <literal>vpn</literal> user (and the associated password) in the <filename>/etc/ppp/chap-secrets</filename> file. Contrary to other instances where an asterisk (<literal>*</literal>) would work, the server name must be filled explicitly here. Furthermore, Windows PPTP clients identify themselves under the <literal><replaceable>DOMAIN</replaceable>\\<replaceable>USER</replaceable></literal> form, instead of only providing a user name. This explains why the file also mentions the <literal>FALCOT\\vpn</literal> user. It is also possible to specify individual IP addresses for users; an asterisk in this field specifies that dynamic addressing should be used.
ru-RU: В последнем шаге настройки надо зарегистрировать пользователя <literal>vpn</literal> (и соответствующий ему пароль) в файле <filename>/etc/ppp/chap-secrets</filename>. В отличие от других случаев применения символа звёздочка (<literal>*</literal>) в текстовых файлах настроек, в данном конкретном случае, в этом файле, необходимо ввести напрямую имя сервера. Кроме того, имя клиентов Windows PPTP определяется в следующем виде <literal><replaceable>DOMAIN</replaceable>\\<replaceable>USER</replaceable></literal>, в противовес обычному простому указанию только имя пользователя. Это объясняет почему файл также упоминает пользователей <literal>FALCOT\\vpn</literal>. Можно также определить здесь индивидуальные IP адреса для пользователей; а применение звездочки в этом поле говорит о том, что будет использоваться динамическая адресация.

en: The <filename>/etc/ppp/chap-secrets</filename> file
ru-RU: Файл <filename>/etc/ppp/chap-secrets</filename>

en: <emphasis>SECURITY</emphasis> PPTP vulnerabilities
ru-RU: <emphasis>БЕЗОПАСНОСТЬ</emphasis> уязвимости PPTP

en: Microsoft's first PPTP implementation drew severe criticism because it had many security vulnerabilities; most have since then been fixed in more recent versions. The configuration documented in this section uses the latest version of the protocol. Be aware though that removing some options (such as <literal>require-mppe-128</literal> and <literal>require-mschap-v2</literal>) would make the service vulnerable again.
ru-RU: Сразу после выпуска первой версии протокола Microsoft's PPTP, он был подвергнут резкой критики, потому что в нём было обнаружено много уязвимостей; в последующих версиях большинство из них были устранены. В данном разделе применяется последняя версия протокола для осуществления настроек клиента и сервера. Однако помните, что если вы удалите некоторые опции (такие как <literal>require-mppe-128</literal> и <literal>require-mschap-v2</literal>), то уязвимости данного протокола вновь покажут себя во всей красе.

en: Quality of Service
ru-RU: Качество обслуживания (регулирование скорости и других характеристик трафика для программ)

en: Principle and Mechanism
ru-RU: Принципы и механизм

en: <emphasis>Quality of Service</emphasis> (or <emphasis>QoS</emphasis> for short) refers to a set of techniques that guarantee or improve the quality of the service provided to applications. The most popular such technique involves classifying the network traffic into categories, and differentiating the handling of traffic according to which category it belongs to. The main application of this differentiated services concept is <emphasis>traffic shaping</emphasis>, which limits the data transmission rates for connections related to some services and/or hosts so as not to saturate the available bandwidth and starve important other services. Traffic shaping is a particularly good fit for TCP traffic, since this protocol automatically adapts to available bandwidth.
ru-RU: Качество обслуживания - <emphasis>Quality of Service</emphasis> (или коротко <emphasis>QoS</emphasis>) представляет собой набор определённых технических приёмов, который гарантирует или улучшает качество обслуживания для приложений. Большинство, существующих на сегодня, популярных технологий, работающих в этой области, классифицируют сетевой трафик по категориям, и, в зависимости от принадлежности к той или иной категории, обрабатывают трафик тем или иным образом. Основная программа, занимающаяся такой сортировкой трафика является <emphasis>traffic shaping</emphasis>. Она ограничивает скорость передачи данных при подключении некоторых служб и/или хостов таким образом, чтобы они не занимали всю пропускную полосу трафика, а оставшаяся часть незанятого канала предоставляется другим важным службам. Такая классификация трафика особенно хорошо подходит для TCP трафика, поскольку данный протокол автоматически подстраивается под доступную полосу пропускания.

en: It is also possible to alter the priorities on traffic, which allows prioritizing packets related to interactive services (such as <command>ssh</command> and <command>telnet</command>) or to services that only deal with small blocks of data.
ru-RU: Есть возможность отрегулировать первоочерёдность трафика таким образом, чтобы в первую очередь пропускались пакеты, связанные с интерактивными службами (такие как <command>ssh</command> и <command>telnet</command>) или службы, работающие с маленькими блоками информации.

en: The Debian kernels include the features required for QoS along with their associated modules. These modules are many, and each of them provides a different service, most notably by way of special schedulers for the queues of IP packets; the wide range of available scheduler behaviors spans the whole range of possible requirements.
ru-RU: В ядре Debian имеются возможности, необходимые для работы QoS. Они сгруппированы в соответствующие модули. Таких модулей очень много, и каждый из них поддерживает ту или иную службу, при этом большинство из них работают по принципу планирования очерёдности прохождения IP пакетов. Широкий диапазон доступных настроек поведения планировщика охватывает весь спектр возможных требований.

