OpenBSD-Wiki - Вклад участника [ru]

Автодополнение в ksh

2017-05-04T05:27:46Z

Ssh: /* Пользовательские автодополнения в ksh */

== Пользовательские автодополнения в ksh ==

Как показала практика автодополнение, как оно реализовано например в Bash для меня избыточно, поэтому вариант с настройкой пользовательских параметров [http://man.openbsd.org/ksh#Emacs_editing_mode ksh(1)] оказался очень удобен.

<pre>ssh3@balamut:~$ vmctl (TAB)
Books/ Documents/ Music/ Video/ bin/ mbox work/

ssh3@balamut:~$ set -A complete_vmctl -- console load reload start stop reset status

ssh3@balamut:~$ vmctl (TAB)
console load reload start stop reset status

ssh3@balamut:~$ set -A complete_vmctl_1 -- console load reload start stop reset status

ssh3@balamut:~$ vmctl (TAB)
console load reload start stop reset status

ssh3@balamut:~$ vmctl status (TAB)
Books/ Documents/ Music/ Video/ bin/ mbox work/</pre>

[[https://deftly.net/posts/2017-05-01-openbsd-ksh-tab-complete.html По мотивам]]

Автодополнение в ksh

2017-05-04T03:15:29Z

Ssh: Новая страница: «== Пользовательские автодополнения в ksh == Как показала практика автодополнение, как оно…»

== Пользовательские автодополнения в ksh ==

Как показала практика автодополнение, как оно реализовано например в Bash для меня избыточно, поэтому вариант с настройкой пользовательских параметров [http://man.openbsd.org/ksh#Emacs_editing_mode ksh(1)] оказался очень удобен.

<pre>shupikov@balamut:~$ vmctl (TAB)
Books/ Documents/ Music/ Video/ bin/ mbox work/

shupikov@balamut:~$ set -A complete_vmctl -- console load reload start stop reset status

shupikov@balamut:~$ vmctl (TAB)
console load reload start stop reset status

shupikov@balamut:~$ set -A complete_vmctl_1 -- console load reload start stop reset status

shupikov@balamut:~$ vmctl (TAB)
console load reload start stop reset status

shupikov@balamut:~$ vmctl status (TAB)
Books/ Documents/ Music/ Video/ bin/ mbox work/</pre>

[[https://deftly.net/posts/2017-05-01-openbsd-ksh-tab-complete.html По мотивам]]

Участник:Ssh

2017-05-04T02:00:14Z

Ssh:

= Заметки =

[[Список открытых портов]]

[[OpenBSD на рабочей станции]]

[["Горячие" клавиши tmux и screen]]

[[OpenBSD doas]]

[[Почтовый сервер на базе OpenBSD 6.0|Почтовый сервер на базе OpenBSD 6.x]]

[[Автодополнение в ksh]]

Участник:Ssh

2017-05-04T01:59:00Z

Ssh: /* Заметки */

= Заметки =

[[Список открытых портов]]

[[OpenBSD на рабочей станции]]

[["Горячие" клавиши tmux и screen]]

[[OpenBSD doas]]

[[Почтовый сервер на базе OpenBSD 6.x]]

[[Автодополнение в ksh]]

Почтовый сервер на базе OpenBSD 6.0

2017-04-18T07:43:24Z

Ssh: /* Вступление */

= Вступление =
Перевод [http://technoquarter.blogspot.ru статьи] Chess Griffin с небольшим количеством комментариев от переводчика, в основном связанных с тем, что с момента релиза [http://www.openbsd.org/56.html OpenBSD 5.6], система стала еще [http://www.openbsd.org/60.html лучше!]

== Цель ==
Создать достаточно безопасный почтовый сервер на базе OpenBSD и нескольких пакетов. OpenSMTPD, spamd, pf и httpd входят в состав базовой системы. Дополнительно потребуются [https://www.clamav.net ClamAV], [http://thewalter.net/stef/software/clamsmtp ClamSMTP], [http://spamassassin.apache.org SpamAssassin], [http://www.worlddesign.com/Content/rd/mta/spampd/spampd.html SpamPD], [http://dkimproxy.sourceforge.net DKIMproxy], [http://www.dovecot.org Dovecot], [http://pigeonhole.dovecot.org Dovecot-Pigeonhole] и [https://roundcube.net Roundcube].

== Окончательный результат ==

=== Обработка входящих сообщений ===
pf -> spamd -> opensmtpd -> clamsmtpd -> clamd -> clamsmtpd -> opensmtpd -> spampd -> SpamAssassin -> spampd -> opensmtpd -> deliver to dovecot/lmtp

=== Обработка исходящих сообщений ===
opensmtpd -> clamsmtpd -> clamd -> clamsmtpd -> opensmtpd -> dkimproxy -> opensmtpd -> relay out

=== Дополнительно ===
Доступ посредством IMAP (SSL): Dovecot

Доступ к почте через веб-интерфейса (SSL): httpd и Roundcube

== Почему OpenBSD? ==
Это прекрасная операционная система, созданная и поддерживаемая многими умными людьми. Кроме того, мне нравится, что большое количество великолепного программного обеспечения включено в базовую систему. Если вы найдёте это руководство полезным или откроете как восхитительна OpenBSD, пожалуйста подумайте над тем, чтобы поддержать проект — это может быть приобретение набора компакт дисков<ref>С релиза 6.1, OpenBSD [http://undeadly.org/cgi?action=article&sid=20160901090415 не будет распространяться на CD], но вы по прежнему можете [https://www.openbsdstore.com/cgi-bin/live/ecommerce.pl?site=shop_openbsdeurope_com&state=department приобрести] различные предметы с символикой OpenBSD. прим. переводчика</ref> или сделав [http://www.openbsd.org/donations.html пожертвование]. Команда разработчиков OpenBSD отлично выполняет свою работу, которая приносит пользу всему сообществу и ваша поддержка не будет лишней!

== Зачем SpamAssassin в дополнение к spamd? ==
Spamd отлично работает, не создавая лишней нагрузки. Он отлавливает большую часть моего спама (более 95 %), так что я почти решил отказаться от возни со SpamAssassin. Но подумав, решил что будет интересно попробовать интегрировать их оба.

== Почему не <вставьте имя любимой операционной системы или программы>? ==
Никогда не слышал об этом. ;-)

== Why bother with setting up your own email server to begin with? Why not just keep using Gmail? ==
I used to run my own email server back when I hosted the Linux Reality podcast and decided it would be a fun exercise to try it again. The email server I set up using the steps in this guide might become my primary email server. Or, I might take the server down tomorrow and go back to using AOL and working on my Geocities page. Who knows?

== Assumptions ==
This guide assumes an understanding of how to install and configure OpenBSD and an understanding of networking and email, both in general and in regards to OpenBSD in particular. Additionally, this guide assumes an understanding of how to install packages with a properly configured $PKG_PATH, how to work from the command line and edit configuration files, how to change DNS records and MX records, and other general nuts and bolts. These kinds of basic topics will not be covered in this guide.

== Disclaimer ==
I am an ordinary OpenBSD user. I am not a sysadmin, developer, programmer, kung-fu master, or expert in any of these areas. This guide is mainly a writeup for myself so I can replicate these steps in the future. If someone finds it helpful, fine, but it is by no means the only way or even the best way to configure an email server. There are most likely mistakes in this guide, so take it for what it’s worth and YMMV. If your email breaks because of this guide, then don’t run your own email server. Feedback and corrections are welcome.

== Updates ==
Updated the last line of example smtpd.conf from "for any" to "for domain <vdomains>". Thanks to Christoph on the opensmtpd-misc mailing list.
Removed bit about enabling pf since it's enabled by default. Duh. Also changed notations of port 587 to 'submission' which is the name of that port in /etc/services. Thanks to rjc.

== Resources ==
* OpenBSD FAQ (required)
* OpenBSD man pages (required)
* OpenSMTPD wiki
* Helpful thread on OpenSMTPD mailing list re: tagging and proxying
* http://www.kernel-panic.it/openbsd/mail/ (the bits about ClamAV and SpamAssassing are helpful)
* https://coderwall.com/p/eejzja/simple-smtp-server-with-opensmtpd
* http://blog.ehouse.io/mail-server-basic-smtp.html
* http://blog.admiral0.it/computing/mail-server-with-opensmtpd-dovecot-and-amavisdspamassassin
 

= Initial Setup =

# Install OpenBSD 5.6. If using the auto-partitioner, make sure enough space is allocated to /usr and /usr/src to allow for extracting the sources (below). Edit /etc/rc.conf.local and add «-s» to ntpd_flags so time is set at boot if desired.
# Add a rule to default /etc/pf.conf to allow incoming ssh connections, such as:
#: <code># cat /etc/pf.conf … pass in on egress proto tcp to any port ssh …</code>
# Reload pf with:
#: <code># pfctl -f /etc/pf.conf</code>
# Update the system by [http://www.openbsd.org/faq/faq5.html#BldGetSrc fetching the sources] via ftp and [http://www.openbsd.org/errata60.html patching].
# Set up $PKG_PATH to install packages.
# Configure MX records etc. at domain registrar, perhaps with an unused domain for testing purposes. 

= OpenSMTPD и spamd =
# Read the man page for smtpd and smtpd.conf and review the configuration files.
# Set up virtual users and virtual domains:
#: <code># cat /etc/mail/vusers</code>
#: <code>joe@example.com joe</code>
#: <code>@example.com joe</code>
#: <code>joe@example.net joe</code>
#: <code>@example.net joe</code>
#: 
#: <code># cat /etc/mail/vdomains</code>
#: <code>example.com</code>
#: <code>example.net</code>
#: 
# Create SSL certificates as described in man 5 smtpd.conf:
#: <code># openssl genrsa -out /etc/ssl/private/mail.example.com.key 4096</code>
#: <code># openssl req -new -x509 -key /etc/ssl/private/mail.example.com.key -out /etc/ssl/mail.example.com.crt -days 365</code>
#: <code># chmod 600 /etc/ssl/mail.example.com.crt</code>
#: <code># chmod 600 /etc/ssl/private/mail.example.com.key</code>
#: 
# Create ~/Maildir for user («joe» in this example).
# Edit /etc/mail/smtpd.conf so it listens on egress with tls (for incoming mail) and egress port 587 (submission) with tls and authentication (for outgoing mail), accepts mail for virtual users and virtual domains, and delivers this mail to Maildir. Note that the smtpd.conf man page clearly says: «For each message processed by the daemon, the filter rules are evaluated in sequential order, from first to last. The first matching rule decides what action is taken.» Therefore, the order of the rules in smtpd.conf is very important and will become more important as additional bits are added (e.g. for clamsmtp, spampd, and dkimproxy).
#: <code># cat /etc/mail/smtpd.conf</code>
#: <code>pki mail.example.com certificate "/etc/ssl/mail.example.com.crt"</code>
#: <code>pki mail.example.com key "/etc/ssl/private/mail.example.com.key"</code>
#: 
#: <code>listen on lo0</code>
#: <code>listen on egress tls pki mail.example.com auth-optional</code>
#: <code>listen on egress port submission tls-require pki mail.example.com auth</code>
#: 
#: <code>table aliases db:/etc/mail/aliases.db</code>
#: <code>table vusers file:/etc/mail/vusers</code>
#: <code>table vdomains file:/etc/mail/vdomains</code>
#: 
#: <code>accept for local alias <aliases> deliver to maildir</code>
#: 
#: <code>accept from any for domain <vdomains> virtual <vusers> deliver to maildir</code>
#: <code>accept from local for any relay</code>
#: 
# Edit pf.conf to allow connections on smtp port 25 and port 587, such as:
#: <code># cat /etc/pf.conf</code>
#: <code>...</code>
#: <code>pass in on egress proto tcp to any port smtp</code>
#: <code>pass in on egress proto tcp to any port submission</code>
#: <code>...</code>
#: 
# Reload pf and start /etc/rc.d/smtpd.
# Test sending mail to/from the user’s account. Since there is no imap client yet, might want to install mutt or something similar and point to the user’s ~/Maildir to check incoming mail. The user should be able to connect to OpenSMTPD on port 587 from an outside client to send mail through OpenSMTPD to another party. Sending outbound mail from the command line should also work. Perhaps telnet into the server or run a couple of SMTP checks against the server like this one to verify things are working correctly. The session transcript should look something like this:
#: <code>Connecting to 123.456.789.000</code>
#: 
#: <code>220 mail.example.com ESMTP OpenSMTPD [624 ms]</code>
#: <code>EHLO MXTB-PWS3.mxtoolbox.com</code>
#: <code>250-mail.example.com Hello MXTB-PWS3.mxtoolbox.com [64.20.227.133], pleased to meet you</code>
#: <code>250-8BITMIME</code>
#: <code>250-ENHANCEDSTATUSCODES</code>
#: <code>250-SIZE 36700160</code>
#: <code>250-DSN</code>
#: <code>250-STARTTLS</code>
#: <code>250 HELP [640 ms]</code>
#: <code>MAIL FROM: <supertool@mxtoolbox.com></code>
#: <code>250 2.0.0: Ok [640 ms]</code>
#: <code>RCPT TO: <test@example.com></code>
#: <code>550 Invalid recipient [640 ms]</code>
#: 
#: <code>MXTB-PWS3v2 3260ms</code>
#: 
# If that works, set up spamd. This is a very simple and standard setup and there are lots of resources out there on how to do this, but here is the shorthand: Add spamd_flags="-v" to /etc/rc.conf.local. Edit /etc/mail/spamd.conf to add override/whitelist if desired (file /etc/mail/nospamd in sample pf rules). Add spamd pf rules from example /etc/pf.conf and comment out prior rule that passed smtp on egress (because now we want incoming mail to be redirected to spamd running on localhost port 8025):
#: <code># cat /etc/pf.conf</code>
#: 
#: <code>...</code>
#: <code>#pass in on egress proto tcp to any port smtp</code>
#: <code>pass in on egress proto tcp to any port submission</code>
#: <code># rules for spamd(8)</code>
#: <code>table <spamd-white> persist</code>
#: <code>table <nospamd> persist file "/etc/mail/nospamd"</code>
#: <code>pass in on egress proto tcp from any to any port smtp rdr-to 127.0.0.1 port spamd</code>
#: <code>pass in on egress proto tcp from <nospamd> to any port smtp</code>
#: <code>pass in log on egress proto tcp from <spamd-white> to any port smtp</code>
#: <code> pass out log on egress proto tcp to any port smtp</code>
#: <code>...</code>
#: 
#: Reload pf and start /etc/rc.d/spamd. Check netstat to see if spamd is listening on port 8025:
#: <code># netstat -na -f inet</code>
#: 
# Send test emails again and check logs and 'spamdb' to see if email is getting greylisted. Once spamd is working, those third-party SMTP checks won’t work because spamd is intercepting incoming mail. Same with telnet, if you can stand waiting for the stuttering. ;-) Anyway, now the session transcript should look something like this:
#: <code>Connecting to 123.456.789.000</code>
#: 
#: <code>220 mail.example.com ESMTP spamd IP-based SPAM blocker; Sat Jan 31 11:33:21 2015 [11716 ms]</code>
#: <code>EHLO MXTB-PWS3.mxtoolbox.com</code>
#: <code>250 Hello, spam sender. Pleased to be wasting your time. [640 ms]</code>
#: <code>MAIL FROM: <supertool@mxtoolbox.com></code>
#: <code>250 You are about to try to deliver spam. Your time will be spent, for nothing. [640 ms]</code>
#: <code>RCPT TO: <test@example.com></code>
#: <code>250 This is hurting you more than it is hurting me. [640 ms]</code>
#: 
#: <code>MXTB-PWS3v2 14602ms</code>
#: 
#: Haha. Love spamd.
# So here is what’s happening:
#:
#: '''Incoming mail''':
#: pf -> relay to spamd -> send to opensmtpd on lo0 -> deliver to maildir
#: 
#: '''Outoing mail''':
#: opensmtpd on lo0 -> relay out