en: <emphasis>CULTURE</emphasis> LARTC — <emphasis>Linux Advanced Routing &amp; Traffic Control</emphasis>
ru-RU: <emphasis>КУЛЬТУРА</emphasis> LARTC — <emphasis>Расширенные настройки маршрутизации в Linux и контроль трафика</emphasis>

en: Configuring and Implementing
ru-RU: Настройка и выполнение

en: QoS parameters are set through the <command>tc</command> command (provided by the <emphasis role="pkg">iproute</emphasis> package). Since its interface is quite complex, using higher-level tools is recommended.
ru-RU: Параметры QoS настраиваются через команду <command>tc</command> (включена в пакет <emphasis role="pkg">iproute</emphasis>). Поскольку интерфейс данной команды является достаточно сложным к восприятию рекомендуется использовать для работы с ней высокоуровневые инструменты.

en: Reducing Latencies: <command>wondershaper</command>
ru-RU: Уменьшение Задержек: <command>wondershaper</command>

en: The main purpose of <command>wondershaper</command> (in the similarly-named package) is to minimize latencies independent of network load. This is achieved by limiting total traffic to a value that falls just short of the link saturation value.
ru-RU: Основная задача команды <command>wondershaper</command> (в пакете с похожим именем) - уменьшение задержек перемещения пакетов по сети. Это достигается ограничением всего трафика до величины чуть ниже линии полного насыщения канала.

en: Changes in the <filename>/etc/network/interfaces</filename> file
ru-RU: Изменения в файле <filename>/etc/network/interfaces</filename>

en: <emphasis>GOING FURTHER</emphasis> Optimal configuration
ru-RU: <emphasis>УГЛУБЛЯЕМСЯ</emphasis> Оптимальная настройка

en: The <filename>/usr/share/doc/wondershaper/README.Debian.gz</filename> file describes, in some detail, the configuration method recommended by the package maintainer. In particular, it advises measuring the download and upload speeds so as to best evaluate real limits.
ru-RU: Файл <filename>/usr/share/doc/wondershaper/README.Debian.gz</filename> содержит описание, с некоторыми деталями, метода настройки, который рекомендуется разработчиками пакета. В частности, вначале советуют измерить реальные скорости загрузки и выгрузки, чтобы в дальнейшем лучше оценить вводимые в дальнейшем ограничения.

en: Standard Configuration
ru-RU: Стандартная настройка

en: Dynamic Routing
ru-RU: Динамическая Маршрутизация

en: <emphasis>BACK TO BASICS</emphasis> Dynamic routing
ru-RU: <emphasis>К ОСНОВАМ</emphasis> Динамическая маршрутизация

en: Dynamic routing allows routers to adjust, in real time, the paths used for transmitting IP packets. Each protocol involves its own method of defining routes (shortest path, use routes advertised by peers, and so on).
ru-RU: Динамическая маршрутизация позволяет маршрутизаторам своевременно изменять пути, используемые для передачи IP пакетов, причём делается это в режиме реального времени. В каждом протоколе установлен свой метод определения маршрута прохождения пакетов (кратчайший путь, использование маршрута, рекомендованного другими, равными ему, маршрутизаторами, и так далее).

en: <emphasis>IN PRACTICE</emphasis> OSPF, BGP or RIP?
ru-RU: <emphasis>НА ПРАКТИКЕ</emphasis> OSPF, BGP или RIP?

en: Debian kernels include IPv6 handling in the core kernel (with the exception of some architectures that have it compiled as a module named <literal>ipv6</literal>). Basic tools such as <command>ping</command> and <command>traceroute</command> have their IPv6 equivalents in <command>ping6</command> and <command>traceroute6</command>, available respectively in the <emphasis role="pkg">iputils-ping</emphasis> and <emphasis role="pkg">iputils-tracepath</emphasis> packages.
ru-RU: В ядра Debian включена обработка IPv6 внутри самого ядра (за исключением нескольких архитектур устройств, в которых скомпилирован модуль, называемый <literal>ipv6</literal>). Основные инструменты, такие как <command>ping</command> и <command>traceroute</command>, имеют их IPv6 эквивалентов, называемых <command>ping6</command> и <command>traceroute6</command>, которые доступны в пакетах с соответствующими именами <emphasis role="pkg">iputils-ping</emphasis> и <emphasis role="pkg">iputils-tracepath</emphasis>.

en: The IPv6 network is configured similarly to IPv4, in <filename>/etc/network/interfaces</filename>. But if you want that network to be globally available, you must ensure that you have an IPv6-capable router relaying traffic to the global IPv6 network.
ru-RU: Сеть IPv6 настраивается аналогично тому, как это делается в IPv4, в файле <filename>/etc/network/interfaces</filename>. Но если вы хотите, чтобы сеть была доступна глобально, вы должны убедиться, что имеете IPv6-совместимый маршрутизатор, перенаправляющий трафик в глобальную IPv6 сеть.