= ClamAV and ClamSMTP =
# Install clamav and clamsmtp from packages.
# Edit /etc/freshclam.conf — comment out the «Example» line and uncomment the «DatabaseMirror» line and add the relevant country code in place of the «XY.»
#: <code># cat /etc/freshclam.conf</code>
#: <code>#Example</code>
#: <code>...</code>
#: <code>DatabaseMirror db.us.clamav.net</code>
#: <code>...</code>
#: 
#: Run ‘freshclam’ to update the database. Add a freshclam command to root’s crontab to have periodic updates:
#: <code>20 * * * * /usr/local/bin/freshclam >/dev/null 2>&1</code>
#: 
# Once freshclam has updated the database, edit /etc/clamd.conf. Comment out the «Example» line, uncomment «TCPSocket» and «TCPAddr» lines and change them so clamd listens on port 3310 at 127.0.0.1.
#: <code># cat /etc/clamd.conf</code>
#: <code>#Example</code>
#: <code>...</code>
#: <code>TCPSocket 3310</code>
#: <code>...</code>
#: <code>TCPAddr 127.0.0.1</code>
#: <code>...</code>
#: 
#: Add «clamd» to pkg_scripts in /etc/rc.conf.local and then start clamd. Check netstat -na -f inet to see if clamd is running on 127.0.0.1:3310. Check out both /etc/freshclam.conf and /etc/clamd.conf to look at logging options or actions (in VirusEvent) to take when a virus is found. Can set it up so it drops an email into root’s mailbox when a virus is found.
# Now, set up clamsmtp, which is a proxy for clamd. Two config files will be used, one for incoming mail and one for outgoing mail. OpenSMTPD will accept mail, send it to clamsmtp on one port for incoming mail (10025) and a different port (10027) for outgoing mail. Clamsmtp will run the mail through clamd, and then return it to OpenSMTPD for incoming mail (10026) or outgoing mail (10028). Depending on which port the mail is returned to, OpenSMTPD will tag it CLAM_IN or CLAM_OUT.
#: So copy /etc/clamsmtpd.conf and create /etc/clamsmtpd-in.conf and /etc/clamsmtpd-out.conf. Modify the files like so:
#: <code># cat /etc/clamsmtpd-in.conf</code>
#: <code>OutAddress: 10026</code>
#: <code>...</code>
#: <code>Listen: 0.0.0.0:10025</code>
#: <code>...</code>
#: <code>ClamAddress: 127.0.0.1:3310</code>
#: <code>...</code>
#: 
#: <code># cat /etc/clamsmtpd-out.conf</code>
#: <code>OutAddress: 10028</code>
#: <code>...</code>
#: <code>Listen: 0.0.0.0:10027</code>
#: <code>...</code>
#: <code>ClamAddress: 127.0.0.1:3310</code>
#: <code>...</code>
#: 
# Start them both:
#: <code># /usr/local/sbin/clamsmtpd -f /etc/clamsmtpd-in.conf</code>
#: <code># /usr/local/sbin/clamsmtpd -f /etc/clamsmtpd-out.conf</code>
#: 
#: (add something similar to /etc/rc.local so they start at boot)
# Edit /etc/mail/smtpd.conf so it looks like this:
#: <code># cat /etc/mail/smtpd.conf</code>
#: 
#: <code>pki mail.example.com certificate "/etc/ssl/mail.example.com.crt"</code>
#: <code>pki mail.example.com key "/etc/ssl/private/mail.example.com.key"</code>
#: 
#: <code>listen on lo0</code>
#: <code>listen on lo0 port 10026 tag CLAM_IN # incoming mail</code>
#: <code>listen on lo0 port 10028 tag CLAM_OUT # outgoing mail</code>
#: <code>listen on egress tls pki mail.example.com auth-optional</code>
#: <code>listen on egress port submission tls-require pki mail.example.com auth</code>
#: 
#: <code>table aliases db:/etc/mail/aliases.db</code>
#: <code>table vusers file:/etc/mail/vusers</code>
#: <code>table vdomains file:/etc/mail/vdomains</code>
#: 
#: <code>accept for local alias <aliases> deliver to maildir</code>
#: 
#: <code># tagged mail returned from clamsmtpd either deliver or relay</code>
#: <code>accept tagged CLAM_IN for domain <vdomains> virtual <vusers> deliver to maildir</code>
#: <code>accept tagged CLAM_OUT for any relay</code>
#: 
#: <code># start here - untagged mail is sent to clamsmtpd</code>
#: <code>accept from any for domain <vdomains> relay via smtp://127.0.0.1:10025 # incoming mail</code>
#: <code>accept from local for any relay via smtp://127.0.0.1:10027 # outgoing mail</code>
#: 
#: So here is what’s happening:
#: '''Incoming mail''':
#: pf -> relay to spamd -> send to opensmtpd on lo0 -> relay untagged mail to clamsmtpd on port 10025 -> relay to clamd on port 3310 -> return to clamsmtpd -> return to opensmtpd on lo0 port 10026 and tag it CLAM_IN -> deliver to maildir
#: 
#: '''Outoing mail''':
#: opensmtpd on lo0 -> relay untagged mail to clamsmtpd on port 10027 -> relay to clamd on port 3310 -> return to clamsmtpd -> return to opensmtpd on lo0 port 10028 and tag it CLAM_OUT -> relay out
# Send some emails both ways. This should be in the header:
#: <code>X-Virus-Scanned: ClamAV using ClamSMTP</code>

= SpamAssassin and SpamPD =
# Install p5-Mail-SpamAssassin and spampd from packages.
# Edit /etc/mail/spamassassin/local.cf and uncomment the «rewrite_header» line.
# Spampd will be used as a proxy like clamsmtp. For purposes of this guide, only incoming mail will be scanned. Spampd by default runs on port 10025 but that port is already being used for clamsmtp. So, add the following to /etc/rc.conf.local:
#: <code>spampd_flags="--port=10035 --relayhost=127.0.0.1:10036 --tagall -aw"</code>
#: With these flags, spampd will listen on port 10035 and after processing the mail through SpamAssassin, spampd will relay the mail back to port 10036, where OpenSMTPD will be listening.
#: UPDATE: spampd seems to have trouble binding to the right port (10035 in this case) upon a reboot even with those spampd_flags set in /etc/rc.conf.local. It tries to bind to 10025 which, as noted previously, is being used by clamsmtp, and therefore spampd fails to work and incoming mail has no place to go when opensmtpd tries to relay it to spampd. I have to manually log in and kick spampd to get it to bind to 10035. Still investigating a solution other than changing all the ports around …
#: Add «spamassassin» and «spampd» to pkg_scripts in /etc/rc.conf.local and then start both spamassassin and spampd. A «netstat -na -f inet» should show spampd listening on port 10035.
# Once spampd was processing mail, there were errors in /var/log/maillog along the lines of: «spampd Insecure dependency -T switch at Socket.pm» and it wasn’t working. Turns out spampd needs patching for newer Perl. See this: https://github.com/mpaperno/spampd/issues/2. Here is a patch to /usr/local/sbin/spampd (also found here):
#: <code>--- spampd.orig Thu Jan 29 23:19:45 2015</code>
#: <code>+++ spampd Thu Jan 29 23:21:31 2015</code>
#: <code>@@ -824,6 +824,22 @@ if ( $logsock !~ /^(unix|inet)$/ ) {</code>
#: <code> usage(0);</code>
#: <code> }</code>
#: <code>+# Untaint some options provided by admin command line.</code>
#: <code>+$pidfile =~ /^(.*)$/;</code>
#: <code>+$pidfile = $1;</code>
#: <code>+</code>
#: <code>+$relayhost =~ /^(.*)$/;</code>
#: <code>+$relayhost = $1;</code>
#: <code>+</code>
#: <code>+$relayport =~ /^(.*)$/;</code>
#: <code>+$relayport = $1;</code>
#: <code>+</code>
#: <code>+$host =~ /^(.*)$/;</code>
#: <code>+$host = $1;</code>
#: <code>+</code>
#: <code>+$port =~ /^(.*)$/;</code>
#: <code>+$port = $1;</code>
#: <code>+</code>
#: <code> if ( $options{tagall} ) { $tagall = 1; }</code>
#: <code> if ( $options{'log-rules-hit'} ) { $rh = 1; }</code>
#: <code> if ( $options{debug} ) { $debug = 1; $nsloglevel = 4; }</code>
#: 
# Restart spampd after applying that patch.
# Now, modify /etc/mail/smtpd.conf similar to what was done for clamsmtp:
#: <code># cat /etc/mail/smtpd.conf</code>
#: <code>pki mail.example.com certificate "/etc/ssl/mail.example.com.crt"</code>
#: <code>pki mail.example.com key "/etc/ssl/private/mail.example.com.key"</code>
#: 
#: <code>listen on lo0</code>
#: <code>listen on lo0 port 10026 tag CLAM_IN # incoming mail</code>
#: <code>listen on lo0 port 10028 tag CLAM_OUT # outgoing mail</code>
#: <code>listen on lo0 port 10036 tag SPAM_IN # incoming mail</code>
#: <code>listen on egress tls pki mail.example.com auth-optional</code>
#: <code>listen on egress port submission tls-require pki mail.example.com auth</code>
#: 
#: <code>table aliases db:/etc/mail/aliases.db</code>
#: <code>table vusers file:/etc/mail/vusers</code>
#: <code>table vdomains file:/etc/mail/vdomains</code>
#: 
#: <code>accept for local alias <aliases> deliver to maildir</code>
#: 
#: <code># tagged mail returned from spampd deliver to maildir</code>
#: <code>accept tagged SPAM_IN for domain <vdomains> virtual <vusers> deliver to maildir</code>
#: 
#: <code># tagged mail returned from clamsmtpd either send to spampd or relay</code>
#: <code>accept tagged CLAM_IN for any relay via smtp://127.0.0.1:10035 # send to spampd</code>
#: <code>accept tagged CLAM_OUT for any relay</code>
#: 
#: <code># start here - untagged mail is sent to clamsmtpd</code>
#: <code>accept from any for domain <vdomains> relay via smtp://127.0.0.1:10025 # incoming mail</code>
#: <code>accept from local for any relay via smtp://127.0.0.1:10027 # outgoing mail</code>
#: 
# There were still some errors in /var/log/maillog. First, there was something like this:
#: <code>Feb 03 16:48:44 server spampd[22524]: spf: lookup failed: available_nameservers: No DNS servers available!</code>
#: <code>Feb 03 16:48:44 server spampd[22524]: rules: failed to run USER_IN_DEF_DKIM_WL test, skipping: (available_nameservers: No DNS servers available!)</code>
#: 
#: Turns out, SpamAssassin had broken DNS lookups. Here is the patch to /usr/local/libdata/perl5/site_perl/Mail/SpamAssassin/DnsResolver.pm (also found here):
#: <code>--- DnsResolver.pm.orig Fri Feb 7 03:36:28 2014</code>
#: <code>+++ DnsResolver.pm Thu Nov 13 16:04:01 2014</code>
#: <code>@@ -204,8 +204,10 @@</code>
#: <code> @ns_addr_port = @{$self->{conf}->{dns_servers}};</code>
#: <code> dbg("dns: servers set by config to: %s", join(', ',@ns_addr_port));</code>
#: <code> } elsif ($res) { # default as provided by Net::DNS, e.g. /etc/resolv.conf</code>
#: <code>- @ns_addr_port = map(untaint_var("[$_]:" . $res->{port}),</code>
#: <code>- @{$res->{nameservers}});</code>
#: <code>+ my @ns = $res->UNIVERSAL::can('nameservers') ? $res->nameservers</code>
#: <code>+ : @{$res->{nameservers}};</code>
#: <code>+ my $port = $res->UNIVERSAL::can('port') ? $res->port : $res->{port};</code>
#: <code>+ @ns_addr_port = map(untaint_var("[$_]:" . $port), @ns);</code>
#: <code> dbg("dns: servers obtained from Net::DNS : %s", join(', ',@ns_addr_port));</code>
#: <code> }</code>
#: <code> return @ns_addr_port;</code>
#: 
# Then, there was this:
#: <code>Feb 03 16:48:44 server spampd[22524]: plugin: eval failed: bayes: (in learn) locker: safe_lock: cannot create tmp lockfile /var/spampd/.spamassassin/bayes.lock.mail.example.com.22524 for /var/spampd/.spamassassin/bayes.lock: Permission denied</code>
#: It appeared that although /var/spampd was set to _spampd:_spampd, the /var/spampd/.spamassassin was set to root:_spampd and the permissions were 700 (IIRC). Anyway, chown that directory to also be _spampd:_spampd and then it appears to work fine.
# So now here is what’s happening:
#: '''Incoming mail''':
#: pf -> relay to spamd -> send to opensmtpd on lo0 -> relay untagged mail to clamsmtpd on port 10025 -> relay to clamd on port 3310 -> return to clamsmtpd -> return to opensmtpd on lo0 port 10026 and tag it CLAM_IN -> relay tagged CLAM_IN mail to spampd on port 10035 -> run it through SpamAssassin -> return to spampd -> return to opensmtpd on lo0 port 10036 and tag it SPAM_IN -> deliver to maildir
#: 
#: '''Outoing mail''' (unchanged from before since outgoing mail is not sent to spampd):
#: opensmtpd on lo0 -> relay untagged mail to clamsmtpd on port 10027 -> relay to clamd on port 3310 -> return to clamsmtpd -> return to opensmtpd on lo0 port 10028 and tag it CLAM_OUT -> relay out
# Test again, both ways. Use the GTUBE test to see if it’s flagged as spam. There should be SpamAssassin headers in the incoming email. SpamAssassin can be further set up for Bayesian training and cron entries for running sa-learn on designated directories.

= DKIMproxy =
# Follow the steps here to create public and private keys that will be used by DKIMproxy.
# Create a TXT record for each domain the server will be hosting that looks something like this:
#: <code>selector1._domainkey v=DKIM1; k=rsa; p=KEY_GOES_HERE TXT 1800 TTL</code>
#: 
# Install dkimproxy from ports (no packages available for OpenBSD 5.6). It has no dependencies that aren’t already pulled in from prior packages so it’s an easy and quick build.
# Edit /etc/dkimproxy_out.conf so it looks something like this (note that the default ports are different so they don’t conflict with the earlier clamsmtpd setup):
#: <code># cat /etc/dkimproxy_out.conf</code>
#: <code># specify what address/port DKIMproxy should listen on</code>
#: <code>#listen 127.0.0.1:10027</code>
#: <code>listen 127.0.0.1:10030</code>
#: 
#: <code># specify what address/port DKIMproxy forwards mail to</code>
#: <code>#relay 127.0.0.1:10028</code>
#: <code>relay 127.0.0.1:10029</code>
#: 
#: <code># specify what domains DKIMproxy can sign for (comma-separated, no spaces)</code>
#: <code>#domain example.org</code>
#: <code>domain example.com,example.net</code>
#: 
#: <code># specify what signatures to add</code>
#: <code>signature dkim(c=relaxed)</code>
#: <code>signature domainkeys(c=nofws)</code>
#: 
#: <code># specify location of the private key</code>
#: <code>#keyfile /full/path/to/private.key</code>
#: <code>keyfile /etc/mail/dkim/private.key</code>
#: 
#: <code># specify the selector (i.e. the name of the key record put in DNS)</code>
#: <code>selector selector1</code>
#: <code>...</code>
#: 
#: Since SpamAssassin already does DKIM checking for incoming mail, dkimproxy is only used for outgoing mail to add the DKIM keys etc. to outgoing headers.
# Add «dkimproxy_out» to pkg_scripts in /etc/rc.conf.local and start it up. Again, check netstat -na -f inet to see if it’s listening on port 10030.
# Same drill as before. Edit /etc/mail/smtpd.conf so it looks something like this:
#: <code># cat /etc/mail/smtpd.conf</code>
#: <code>pki mail.example.com certificate "/etc/ssl/mail.example.com.crt"</code>
#: <code>pki mail.example.com key "/etc/ssl/private/mail.example.com.key"</code>
#: 
#: <code>listen on lo0</code>
#: <code>listen on lo0 port 10026 tag CLAM_IN # incoming mail</code>
#: <code>listen on lo0 port 10028 tag CLAM_OUT # outgoing mail</code>
#: <code>listen on lo0 port 10036 tag SPAM_IN # incoming mail</code>
#: <code>listen on lo0 port 10029 tag DKIM_OUT # outgoing mail</code>
#: <code>listen on egress tls pki mail.example.com auth-optional</code>
#: <code>listen on egress port submission tls-require pki mail.example.com auth</code>
#: 
#: <code>table aliases db:/etc/mail/aliases.db</code>
#: <code>table vusers file:/etc/mail/vusers</code>
#: <code>table vdomains file:/etc/mail/vdomains</code>
#: 
#: <code>accept for local alias <aliases> deliver to maildir</code>
#: 
#: <code># tagged mail returned from dkimproxy_out relay out</code>
#: <code>accept tagged DKIM_OUT for any relay</code>
#: 
#: <code># tagged mail returned from spampd deliver to maildir</code>
#: <code>accept tagged SPAM_IN for domain <vdomains> virtual <vusers> deliver to maildir</code>
#: 
#: <code># tagged mail returned from clamsmtpd either send to spampd or dkimproxy_out</code>
#: <code>accept tagged CLAM_IN for any relay via smtp://127.0.0.1:10035 # send to spampd</code>
#: <code>accept tagged CLAM_OUT for any relay via smtp://127.0.0.1:10030 # send to dkimproxy_out</code>
#: 
#: <code># start here - untagged mail is sent to clamsmtpd</code>
#: <code>accept from any for domain <vdomains> relay via smtp://127.0.0.1:10025 # incoming mail</code>
#: <code>accept from local for any relay via smtp://127.0.0.1:10027 # outgoing mail</code>
#: 
# So now here is what’s happening:
#: '''Incoming mail''' (unchanged from before since incoming mail is not using dkimproxy):
#: pf -> relay to spamd -> send to opensmtpd on lo0 -> relay untagged mail to clamsmtpd on port 10025 -> relay to clamd on port 3310 -> return to clamsmtpd -> return to opensmtpd on lo0 port 10026 and tag it CLAM_IN -> -relay tagged CLAM_IN mail to spampd on port 10035 -> run it through SpamAssassin -> return to opensmtpd on lo0 port 10036 and tag it SPAM_IN -> deliver to maildir
#: '''Outoing mail''':
#: opensmtpd on lo0 -> relay untagged mail to clamsmtpd on port 10027 -> relay to clamd on port 3310 -> return to clamsmtpd -> return to opensmtpd on lo0 port 10028 and tag it CLAM_OUT -> relay to dkimproxy on port 10030 -> add DKIM headers -> return to opensmtpd on lo0 port 10029 and tag it DKIM_OUT -> relay out
# Send an email and look at the headers. There should be some DKIM headers for the domain like these:
#: <code>DKIM-Signature: v=1; a=rsa-sha1; c=relaxed; d=example.com; h=from:date</code>
#: <code> :message-id:to:subject; s=selector1; bh=[KEY HASH]</code>
#: <code>DomainKey-Signature: a=rsa-sha1; c=nofws; d=example.com; h=from:date</code>
#: <code> :message-id:to:subject; q=dns; s=selector1; b=[KEY HASH]</code>

= Примечания =

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T04:04:50Z

Ssh: /* DKIMproxy */

= Вступление =
Перевод [http://technoquarter.blogspot.ru/2015/02/openbsd-mail-server.html статьи] Chess Griffin с небольшим количеством комментариев от переводчика, в основном связанных с тем, что с момента релиза [http://www.openbsd.org/56.html OpenBSD 5.6], система стала еще [http://www.openbsd.org/60.html лучше!]

== Цель ==
Создать достаточно безопасный почтовый сервер на базе OpenBSD и нескольких пакетов. OpenSMTPD, spamd, pf и httpd входят в состав базовой системы. Дополнительно потребуются [https://www.clamav.net ClamAV], [http://thewalter.net/stef/software/clamsmtp ClamSMTP], [http://spamassassin.apache.org SpamAssassin], [http://www.worlddesign.com/Content/rd/mta/spampd/spampd.html SpamPD], [http://dkimproxy.sourceforge.net DKIMproxy], [http://www.dovecot.org Dovecot], [http://pigeonhole.dovecot.org Dovecot-Pigeonhole] и [https://roundcube.net Roundcube].