en: Example of IPv6 configuration
ru-RU: Пример настройки IPv6

en: IPv6 subnets usually have a netmask of 64 bits. This means that 2<superscript>64</superscript> distinct addresses exist within the subnet. This allows Stateless Address Autoconfiguration (<acronym>SLAAC</acronym>) to pick an address based on the network interface's MAC address. By default, if <acronym>SLAAC</acronym> is activated in your network and IPv6 on your computer, the kernel will automatically find IPv6 routers and configure the network interfaces.
ru-RU: Подсети IPv6 обычно имеют сетевую маску в 64 бита. Из этого следует, что внутри подсетей может существовать до 2<superscript>64</superscript> различных адресов. Это позволяет делать автонастройку выдачи адресов для машин в подсетях на основе MAC-адреса сетевого интерфейса ("Stateless Address Autoconfiguration" или коротко <acronym>SLAAC</acronym>). По умолчанию, если <acronym>SLAAC</acronym> активирован в вашей сети и IPv6 есть на вашем компьютере, то ядро автоматически найдёт IPv6 маршрутизаторы и настроит сетевые интерфейсы.

en: IPv6 privacy extensions
ru-RU: Расширения секретности IPv6

en: <emphasis>TIP</emphasis> Programs built with IPv6
ru-RU: <emphasis>СОВЕТ</emphasis> Программы, поддерживающие IPv6

en: Tunneling
ru-RU: Туннелирование

en: <emphasis>CAUTION</emphasis> IPv6 tunneling and firewalls
ru-RU: <emphasis>ПРЕДОСТЕРЕЖЕНИЕ</emphasis> Туннелирование IPv6 и брандмауэры

en: IPv6 tunneling over IPv4 (as opposed to native IPv6) requires the firewall to accept the traffic, which uses IPv4 protocol number 41.
ru-RU: При туннелировании IPv6 поверх IPv4 (в отличие от родной IPv6) необходимо, чтобы брандмауэр принимающий трафик использовал протокол IPv4 номер 41.

en: Domain Name Servers (DNS)
ru-RU: Система Доменных Имен Серверов (DNS)

en: DNS records are organized in zones; each zone matches either a domain (or a subdomain) or an IP address range (since IP addresses are generally allocated in consecutive ranges). A primary server is authoritative on the contents of a zone; secondary servers, usually hosted on separate machines, provide regularly refreshed copies of the primary zone.
ru-RU: Записи DNS организованы по зонам; каждая зона соответствует какому-нибудь домену (или субдомену) или указанному диапазону IP адресов (в котором IP адреса, включённые в диапазон, расположены обычно последовательно). Главный сервер является авторитетным и содержит таблицу по зоне; вторичные серверы, обычно располагаемые на отдельных машинах, содержат регулярно обновляемые копии файла таблицы главной зоны.

en: Furthermore, Bind supports the DNSSEC standard for signing (and therefore authenticating) DNS records, which allows blocking any spoofing of this data during man-in-the-middle attacks.
ru-RU: Второе: Bind поддерживает стандарт DNSSEC для подписывания (и поэтому для выполнения идентификации) записей DNS. А это, в свою очередь, позволит блокировать любые изменённые данные (в записях DNS) в момент осуществления атаки "man-in-the-middle attacks".

en: <emphasis>CULTURE</emphasis> DNSSEC
ru-RU: <emphasis>КУЛЬТУРА</emphasis> DNSSEC

en: Configuration files for <command>bind</command>, irrespective of version, have the same structure.
ru-RU: Файлы настройки программы <command>bind</command>, независимо от версии, имеют одинаковую структуру.

en: The Falcot administrators created a primary <literal>falcot.com</literal> zone to store information related to this domain, and a <literal>168.192.in-addr.arpa</literal> zone for reverse mapping of IP addresses in the local networks.
ru-RU: Администраторы компании Falcot создали первичную зону <literal>falcot.com</literal>, в которой располагается информация, касающаяся данного домена, и зону <literal>168.192.in-addr.arpa</literal> для обратного преобразования IP адресов в адреса локальной сети (то есть сопоставления их).

en: <emphasis>CAUTION</emphasis> Names of reverse zones
ru-RU: <emphasis>ПРЕДОСТЕРЕЖЕНИЕ</emphasis> Преобразование имён зон

en: Reverse zones have a particular name. The zone covering the <literal>192.168.0.0/16</literal> network needs to be named <literal>168.192.in-addr.arpa</literal>: the IP address components are reversed, and followed by the <literal>in-addr.arpa</literal> suffix.
ru-RU: Преобразованные зоны имеют особенные имена. Зона, включающая в себя сеть <literal>192.168.0.0/16</literal>, должна быть названа как <literal>168.192.in-addr.arpa</literal>: 1-ая и 2-ая части IP адреса записаны наоборот, и далее следует суффикс <literal>in-addr.arpa</literal>.

en: For IPv6 networks, the suffix is <literal>ip6.arpa</literal> and the IP address components which are reversed are each character in the full hexadecimal representation of the IP address. As such, the <literal>2001:0bc8:31a0::/48</literal> network would use a zone named <literal>0.a.1.3.8.c.b.0.1.0.0.2.ip6.arpa</literal>.
ru-RU: Для сетей IPv6 суффиксом будет <literal>ip6.arpa</literal> и используются части IP адреса. Полная шестнадцатеричная последовательность символов, включённых в IP адрес (без учёта ":"), записывается наоборот следующим образом - каждый символ отдельно (с использованием в качестве разделителя "точки"). То есть для сети <literal>2001:0bc8:31a0::/48</literal> будет использоваться имя зоны <literal>0.a.1.3.8.c.b.0.1.0.0.2.ip6.arpa</literal>.