== Окончательный результат ==
=== Обработка входящих сообщений ===
pf -> spamd -> opensmtpd -> clamsmtpd -> clamd -> clamsmtpd -> opensmtpd -> spampd -> SpamAssassin -> spampd -> opensmtpd -> deliver to dovecot/lmtp

=== Обработка исходящих сообщений ===
opensmtpd -> clamsmtpd -> clamd -> clamsmtpd -> opensmtpd -> dkimproxy -> opensmtpd -> relay out

=== Дополнительно ===
Доступ посредством IMAP (SSL): Dovecot

Доступ к почте через веб-интерфейса (SSL): httpd и Roundcube

== Почему OpenBSD? ==
Это прекрасная операционная система, созданная и поддерживаемая многими умными людьми. Кроме того, мне нравится, что большое количество великолепного программного обеспечения включено в базовую систему. Если вы найдёте это руководство полезным или откроете как восхитительна OpenBSD, пожалуйста подумайте над тем, чтобы поддержать проект - это может быть приобретение набора компакт дисков <ref>С релиза 6.1, OpenBSD [http://undeadly.org/cgi?action=article&sid=20160901090415 не будет распространяться на CD], но вы по прежнему можете [https://www.openbsdstore.com/cgi-bin/live/ecommerce.pl?site=shop_openbsdeurope_com&state=department приобрести] различные предметы с символикой OpenBSD. прим. переводчика</ref> или сделав [http://www.openbsd.org/donations.html пожертвование]. Команда разработчиков OpenBSD отлично выполняет свою работу, которая приносит пользу всему сообществу и ваша поддержка не будет лишней!

== Зачем SpamAssassin в дополнение к spamd? ==

Spamd отлично работает, не создавая лишней нагрузки. Он отлавливает большую часть моего спама (более 95%), так что я почти решил отказаться от возни со SpamAssassin. Но подумав, решил что будет интересно попробовать интегрировать их оба.

== Почему не <вставьте имя любимой операционной системы или программы>? ==

Никогда не слышал об этом. ;-)

== Why bother with setting up your own email server to begin with? Why not just keep using Gmail? ==

I used to run my own email server back when I hosted the Linux Reality podcast and decided it would be a fun exercise to try it again. The email server I set up using the steps in this guide might become my primary email server. Or, I might take the server down tomorrow and go back to using AOL and working on my Geocities page. Who knows?

== Assumptions: ==

This guide assumes an understanding of how to install and configure OpenBSD and an understanding of networking and email, both in general and in regards to OpenBSD in particular. Additionally, this guide assumes an understanding of how to install packages with a properly configured $PKG_PATH, how to work from the command line and edit configuration files, how to change DNS records and MX records, and other general nuts and bolts. These kinds of basic topics will not be covered in this guide.

== Disclaimer: ==

I am an ordinary OpenBSD user. I am not a sysadmin, developer, programmer, kung-fu master, or expert in any of these areas. This guide is mainly a writeup for myself so I can replicate these steps in the future. If someone finds it helpful, fine, but it is by no means the only way or even the best way to configure an email server. There are most likely mistakes in this guide, so take it for what it's worth and YMMV. If your email breaks because of this guide, then don't run your own email server. Feedback and corrections are welcome.

== Updates: ==

Updated the last line of example smtpd.conf from "for any" to "for domain <vdomains>". Thanks to Christoph on the opensmtpd-misc mailing list.
Removed bit about enabling pf since it's enabled by default. Duh. Also changed notations of port 587 to 'submission' which is the name of that port in /etc/services. Thanks to rjc.

== Resources: ==
* OpenBSD FAQ (required)
* OpenBSD man pages (required)
* OpenSMTPD wiki
* Helpful thread on OpenSMTPD mailing list re: tagging and proxying
* http://www.kernel-panic.it/openbsd/mail/ (the bits about ClamAV and SpamAssassing are helpful)
* https://coderwall.com/p/eejzja/simple-smtp-server-with-opensmtpd
* http://blog.ehouse.io/mail-server-basic-smtp.html
* http://blog.admiral0.it/computing/mail-server-with-opensmtpd-dovecot-and-amavisdspamassassin
 

= Initial Setup =

# Install OpenBSD 5.6. If using the auto-partitioner, make sure enough space is allocated to /usr and /usr/src to allow for extracting the sources (below). Edit /etc/rc.conf.local and add “-s” to ntpd_flags so time is set at boot if desired.
# Add a rule to default /etc/pf.conf to allow incoming ssh connections, such as:
#:<code># cat /etc/pf.conf … pass in on egress proto tcp to any port ssh …</code>
# Reload pf with:
#:<code># pfctl -f /etc/pf.conf</code>
# Update the system by [http://www.openbsd.org/faq/faq5.html#BldGetSrc fetching the sources] via ftp and [http://www.openbsd.org/errata60.html patching].
# Set up $PKG_PATH to install packages.
# Configure MX records etc. at domain registrar, perhaps with an unused domain for testing purposes. 

= OpenSMTPD и spamd =
# Read the man page for smtpd and smtpd.conf and review the configuration files.
# Set up virtual users and virtual domains:
#:<code># cat /etc/mail/vusers</code>
#:<code>joe@example.com joe</code>
#:<code>@example.com joe</code>
#:<code>joe@example.net joe</code>
#:<code>@example.net joe</code>
#: 
#:<code># cat /etc/mail/vdomains</code>
#:<code>example.com</code>
#:<code>example.net</code>
#: 
# Create SSL certificates as described in man 5 smtpd.conf:
#:<code># openssl genrsa -out /etc/ssl/private/mail.example.com.key 4096</code>
#:<code># openssl req -new -x509 -key /etc/ssl/private/mail.example.com.key -out /etc/ssl/mail.example.com.crt -days 365</code>
#:<code># chmod 600 /etc/ssl/mail.example.com.crt</code>
#:<code># chmod 600 /etc/ssl/private/mail.example.com.key</code>
#: 
# Create ~/Maildir for user ("joe" in this example).
# Edit /etc/mail/smtpd.conf so it listens on egress with tls (for incoming mail) and egress port 587 (submission) with tls and authentication (for outgoing mail), accepts mail for virtual users and virtual domains, and delivers this mail to Maildir. Note that the smtpd.conf man page clearly says: "For each message processed by the daemon, the filter rules are evaluated in sequential order, from first to last. The first matching rule decides what action is taken." Therefore, the order of the rules in smtpd.conf is very important and will become more important as additional bits are added (e.g. for clamsmtp, spampd, and dkimproxy).
#:<code># cat /etc/mail/smtpd.conf</code>
#:<code>pki mail.example.com certificate "/etc/ssl/mail.example.com.crt"</code>
#:<code>pki mail.example.com key "/etc/ssl/private/mail.example.com.key"</code>
#: 
#:<code>listen on lo0</code>
#:<code>listen on egress tls pki mail.example.com auth-optional</code>
#:<code>listen on egress port submission tls-require pki mail.example.com auth</code>
#: 
#:<code>table aliases db:/etc/mail/aliases.db</code>
#:<code>table vusers file:/etc/mail/vusers</code>
#:<code>table vdomains file:/etc/mail/vdomains</code>
#: 
#:<code>accept for local alias <aliases> deliver to maildir</code>
#: 
#:<code>accept from any for domain <vdomains> virtual <vusers> deliver to maildir</code>
#:<code>accept from local for any relay</code>
#: 
# Edit pf.conf to allow connections on smtp port 25 and port 587, such as:
#:<code># cat /etc/pf.conf</code>
#:<code>...</code>
#:<code>pass in on egress proto tcp to any port smtp</code>
#:<code>pass in on egress proto tcp to any port submission</code>
#:<code>...</code>
#: 
# Reload pf and start /etc/rc.d/smtpd.
# Test sending mail to/from the user's account. Since there is no imap client yet, might want to install mutt or something similar and point to the user's ~/Maildir to check incoming mail. The user should be able to connect to OpenSMTPD on port 587 from an outside client to send mail through OpenSMTPD to another party. Sending outbound mail from the command line should also work. Perhaps telnet into the server or run a couple of SMTP checks against the server like this one to verify things are working correctly. The session transcript should look something like this:
#:<code>Connecting to 123.456.789.000</code>
#: 
#:<code>220 mail.example.com ESMTP OpenSMTPD [624 ms]</code>
#:<code>EHLO MXTB-PWS3.mxtoolbox.com</code>
#:<code>250-mail.example.com Hello MXTB-PWS3.mxtoolbox.com [64.20.227.133], pleased to meet you</code>
#:<code>250-8BITMIME</code>
#:<code>250-ENHANCEDSTATUSCODES</code>
#:<code>250-SIZE 36700160</code>
#:<code>250-DSN</code>
#:<code>250-STARTTLS</code>
#:<code>250 HELP [640 ms]</code>
#:<code>MAIL FROM: <supertool@mxtoolbox.com></code>
#:<code>250 2.0.0: Ok [640 ms]</code>
#:<code>RCPT TO: <test@example.com></code>
#:<code>550 Invalid recipient [640 ms]</code>
#: 
#:<code>MXTB-PWS3v2 3260ms</code>
#: 
# If that works, set up spamd. This is a very simple and standard setup and there are lots of resources out there on how to do this, but here is the shorthand: Add spamd_flags=”-v” to /etc/rc.conf.local. Edit /etc/mail/spamd.conf to add override/whitelist if desired (file /etc/mail/nospamd in sample pf rules). Add spamd pf rules from example /etc/pf.conf and comment out prior rule that passed smtp on egress (because now we want incoming mail to be redirected to spamd running on localhost port 8025):
#:<code># cat /etc/pf.conf</code>
#: 
#:<code>...</code>
#:<code>#pass in on egress proto tcp to any port smtp</code>
#:<code>pass in on egress proto tcp to any port submission</code>
#:<code># rules for spamd(8)</code>
#:<code>table <spamd-white> persist</code>
#:<code>table <nospamd> persist file "/etc/mail/nospamd"</code>
#:<code>pass in on egress proto tcp from any to any port smtp rdr-to 127.0.0.1 port spamd</code>
#:<code>pass in on egress proto tcp from <nospamd> to any port smtp</code>
#:<code>pass in log on egress proto tcp from <spamd-white> to any port smtp</code>
#:<code> pass out log on egress proto tcp to any port smtp</code>
#:<code>...</code>
#: 
#:Reload pf and start /etc/rc.d/spamd. Check netstat to see if spamd is listening on port 8025:
#:<code># netstat -na -f inet</code>
#: 
# Send test emails again and check logs and 'spamdb' to see if email is getting greylisted. Once spamd is working, those third-party SMTP checks won't work because spamd is intercepting incoming mail. Same with telnet, if you can stand waiting for the stuttering. ;-) Anyway, now the session transcript should look something like this:
#:<code>Connecting to 123.456.789.000</code>
#: 
#:<code>220 mail.example.com ESMTP spamd IP-based SPAM blocker; Sat Jan 31 11:33:21 2015 [11716 ms]</code>
#:<code>EHLO MXTB-PWS3.mxtoolbox.com</code>
#:<code>250 Hello, spam sender. Pleased to be wasting your time. [640 ms]</code>
#:<code>MAIL FROM: <supertool@mxtoolbox.com></code>
#:<code>250 You are about to try to deliver spam. Your time will be spent, for nothing. [640 ms]</code>
#:<code>RCPT TO: <test@example.com></code>
#:<code>250 This is hurting you more than it is hurting me. [640 ms]</code>
#: 
#:<code>MXTB-PWS3v2 14602ms</code>
#: 
#:Haha. Love spamd.
# So here is what's happening:
#:
#:'''Incoming mail''':
#:pf -> relay to spamd -> send to opensmtpd on lo0 -> deliver to maildir
#: 
#:'''Outoing mail''':
#:opensmtpd on lo0 -> relay out