en: <emphasis>TIP</emphasis> Testing the DNS server
ru-RU: <emphasis>СОВЕТ</emphasis> Тестирование сервера DNS

en: The <command>host</command> command (in the <emphasis role="pkg">bind9-host</emphasis> package) queries a DNS server, and can be used to test the server configuration. For example, <command>host machine.falcot.com localhost</command> checks the local server's reply for the <literal>machine.falcot.com</literal> query. <command>host <replaceable>ipaddress</replaceable> localhost</command> tests the reverse resolution.
ru-RU: Команда <command>host</command> (в пакете <emphasis role="pkg">bind9-host</emphasis>) делает запросы на сервер DNS, а кроме этого может быть использована и для тестирования настроенного сервера. Для примера, <command>host machine.falcot.com localhost</command> проверит ответ локального сервера на запрос от <literal>machine.falcot.com</literal>. А команда <command>host <replaceable>ipaddress</replaceable> localhost</command> тестирует обратное преобразование имён.

en: The following configuration excerpts, taken from the Falcot files, can serve as starting points to configure a DNS server:
ru-RU: Следующие выдержки взяты из файлов настройки, использующихся в компании Falcot, и могут послужить отправной точкой для настраивания сервера DNS:

en: Excerpt of <filename>/etc/bind/named.conf.local</filename>
ru-RU: Выдержка из <filename>/etc/bind/named.conf.local</filename>

en: Excerpt of <filename>/etc/bind/db.falcot.com</filename>
ru-RU: Выдержка из <filename>/etc/bind/db.falcot.com</filename>

en: <emphasis>CAUTION</emphasis> Syntax of a name
ru-RU: <emphasis>ПРЕДОСТЕРЕЖЕНИЕ</emphasis> Синтаксис имени

en: The syntax of machine names follows strict rules. For instance, <literal>machine</literal> implies <literal>machine.<replaceable>domain</replaceable></literal>. If the domain name should not be appended to a name, said name must be written as <literal>machine.</literal> (with a dot as suffix). Indicating a DNS name outside the current domain therefore requires a syntax such as <literal>machine.otherdomain.com.</literal> (with the final dot).
ru-RU: Синтаксис формирования имён машин придерживается строгих правил. Например, <literal>machine</literal> означает <literal>machine.<replaceable>domain</replaceable></literal>. Если доменное имя не добавлено к имени, то указанное имя должно быть записано как <literal>machine.</literal> (с добавлением в качестве суффикса "точки"). А синтаксис имени внешнего DNS по отношению к данному домену должен быть такой <literal>machine.otherdomain.com.</literal> (с указанием в конце "точки").

en: Excerpt of <filename>/etc/bind/db.192.168</filename>
ru-RU: Выдержка из <filename>/etc/bind/db.192.168</filename>

en: DHCP (for <emphasis>Dynamic Host Configuration Protocol</emphasis>) is a protocol by which a machine can automatically get its network configuration when it boots. This allows centralizing the management of network configurations, and ensuring that all desktop machines get similar settings.
ru-RU: DHCP (расшифровывается как <emphasis>Dynamic Host Configuration Protocol</emphasis> или протокол динамической настройки узла) является протоколом, по которому машина может получать в автоматическом режиме номер IP (и соответственно взаимоувязывать его со своими сетевыми интерфейсами), присваиваемый ей в момент загрузки. Это позволяет централизовать управление настройками сети (компьютеров, подсоединяющихся к данной сети), и быть уверенным, что все настольные машины получат похожие параметры.

en: A DHCP server provides many network-related parameters. The most common of these is an IP address and the network where the machine belongs, but it can also provide other information, such as DNS servers, WINS servers, NTP servers, and so on.
ru-RU: Сервер DHCP предоставляет много разных сетевых параметров. Самым распространенным из них является предоставление IP-адреса машине в сети, к которой она подсоединилась, но кроме этого предоставляет и другую информацию, например кто является сервером DNS, серверами WINS, серверами NTP, и так далее.

en: The Internet Software Consortium (also involved in developing <command>bind</command>) is the main author of the DHCP server. The matching Debian package is <emphasis role="pkg">isc-dhcp-server</emphasis>.
ru-RU: Главным авторитетным сервером DHCP является The Internet Software Consortium (или "ISC", который также участвовал в разработке <command>bind</command>). Соответствующий пакет в Debian - <emphasis role="pkg">isc-dhcp-server</emphasis>.

en: Configuring
ru-RU: Настройка

en: Excerpt of <filename>/etc/dhcp/dhcpd.conf</filename>
ru-RU: Выдержка из <filename>/etc/dhcp/dhcpd.conf</filename>

en: 
    #
    # Sample configuration file for ISC dhcpd for Debian
    #
    
    # The ddns-updates-style parameter controls whether or not the server will
    # attempt to do a DNS update when a lease is confirmed. We default to the
    # behavior of the version 2 packages ('none', since DHCP v2 didn't
    # have support for DDNS.)
    ddns-update-style interim;
    
    # option definitions common to all supported networks...
    option domain-name "internal.falcot.com";
    option domain-name-servers ns.internal.falcot.com;
    
    default-lease-time 600;
    max-lease-time 7200;
    
    # If this DHCP server is the official DHCP server for the local
    # network, the authoritative directive should be uncommented.
    authoritative;
    
    # Use this to send dhcp log messages to a different log file (you also
    # have to hack syslog.conf to complete the redirection).
    log-facility local7;
    
    # My subnet
    subnet 192.168.0.0 netmask 255.255.255.0 {
        option routers 192.168.0.1;
        option broadcast-address 192.168.0.255;
        range 192.168.0.128 192.168.0.254;
        ddns-domainname "internal.falcot.com";
    }
ru-RU: 
    #
    # Пример настройки файла ISC dhcpd в Debian
    #
    
    # Параметр ddns-updates-style контролирует будет или нет сервер
    # пытаться делать обновление DNS когда a lease is confirmed. Мы по 
    # умолчанию используем поведение версии 2 пакета ('none', 
    # поскольку DHCP v2 не имеет поддержки DDNS.)
    ddns-update-style interim;
    
    # параметры, общие для всех поддерживаемых сетей...
    option domain-name "internal.falcot.com";
    option domain-name-servers ns.internal.falcot.com;
    
    default-lease-time 600;
    max-lease-time 7200;
    
    # Если этот сервер DHCP является официальным сервером DHCP для локальной
    # сети, то директива "authoritative" должна быть раскомментирована.
    authoritative;
    
    # Используется для посылки сообщений, касающихся dhcp, для записи в 
    # другой журнал (вы можете использовать журнал syslog.conf для полного 
    # перенаправления).
    log-facility local7;
    
    # My subnet
    subnet 192.168.0.0 netmask 255.255.255.0 {
        option routers 192.168.0.1;
        option broadcast-address 192.168.0.255;
        range 192.168.0.128 192.168.0.254;
        ddns-domainname "internal.falcot.com";
    }

en: DHCP and DNS
ru-RU: DHCP и DNS

en: A nice feature is the automated registering of DHCP clients in the DNS zone, so that each machine gets a significant name (rather than something impersonal such as <literal>machine-192-168-0-131.internal.falcot.com</literal>). Using this feature requires configuring the DNS server to accept updates to the <literal>internal.falcot.com</literal> DNS zone from the DHCP server, and configuring the latter to submit updates for each registration.
ru-RU: Приятной особеностью является возможность присвоения каждой машиной осмысленного (что-то значащего) имени в момент её регистрации в качестве клиента DHCP в зоне DNS (а не что-то обезличенное, вроде <literal>machine-192-168-0-131.internal.falcot.com</literal>). Для использования такой возможности необходимо настроить сервер DNS, чтобы он принимал обновления для зоны DNS  <literal>internal.falcot.com</literal> от сервера DHCP, который, в свою очередь, надо настроить таким образом, чтобы при каждом подключении и присвоении адреса какой-то машине, он сразу уведомлял об этом сервер DNS.

en: Beware! A zone that can be modified <emphasis>will</emphasis> be changed by <command>bind</command>, and the latter will overwrite its configuration files at regular intervals. Since this automated procedure produces files that are less human-readable than manually-written ones, the Falcot administrators handle the <literal>internal.falcot.com</literal> domain with a delegated DNS server; this means the <literal>falcot.com</literal> zone file stays firmly under their manual control.
ru-RU: Остерегайтесь! Зоны, что могут быть видоизменены <emphasis>will</emphasis>, изменяются программой <command>bind</command>, и последняя будет перезаписывать конфигурационные файлы через регулярные интервалы (времени). Поскольку эта автоматизированная процедура создает файлы, которые менее удобочитаемые для человеческого восприятия, чем вручную написанные, администраторы Falcot вручную редактируют файл домена <literal>internal.falcot.com</literal> с делегированием сервера DNS; это значит: что зона файла <literal>falcot.com</literal> всегда остаётся под их ручным контролем.

en: Network Diagnosis Tools
ru-RU: Инструменты Диагностики Сети

en: Local Diagnosis: <command>netstat</command>
ru-RU: Диагностика локального узла: <command>netstat</command>

en: Let's first mention the <command>netstat</command> command (in the <emphasis role="pkg">net-tools</emphasis> package); it displays an instant summary of a machine's network activity. When invoked with no argument, this command lists all open connections; this list can be very verbose since it includes many Unix-domain sockets (widely used by daemons) which do not involve the network at all (for example, <literal>dbus</literal> communication, <literal>X11</literal> traffic, and communications between virtual filesystems and the desktop).
ru-RU: Давайте сначала рассмотрим команду <command>netstat</command> (в пакете <emphasis role="pkg">net-tools</emphasis> package); она показывает мгновенный срез суммарной информации о сетевой активности данной машины. Запущенная без параметров, программа показывает все открытые соединения; этот перечень может быть очень подробный, поскольку он включает в себя много сокетов Unix-домена (широко используемые демоны), которые не связаны с сетью вообще (например, соединение <literal>dbus</literal>, трафик <literal>X11</literal>, и соединения между виртуальными файловыми системами и рабочего стола).