= ClamAV and ClamSMTP =
# Install clamav and clamsmtp from packages.
# Edit /etc/freshclam.conf -- comment out the “Example” line and uncomment the "DatabaseMirror" line and add the relevant country code in place of the "XY."
#:<code># cat /etc/freshclam.conf</code>
#:<code>#Example</code>
#:<code>...</code>
#:<code>DatabaseMirror db.us.clamav.net</code>
#:<code>...</code>
#: 
#:Run ‘freshclam’ to update the database. Add a freshclam command to root’s crontab to have periodic updates:
#:<code>20 * * * * /usr/local/bin/freshclam >/dev/null 2>&1</code>
#: 
# Once freshclam has updated the database, edit /etc/clamd.conf. Comment out the “Example” line, uncomment “TCPSocket” and “TCPAddr” lines and change them so clamd listens on port 3310 at 127.0.0.1.
#:<code># cat /etc/clamd.conf</code>
#:<code>#Example</code>
#:<code>...</code>
#:<code>TCPSocket 3310</code>
#:<code>...</code>
#:<code>TCPAddr 127.0.0.1</code>
#:<code>...</code>
#: 
#: Add “clamd” to pkg_scripts in /etc/rc.conf.local and then start clamd. Check netstat -na -f inet to see if clamd is running on 127.0.0.1:3310. Check out both /etc/freshclam.conf and /etc/clamd.conf to look at logging options or actions (in VirusEvent) to take when a virus is found. Can set it up so it drops an email into root's mailbox when a virus is found.
# Now, set up clamsmtp, which is a proxy for clamd. Two config files will be used, one for incoming mail and one for outgoing mail. OpenSMTPD will accept mail, send it to clamsmtp on one port for incoming mail (10025) and a different port (10027) for outgoing mail. Clamsmtp will run the mail through clamd, and then return it to OpenSMTPD for incoming mail (10026) or outgoing mail (10028). Depending on which port the mail is returned to, OpenSMTPD will tag it CLAM_IN or CLAM_OUT.
#: So copy /etc/clamsmtpd.conf and create /etc/clamsmtpd-in.conf and /etc/clamsmtpd-out.conf. Modify the files like so:
#:<code># cat /etc/clamsmtpd-in.conf</code>
#:<code>OutAddress: 10026</code>
#:<code>...</code>
#:<code>Listen: 0.0.0.0:10025</code>
#:<code>...</code>
#:<code>ClamAddress: 127.0.0.1:3310</code>
#:<code>...</code>
#: 
#:<code># cat /etc/clamsmtpd-out.conf</code>
#:<code>OutAddress: 10028</code>
#:<code>...</code>
#:<code>Listen: 0.0.0.0:10027</code>
#:<code>...</code>
#:<code>ClamAddress: 127.0.0.1:3310</code>
#:<code>...</code>
#: 
# Start them both:
#:<code># /usr/local/sbin/clamsmtpd -f /etc/clamsmtpd-in.conf</code>
#:<code># /usr/local/sbin/clamsmtpd -f /etc/clamsmtpd-out.conf</code>
#: 
#:(add something similar to /etc/rc.local so they start at boot)
# Edit /etc/mail/smtpd.conf so it looks like this:
#:<code># cat /etc/mail/smtpd.conf</code>
#: 
#:<code>pki mail.example.com certificate "/etc/ssl/mail.example.com.crt"</code>
#:<code>pki mail.example.com key "/etc/ssl/private/mail.example.com.key"</code>
#: 
#:<code>listen on lo0</code>
#:<code>listen on lo0 port 10026 tag CLAM_IN # incoming mail</code>
#:<code>listen on lo0 port 10028 tag CLAM_OUT # outgoing mail</code>
#:<code>listen on egress tls pki mail.example.com auth-optional</code>
#:<code>listen on egress port submission tls-require pki mail.example.com auth</code>
#: 
#:<code>table aliases db:/etc/mail/aliases.db</code>
#:<code>table vusers file:/etc/mail/vusers</code>
#:<code>table vdomains file:/etc/mail/vdomains</code>
#: 
#:<code>accept for local alias <aliases> deliver to maildir</code>
#: 
#:<code># tagged mail returned from clamsmtpd either deliver or relay</code>
#:<code>accept tagged CLAM_IN for domain <vdomains> virtual <vusers> deliver to maildir</code>
#:<code>accept tagged CLAM_OUT for any relay</code>
#: 
#:<code># start here - untagged mail is sent to clamsmtpd</code>
#:<code>accept from any for domain <vdomains> relay via smtp://127.0.0.1:10025 # incoming mail</code>
#:<code>accept from local for any relay via smtp://127.0.0.1:10027 # outgoing mail</code>
#: 
#: So here is what's happening:
#: '''Incoming mail''':
#: pf -> relay to spamd -> send to opensmtpd on lo0 -> relay untagged mail to clamsmtpd on port 10025 -> relay to clamd on port 3310 -> return to clamsmtpd -> return to opensmtpd on lo0 port 10026 and tag it CLAM_IN -> deliver to maildir
#: 
#: '''Outoing mail''':
#: opensmtpd on lo0 -> relay untagged mail to clamsmtpd on port 10027 -> relay to clamd on port 3310 -> return to clamsmtpd -> return to opensmtpd on lo0 port 10028 and tag it CLAM_OUT -> relay out
# Send some emails both ways. This should be in the header:
#:<code>X-Virus-Scanned: ClamAV using ClamSMTP</code>