en: Common invocations therefore use options that alter <command>netstat</command>'s behavior. The most frequently used options include:
ru-RU: Поэтому наиболее распространено применение команды <command>netstat</command> с параметрами, которые изменяют поведение программы. Наиболее часто используются следующие параметры:

en: <literal>-t</literal>, which filters the results to only include TCP connections;
ru-RU: <literal>-t</literal>, отфильтровывает результат и показывает только соединения TCP;

en: <literal>-u</literal>, which works similarly for UDP connections; these options are not mutually exclusive, and one of them is enough to stop displaying Unix-domain connections;
ru-RU: <literal>-u</literal>, которая работает также, только для соединений UDP; эти параметры не являются взаимоисключающими, и одного из них достаточно, чтобы остановить отображение части Unix-домен соединений);

en: <literal>-a</literal>, to also list listening sockets (waiting for incoming connections);
ru-RU: <literal>-a</literal>, также перечисляет прослушиваемые сокеты (ожидающие входящие соединения);

en: <literal>-n</literal>, to display the results numerically: IP addresses (no DNS resolution), port numbers (no aliases as defined in <filename>/etc/services</filename>) and user ids (no login names);
ru-RU: <literal>-n</literal>, отображает результат в цифровом (небуквенном) виде: адреса IP (а не DNS разрешение), номер порта (а не псевдонимы, как определено в файле <filename>/etc/services</filename>) и идентификаторы пользователей (ids, а не имя учётной записи пользователя);

en: <literal>-p</literal>, to list the processes involved; this option is only useful when <command>netstat</command> is run as root, since normal users will only see their own processes;
ru-RU: <literal>-p</literal>, перечисляет уже запущенные на данной машине процессы; этот параметр будет более полезен при запуске <command>netstat</command> от лица суперпользователя, поскольку обычные пользователи увидят только те процессы, которые они сами запустили;

en: <literal>-c</literal>, to continuously refresh the list of connections.
ru-RU: <literal>-c</literal>, непрерывно обновлять перечень подключений.

en: Other options, documented in the <citerefentry><refentrytitle>netstat</refentrytitle> <manvolnum>8</manvolnum></citerefentry> manual page, provide an even finer control over the displayed results. In practice, the first five options are so often used together that systems and network administrators practically acquired <command>netstat -tupan</command> as a reflex. Typical results, on a lightly loaded machine, may look like the following:
ru-RU: Другие параметры, описанные в страницах руководства <citerefentry><refentrytitle>netstat</refentrytitle> <manvolnum>8</manvolnum></citerefentry>, позволяют более тонко настроить отображаемый программой результат. На практике, первые пять параметров (описываемые чуть выше) настолько часто используются вместе, что системные и сетевые администраторы практически рефлексивно используют <command>netstat -tupan</command> в своей работе. На несильно загруженной машине, типичный результат вывода команды будет выглядеть следующим образом:

en: 
    <computeroutput># </computeroutput><userinput>netstat -tupan</userinput>
    <computeroutput>Active Internet connections (servers and established)
    Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
    tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN      397/rpcbind     
    tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      431/sshd        
    tcp        0      0 0.0.0.0:36568           0.0.0.0:*               LISTEN      407/rpc.statd   
    tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      762/exim4       
    tcp        0    272 192.168.1.242:22        192.168.1.129:44452     ESTABLISHED 1172/sshd: roland [
    tcp6       0      0 :::111                  :::*                    LISTEN      397/rpcbind     
    tcp6       0      0 :::22                   :::*                    LISTEN      431/sshd        
    tcp6       0      0 ::1:25                  :::*                    LISTEN      762/exim4       
    tcp6       0      0 :::35210                :::*                    LISTEN      407/rpc.statd   
    udp        0      0 0.0.0.0:39376           0.0.0.0:*                           916/dhclient    
    udp        0      0 0.0.0.0:996             0.0.0.0:*                           397/rpcbind     
    udp        0      0 127.0.0.1:1007          0.0.0.0:*                           407/rpc.statd   
    udp        0      0 0.0.0.0:68              0.0.0.0:*                           916/dhclient    
    udp        0      0 0.0.0.0:48720           0.0.0.0:*                           451/avahi-daemon: r
    udp        0      0 0.0.0.0:111             0.0.0.0:*                           397/rpcbind     
    udp        0      0 192.168.1.242:123       0.0.0.0:*                           539/ntpd        
    udp        0      0 127.0.0.1:123           0.0.0.0:*                           539/ntpd        
    udp        0      0 0.0.0.0:123             0.0.0.0:*                           539/ntpd        
    udp        0      0 0.0.0.0:5353            0.0.0.0:*                           451/avahi-daemon: r
    udp        0      0 0.0.0.0:39172           0.0.0.0:*                           407/rpc.statd   
    udp6       0      0 :::996                  :::*                                397/rpcbind     
    udp6       0      0 :::34277                :::*                                407/rpc.statd   
    udp6       0      0 :::54852                :::*                                916/dhclient    
    udp6       0      0 :::111                  :::*                                397/rpcbind     
    udp6       0      0 :::38007                :::*                                451/avahi-daemon: r
    udp6       0      0 fe80::5054:ff:fe99::123 :::*                                539/ntpd        
    udp6       0      0 2001:bc8:3a7e:210:a:123 :::*                                539/ntpd        
    udp6       0      0 2001:bc8:3a7e:210:5:123 :::*                                539/ntpd        
    udp6       0      0 ::1:123                 :::*                                539/ntpd        
    udp6       0      0 :::123                  :::*                                539/ntpd        
    udp6       0      0 :::5353                 :::*                                451/avahi-daemon: r
    </computeroutput>
ru-RU: 
    <computeroutput># </computeroutput><userinput>netstat -tupan</userinput>
    <computeroutput>Активные соединения Интернет (сервера и общепринятые)
    Прото Полv-Q Посл-Q Локальный Адрес         Внешний Адрес         Состояние    PID/Имя программы
    tcp        0      0 0.0.0.0:111             0.0.0.0:*             СЛУШАЕТ      397/rpcbind     
    tcp        0      0 0.0.0.0:22              0.0.0.0:*             СЛУШАЕТ      431/sshd        
    tcp        0      0 0.0.0.0:36568           0.0.0.0:*             СЛУШАЕТ      407/rpc.statd   
    tcp        0      0 127.0.0.1:25            0.0.0.0:*             СЛУШАЕТ      762/exim4       
    tcp        0    272 192.168.1.242:22        192.168.1.129:44452   ОБЩЕПРИНЯТЫЕ 1172/sshd: roland [
    tcp6       0      0 :::111                  :::*                  СЛУШАЕТ      397/rpcbind     
    tcp6       0      0 :::22                   :::*                  СЛУШАЕТ      431/sshd        
    tcp6       0      0 ::1:25                  :::*                  СЛУШАЕТ      762/exim4       
    tcp6       0      0 :::35210                :::*                  СЛУШАЕТ      407/rpc.statd   
    udp        0      0 0.0.0.0:39376           0.0.0.0:*                          916/dhclient    
    udp        0      0 0.0.0.0:996             0.0.0.0:*                          397/rpcbind     
    udp        0      0 127.0.0.1:1007          0.0.0.0:*                          407/rpc.statd   
    udp        0      0 0.0.0.0:68              0.0.0.0:*                          916/dhclient    
    udp        0      0 0.0.0.0:48720           0.0.0.0:*                          451/avahi-daemon: r
    udp        0      0 0.0.0.0:111             0.0.0.0:*                          397/rpcbind     
    udp        0      0 192.168.1.242:123       0.0.0.0:*                          539/ntpd        
    udp        0      0 127.0.0.1:123           0.0.0.0:*                          539/ntpd        
    udp        0      0 0.0.0.0:123             0.0.0.0:*                          539/ntpd        
    udp        0      0 0.0.0.0:5353            0.0.0.0:*                          451/avahi-daemon: r
    udp        0      0 0.0.0.0:39172           0.0.0.0:*                          407/rpc.statd   
    udp6       0      0 :::996                  :::*                               397/rpcbind     
    udp6       0      0 :::34277                :::*                               407/rpc.statd   
    udp6       0      0 :::54852                :::*                               916/dhclient    
    udp6       0      0 :::111                  :::*                               397/rpcbind     
    udp6       0      0 :::38007                :::*                               451/avahi-daemon: r
    udp6       0      0 fe80::5054:ff:fe99::123 :::*                               539/ntpd        
    udp6       0      0 2001:bc8:3a7e:210:a:123 :::*                               539/ntpd        
    udp6       0      0 2001:bc8:3a7e:210:5:123 :::*                               539/ntpd        
    udp6       0      0 ::1:123                 :::*                               539/ntpd        
    udp6       0      0 :::123                  :::*                               539/ntpd        
    udp6       0      0 :::5353                 :::*                               451/avahi-daemon: r
    </computeroutput>

en: As expected, this lists established connections, two SSH connections in this case, and applications waiting for incoming connections (listed as <literal>LISTEN</literal>), notably the Exim4 email server listening on port 25.
ru-RU: Как и ожидалось, перечисляются установленные соединения, два соединения SSH в этом случае, и приложения, ожидающие входящие соединения (перечислены как <literal>СЛУШАЕТ</literal> - "LISTEN"), в частности почтовый сервер Exim4 прослушивает порт 25.

en: Remote Diagnosis: <command>nmap</command>
ru-RU: Удалённая диагностика: <command>nmap</command>

en: <command>nmap</command> (in the similarly-named package) is, in a way, the remote equivalent for <command>netstat</command>. It can scan a set of “well-known” ports for one or several remote servers, and list the ports where an application is found to answer to incoming connections. Furthermore, <command>nmap</command> is able to identify some of these applications, sometimes even their version number. The counterpart of this tool is that, since it runs remotely, it cannot provide information on processes or users; however, it can operate on several targets at once.
ru-RU: Команда <command>nmap</command> (в пакете с похожим именем) выполняет те же функции, что и <command>netstat</command>, только для удалённого диагностирования машин. Она может просканировать все "широко известные" порты на одном или на нескольких удалённых серверах, и перечислить порты, на которых приложения готовы дать ответ входящим соединениям. Кроме того, <command>nmap</command> имеет возможность определить некоторые из тех приложений, иногда даже и их номер версии. Недостатком данного инструмента является то, что поскольку он работает удалённо, то не может предоставить информацию о процессах или пользователях; однако, он может работать по нескольким целям одновременно.