= SpamAssassin and SpamPD =
# Install p5-Mail-SpamAssassin and spampd from packages.
# Edit /etc/mail/spamassassin/local.cf and uncomment the "rewrite_header" line.
# Spampd will be used as a proxy like clamsmtp. For purposes of this guide, only incoming mail will be scanned. Spampd by default runs on port 10025 but that port is already being used for clamsmtp. So, add the following to /etc/rc.conf.local:
#:<code>spampd_flags="--port=10035 --relayhost=127.0.0.1:10036 --tagall -aw"</code>
#: With these flags, spampd will listen on port 10035 and after processing the mail through SpamAssassin, spampd will relay the mail back to port 10036, where OpenSMTPD will be listening.
#: UPDATE: spampd seems to have trouble binding to the right port (10035 in this case) upon a reboot even with those spampd_flags set in /etc/rc.conf.local. It tries to bind to 10025 which, as noted previously, is being used by clamsmtp, and therefore spampd fails to work and incoming mail has no place to go when opensmtpd tries to relay it to spampd. I have to manually log in and kick spampd to get it to bind to 10035. Still investigating a solution other than changing all the ports around ...
#: Add "spamassassin" and "spampd" to pkg_scripts in /etc/rc.conf.local and then start both spamassassin and spampd. A "netstat -na -f inet" should show spampd listening on port 10035.
# Once spampd was processing mail, there were errors in /var/log/maillog along the lines of: “spampd Insecure dependency -T switch at Socket.pm” and it wasn't working. Turns out spampd needs patching for newer Perl. See this: https://github.com/mpaperno/spampd/issues/2. Here is a patch to /usr/local/sbin/spampd (also found here):
#:<code>--- spampd.orig Thu Jan 29 23:19:45 2015</code>
#:<code>+++ spampd Thu Jan 29 23:21:31 2015</code>
#:<code>@@ -824,6 +824,22 @@ if ( $logsock !~ /^(unix|inet)$/ ) {</code>
#:<code> usage(0);</code>
#:<code> }</code>
#:<code>+# Untaint some options provided by admin command line.</code>
#:<code>+$pidfile =~ /^(.*)$/;</code>
#:<code>+$pidfile = $1;</code>
#:<code>+</code>
#:<code>+$relayhost =~ /^(.*)$/;</code>
#:<code>+$relayhost = $1;</code>
#:<code>+</code>
#:<code>+$relayport =~ /^(.*)$/;</code>
#:<code>+$relayport = $1;</code>
#:<code>+</code>
#:<code>+$host =~ /^(.*)$/;</code>
#:<code>+$host = $1;</code>
#:<code>+</code>
#:<code>+$port =~ /^(.*)$/;</code>
#:<code>+$port = $1;</code>
#:<code>+</code>
#:<code> if ( $options{tagall} ) { $tagall = 1; }</code>
#:<code> if ( $options{'log-rules-hit'} ) { $rh = 1; }</code>
#:<code> if ( $options{debug} ) { $debug = 1; $nsloglevel = 4; }</code>
#: 
# Restart spampd after applying that patch.
# Now, modify /etc/mail/smtpd.conf similar to what was done for clamsmtp:
#:<code># cat /etc/mail/smtpd.conf</code>
#:<code>pki mail.example.com certificate "/etc/ssl/mail.example.com.crt"</code>
#:<code>pki mail.example.com key "/etc/ssl/private/mail.example.com.key"</code>
#: 
#:<code>listen on lo0</code>
#:<code>listen on lo0 port 10026 tag CLAM_IN # incoming mail</code>
#:<code>listen on lo0 port 10028 tag CLAM_OUT # outgoing mail</code>
#:<code>listen on lo0 port 10036 tag SPAM_IN # incoming mail</code>
#:<code>listen on egress tls pki mail.example.com auth-optional</code>
#:<code>listen on egress port submission tls-require pki mail.example.com auth</code>
#: 
#:<code>table aliases db:/etc/mail/aliases.db</code>
#:<code>table vusers file:/etc/mail/vusers</code>
#:<code>table vdomains file:/etc/mail/vdomains</code>
#: 
#:<code>accept for local alias <aliases> deliver to maildir</code>
#: 
#:<code># tagged mail returned from spampd deliver to maildir</code>
#:<code>accept tagged SPAM_IN for domain <vdomains> virtual <vusers> deliver to maildir</code>
#: 
#:<code># tagged mail returned from clamsmtpd either send to spampd or relay</code>
#:<code>accept tagged CLAM_IN for any relay via smtp://127.0.0.1:10035 # send to spampd</code>
#:<code>accept tagged CLAM_OUT for any relay</code>
#: 
#:<code># start here - untagged mail is sent to clamsmtpd</code>
#:<code>accept from any for domain <vdomains> relay via smtp://127.0.0.1:10025 # incoming mail</code>
#:<code>accept from local for any relay via smtp://127.0.0.1:10027 # outgoing mail</code>
#: 
# There were still some errors in /var/log/maillog. First, there was something like this:
#:<code>Feb 03 16:48:44 server spampd[22524]: spf: lookup failed: available_nameservers: No DNS servers available!</code>
#:<code>Feb 03 16:48:44 server spampd[22524]: rules: failed to run USER_IN_DEF_DKIM_WL test, skipping: (available_nameservers: No DNS servers available!)</code>
#: 
#:Turns out, SpamAssassin had broken DNS lookups. Here is the patch to /usr/local/libdata/perl5/site_perl/Mail/SpamAssassin/DnsResolver.pm (also found here):
#:<code>--- DnsResolver.pm.orig Fri Feb 7 03:36:28 2014</code>
#:<code>+++ DnsResolver.pm Thu Nov 13 16:04:01 2014</code>
#:<code>@@ -204,8 +204,10 @@</code>
#:<code> @ns_addr_port = @{$self->{conf}->{dns_servers}};</code>
#:<code> dbg("dns: servers set by config to: %s", join(', ',@ns_addr_port));</code>
#:<code> } elsif ($res) { # default as provided by Net::DNS, e.g. /etc/resolv.conf</code>
#:<code>- @ns_addr_port = map(untaint_var("[$_]:" . $res->{port}),</code>
#:<code>- @{$res->{nameservers}});</code>
#:<code>+ my @ns = $res->UNIVERSAL::can('nameservers') ? $res->nameservers</code>
#:<code>+ : @{$res->{nameservers}};</code>
#:<code>+ my $port = $res->UNIVERSAL::can('port') ? $res->port : $res->{port};</code>
#:<code>+ @ns_addr_port = map(untaint_var("[$_]:" . $port), @ns);</code>
#:<code> dbg("dns: servers obtained from Net::DNS : %s", join(', ',@ns_addr_port));</code>
#:<code> }</code>
#:<code> return @ns_addr_port;</code>
#: 
# Then, there was this:
#:<code>Feb 03 16:48:44 server spampd[22524]: plugin: eval failed: bayes: (in learn) locker: safe_lock: cannot create tmp lockfile /var/spampd/.spamassassin/bayes.lock.mail.example.com.22524 for /var/spampd/.spamassassin/bayes.lock: Permission denied</code>
#: It appeared that although /var/spampd was set to _spampd:_spampd, the /var/spampd/.spamassassin was set to root:_spampd and the permissions were 700 (IIRC). Anyway, chown that directory to also be _spampd:_spampd and then it appears to work fine.
# So now here is what's happening:
#: '''Incoming mail''':
#: pf -> relay to spamd -> send to opensmtpd on lo0 -> relay untagged mail to clamsmtpd on port 10025 -> relay to clamd on port 3310 -> return to clamsmtpd -> return to opensmtpd on lo0 port 10026 and tag it CLAM_IN -> relay tagged CLAM_IN mail to spampd on port 10035 -> run it through SpamAssassin -> return to spampd -> return to opensmtpd on lo0 port 10036 and tag it SPAM_IN -> deliver to maildir
#: 
#: '''Outoing mail''' (unchanged from before since outgoing mail is not sent to spampd):
#: opensmtpd on lo0 -> relay untagged mail to clamsmtpd on port 10027 -> relay to clamd on port 3310 -> return to clamsmtpd -> return to opensmtpd on lo0 port 10028 and tag it CLAM_OUT -> relay out
# Test again, both ways. Use the GTUBE test to see if it’s flagged as spam. There should be SpamAssassin headers in the incoming email. SpamAssassin can be further set up for Bayesian training and cron entries for running sa-learn on designated directories.