en: A typical <command>nmap</command> invocation only uses the <literal>-A</literal> option (so that <command>nmap</command> attempts to identify the versions of the server software it finds) followed by one or more IP addresses or DNS names of machines to scan. Again, many more options exist to finely control the behavior of <command>nmap</command>; please refer to the documentation in the <citerefentry> <refentrytitle>nmap</refentrytitle> <manvolnum>1</manvolnum> </citerefentry> manual page.
ru-RU: Типичный вызов программы выглядит следующим образом: <command>nmap</command> и далее параметр <literal>-A</literal> (таким образом <command>nmap</command> пытается определить версию програмного обеспечения найденного сервера), а следом указываются один или более адресов IP или имён DNS машин для сканирования. Кроме этого, ещё много других параметров существует для тонкой настройки поведения программы <command>nmap</command>; пожалуйста руководствуйтесь документацией, размещённой в страницах руководства - <citerefentry> <refentrytitle>nmap</refentrytitle> <manvolnum>1</manvolnum> </citerefentry>.

en: Sniffers: <command>tcpdump</command> and <command>wireshark</command>
ru-RU: Снифферы (перехватчики пакетов и анализаторы кадров): <command>tcpdump</command> and <command>wireshark</command>

en: Sometimes, one needs to look at what actually goes on the wire, packet by packet. These cases call for a “frame analyzer”, more widely known as a <emphasis>sniffer</emphasis>. Such a tool observes all the packets that reach a given network interface, and displays them in a user-friendly way.
ru-RU: Иногда, необходимо посмотреть, что фактически происходит в сети, пакет за пакетом. В таких случаях вызываются “анализаторы кадров”, более широко известные под именем <emphasis>сниффер</emphasis>. Такие инструменты просматривают все пакеты, проходящие по указанному сетевому интерфейсу, и отображают их в удобном для пользователя виде.

en: The venerable tool in this domain is <command>tcpdump</command>, available as a standard tool on a wide range of platforms. It allows many kinds of network traffic capture, but the representation of this traffic stays rather obscure. We will therefore not describe it in further detail.
ru-RU: Давним и хорошо зарекомендовавшим себя инструментом в этой области является программа <command>tcpdump</command>, доступная как стандартный инструмент для большого количества разнообразных платформ. Она позволяет использовать многие разновидности перехвата трафика в сети, но представление этого трафика (для просмотра) остаётся довольно непонятным. Поэтому мы не будем в деталях описывать её далее.

en: A more recent (and more modern) tool, <command>wireshark</command> (in the <emphasis role="pkg">wireshark</emphasis> package), has become the new reference in network traffic analysis due to its many decoding modules that allow for a simplified analysis of the captured packets. The packets are displayed graphically with an organization based on the protocol layers. This allows a user to visualize all protocols involved in a packet. For example, given a packet containing an HTTP request, <command>wireshark</command> displays, separately, the information concerning the physical layer, the Ethernet layer, the IP packet information, the TCP connection parameters, and finally the HTTP request itself.
ru-RU: Более поздним (и более современным) инструментом является программа <command>wireshark</command> (в пакете <emphasis role="pkg">wireshark</emphasis>), которая в настоящее время более рекомендуется для перехвата сетевого трафика из-за его многочисленных декодирующих модулей, что позволяет упростить сам процесс последующего анализа перехваченных пакетов. Отображение перехватываемых пакетов выполняется графически с организацией просмотра по принципу слоёв протокола. Это позволяет пользователю отчётливо представить себе (видеть глазами) все протоколы, используемые в пакете. Для примера, пакет, содержащий запрос HTTP, <command>wireshark</command> отобразит отдельно: информацию касающуюся физического слоя, слой Ethernet, информацию о пакете IP, параметры соединения TCP, и наконец сам запрос HTTP.

en: The <command>wireshark</command> network traffic analyzer
ru-RU: Анализатор сетевого трафика <command>wireshark</command>

en: <emphasis>TIP</emphasis> <command>wireshark</command> with no graphical interface: <command>tshark</command>
ru-RU: <emphasis>СОВЕТ</emphasis> Аналогом программы <command>wireshark</command> без графического интерфейса является: <command>tshark</command>

en: When one cannot run a graphical interface, or does not wish to do so for whatever reason, a text-only version of <command>wireshark</command> also exists under the name <command>tshark</command> (in a separate <emphasis role="pkg">tshark</emphasis> package). Most of the capture and decoding features are still available, but the lack of a graphical interface necessarily limits the interactions with the program (filtering packets after they've been captured, tracking of a given TCP connection, and so on). It can still be used as a first approach. If further manipulations are intended and require the graphical interface, the packets can be saved to a file and this file can be loaded into a graphical <command>wireshark</command> running on another machine.
ru-RU: Когда невозможно запустить графический интерфейс, или не желаете делать этого по каким-то причинам, текстовая версия программы <command>wireshark</command> также существует под именем <command>tshark</command> (в отдельном пакете с именем <emphasis role="pkg">tshark</emphasis>). Большинство перехватывающих и декодирующих функций по прежнему доступны, но отсутствие графического интерфейса обязательно ограничит возможности по взаимодействию с программой (фильтрация пакетов после их перехвата, отслеживание указанного соединения TCP, и так далее). Эту программу можно использовать на первых порах - для целей перехвата трафика. Если вы намериваетесь в дальнейшем ещё как-то работать с перехваченными данными и вам для этого понадобится графический интерфейс, вывод работы программы может быть сохранён в файл, а  далее этот файл можно открыть из графического интерфейса программы <command>wireshark</command>, запущенной на другой машине.