= DKIMproxy =
# Follow the steps here to create public and private keys that will be used by DKIMproxy.
# Create a TXT record for each domain the server will be hosting that looks something like this:
#:<code>selector1._domainkey v=DKIM1; k=rsa; p=KEY_GOES_HERE TXT 1800 TTL</code>
#: 
# Install dkimproxy from ports (no packages available for OpenBSD 5.6). It has no dependencies that aren't already pulled in from prior packages so it's an easy and quick build.
# Edit /etc/dkimproxy_out.conf so it looks something like this (note that the default ports are different so they don't conflict with the earlier clamsmtpd setup):
#:<code># cat /etc/dkimproxy_out.conf</code>
#:<code># specify what address/port DKIMproxy should listen on</code>
#:<code>#listen 127.0.0.1:10027</code>
#:<code>listen 127.0.0.1:10030</code>
#: 
#:<code># specify what address/port DKIMproxy forwards mail to</code>
#:<code>#relay 127.0.0.1:10028</code>
#:<code>relay 127.0.0.1:10029</code>
#: 
#:<code># specify what domains DKIMproxy can sign for (comma-separated, no spaces)</code>
#:<code>#domain example.org</code>
#:<code>domain example.com,example.net</code>
#: 
#:<code># specify what signatures to add</code>
#:<code>signature dkim(c=relaxed)</code>
#:<code>signature domainkeys(c=nofws)</code>
#: 
#:<code># specify location of the private key</code>
#:<code>#keyfile /full/path/to/private.key</code>
#:<code>keyfile /etc/mail/dkim/private.key</code>
#: 
#:<code># specify the selector (i.e. the name of the key record put in DNS)</code>
#:<code>selector selector1</code>
#:<code>...</code>
#: 
#: Since SpamAssassin already does DKIM checking for incoming mail, dkimproxy is only used for outgoing mail to add the DKIM keys etc. to outgoing headers.
# Add "dkimproxy_out" to pkg_scripts in /etc/rc.conf.local and start it up. Again, check netstat -na -f inet to see if it's listening on port 10030.
# Same drill as before. Edit /etc/mail/smtpd.conf so it looks something like this:
#:<code># cat /etc/mail/smtpd.conf</code>
#:<code>pki mail.example.com certificate "/etc/ssl/mail.example.com.crt"</code>
#:<code>pki mail.example.com key "/etc/ssl/private/mail.example.com.key"</code>
#: 
#:<code>listen on lo0</code>
#:<code>listen on lo0 port 10026 tag CLAM_IN # incoming mail</code>
#:<code>listen on lo0 port 10028 tag CLAM_OUT # outgoing mail</code>
#:<code>listen on lo0 port 10036 tag SPAM_IN # incoming mail</code>
#:<code>listen on lo0 port 10029 tag DKIM_OUT # outgoing mail</code>
#:<code>listen on egress tls pki mail.example.com auth-optional</code>
#:<code>listen on egress port submission tls-require pki mail.example.com auth</code>
#: 
#:<code>table aliases db:/etc/mail/aliases.db</code>
#:<code>table vusers file:/etc/mail/vusers</code>
#:<code>table vdomains file:/etc/mail/vdomains</code>
#: 
#:<code>accept for local alias <aliases> deliver to maildir</code>
#: 
#:<code># tagged mail returned from dkimproxy_out relay out</code>
#:<code>accept tagged DKIM_OUT for any relay</code>
#: 
#:<code># tagged mail returned from spampd deliver to maildir</code>
#:<code>accept tagged SPAM_IN for domain <vdomains> virtual <vusers> deliver to maildir</code>
#: 
#:<code># tagged mail returned from clamsmtpd either send to spampd or dkimproxy_out</code>
#:<code>accept tagged CLAM_IN for any relay via smtp://127.0.0.1:10035 # send to spampd</code>
#:<code>accept tagged CLAM_OUT for any relay via smtp://127.0.0.1:10030 # send to dkimproxy_out</code>
#: 
#:<code># start here - untagged mail is sent to clamsmtpd</code>
#:<code>accept from any for domain <vdomains> relay via smtp://127.0.0.1:10025 # incoming mail</code>
#:<code>accept from local for any relay via smtp://127.0.0.1:10027 # outgoing mail</code>
#: 
# So now here is what’s happening:
#: '''Incoming mail''' (unchanged from before since incoming mail is not using dkimproxy):
#: pf -> relay to spamd -> send to opensmtpd on lo0 -> relay untagged mail to clamsmtpd on port 10025 -> relay to clamd on port 3310 -> return to clamsmtpd -> return to opensmtpd on lo0 port 10026 and tag it CLAM_IN -> -relay tagged CLAM_IN mail to spampd on port 10035 -> run it through SpamAssassin -> return to opensmtpd on lo0 port 10036 and tag it SPAM_IN -> deliver to maildir
#: '''Outoing mail''':
#: opensmtpd on lo0 -> relay untagged mail to clamsmtpd on port 10027 -> relay to clamd on port 3310 -> return to clamsmtpd -> return to opensmtpd on lo0 port 10028 and tag it CLAM_OUT -> relay to dkimproxy on port 10030 -> add DKIM headers -> return to opensmtpd on lo0 port 10029 and tag it DKIM_OUT -> relay out
# Send an email and look at the headers. There should be some DKIM headers for the domain like these:
#:<code>DKIM-Signature: v=1; a=rsa-sha1; c=relaxed; d=example.com; h=from:date</code>
#:<code> :message-id:to:subject; s=selector1; bh=[KEY HASH]</code>
#:<code>DomainKey-Signature: a=rsa-sha1; c=nofws; d=example.com; h=from:date</code>
#:<code> :message-id:to:subject; q=dns; s=selector1; b=[KEY HASH]</code>

= Примечания =

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T03:56:40Z

Ssh:

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T02:46:53Z

Ssh: /* SpamAssassin and SpamPD */

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T02:32:20Z

Ssh: /* ClamAV and ClamSMTP */

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T02:31:48Z

Ssh:

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T02:28:53Z

Ssh: /* ClamAV and ClamSMTP */

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T02:17:05Z

Ssh:

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T02:01:38Z

Ssh: /* OpenSMTPD и spamd */

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T01:58:47Z

Ssh: /* OpenBSD Mail Server - Part 1, Initial Setup */

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T01:57:47Z

Ssh: /* OpenSMTPD и spamd */

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T01:57:08Z

Ssh: /* OpenSMTPD и spamd */

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T01:39:23Z

Ssh: /* OpenBSD Mail Server - Part 2, OpenSMTPD and spamd */

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T01:27:06Z

Ssh:

Почтовый сервер на базе OpenBSD 6.0

2016-09-15T01:24:06Z

Ssh: /* OpenBSD Mail Server - Part 1, Initial Setup */

Почтовый сервер на базе OpenBSD 6.0

2016-09-14T08:14:41Z

Ssh: /* OpenBSD Mail Server - Part 1, Initial Setup */

Почтовый сервер на базе OpenBSD 6.0

2016-09-14T08:12:08Z

Ssh: /* OpenBSD Mail Server - Part 1, Initial Setup */

Почтовый сервер на базе OpenBSD 6.0

2016-09-14T07:16:03Z

Ssh:

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T14:05:10Z

Ssh: /* Why not ? */

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T13:48:24Z

Ssh: /* Why SpamAssassin in addition to spamd? */

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T13:12:31Z

Ssh: /* Почему OpenBSD? */

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T13:11:52Z

Ssh: /* Resources: */

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T13:11:33Z

Ssh: /* Resources: */

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T13:11:09Z

Ssh: /* Resources: */

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T13:08:50Z

Ssh: /* Почему OpenBSD? */

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T13:07:57Z

Ssh: /* Why OpenBSD? */

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T12:43:15Z

Ssh: /* Дополнительно */

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T12:41:16Z

Ssh: /* Окончательный результат */

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T12:39:15Z

Ssh:

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T12:26:03Z

Ssh: /* Вступление */

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T12:25:38Z

Ssh: /* Цель */

Почтовый сервер на базе OpenBSD 6.0

2016-09-08T12:19:36Z

Ssh: Новая страница: «= Вступление = Перевод [http://technoquarter.blogspot.ru/2015/02/openbsd-mail-server.html статьи] Chess Griffin с небольшим ко…»

Участник:Ssh

2016-09-08T11:23:28Z

Ssh: /* Заметки */

= Заметки =

[[Список открытых портов]]

[[OpenBSD на рабочей станции]]

[["Горячие" клавиши tmux и screen]]

[[OpenBSD doas]]

[[Почтовый сервер на базе OpenBSD 6.0]]

Заглавная страница

2016-01-19T07:18:23Z

Ssh: Воспользовался главред - https://glvrd.ru/

== Неофициальный вики-портал русскоязычного сообщества пользователей [http://www.openbsd.org OpenBSD] ==

Мы объединяем доступную по данной тематике информацию: руководства, заметки, переводы официальной документации, ссылки на [[Перечень Интернет ресурсов о OpenBSD|ресурсы схожей тематики]], интересные примеры конфигурации.

Будем рады новой статье, переводу или исправленной неточности. Завершенные статьи размещены в разделе [[OpenBSD-Wiki:Текущие события]].

Из завершённого пока располагаем только [http://openbsd.pw/files архивом сайтов], с которым и работаем.

Порты доступны на [http://ports.su/ ports.su], а поиск исходников на [http://bxr.su/OpenBSD/ bxr.su]. Короткие адреса руководств BSD раздаются на [http://mdoc.su/ mdoc.su].

Список открытых портов

2016-01-18T02:47:19Z

Ssh:

Поведение [http://www.openbsd.org/cgi-bin/man.cgi?query=netstat netstat(1)] в OpenBSD несколько отличается от аналога в Linux .

Состояние всех сокетов, включая созданные серверными процессами системы (LISTEN):
<pre>$ netstat -na</pre>
Тоже, что и предыдущее, но для конкретной группы протоколов (IPv4, IPv6 и т. д.), в данном случае для IPv4:
<pre>$ netstat -na -f inet</pre>
Отфильтруем порты ожидающие соединения:
<pre>$ netstat -na | grep LISTEN</pre>
На моей системе вывод имеет такой вид:
<pre>tcp 0 0 *.13 *.* LISTEN
tcp 0 0 *.21 *.* LISTEN
tcp 0 0 *.6000 *.* LISTEN
tcp 0 0 127.0.0.1.587 *.* LISTEN
tcp 0 0 127.0.0.1.25 *.* LISTEN
tcp 0 0 *.22 *.* LISTEN
tcp6 0 0 *.13 *.* LISTEN
tcp6 0 0 *.6000 *.* LISTEN
tcp6 0 0 ::1.587 *.* LISTEN
tcp6 0 0 ::1.25 *.* LISTEN
tcp6 0 0 *.22 *.* LISTEN</pre>
Используем [http://www.openbsd.org/cgi-bin/man.cgi?query=fstat fstat(1)] для того, чтобы узнать какой процесс слушает порт:
<pre># fstat | grep ':22'
root sshd 5870 3* internet stream tcp 0xffff800000d8e000 *:22
root sshd 5870 4* internet6 stream tcp 0xffff800000d8e230 *:22</pre>

Перечень Интернет ресурсов о OpenBSD

2015-12-29T02:08:40Z

Ssh: /* Действующие */

== Перечень Интернет ресурсов о OpenBSD ==

=== Действующие ===

{| class="wikitable collapsible"
!colspan="3" style="background:#FFCC00"|Перечень сайтов
|-
!Ресурс||Актуальность||Описание
|-
|[http://www.openbsd.org/faq/index.html www.openbsd.org]||ДА||'''FAQ. Строго обязательно к прочтению!''' [http://www.openbsd.org/faq/ru/ Русскоязычная версия].
|-
|[http://obsd.ru obsd.ru]||ДА||Портал русскоязычного сообщества OpenBSD
|-
|[http://undeadly.org undeadly.org]||ДА||Live-журнал OpenBSD
|-
|[http://freshbsd.org freshbsd.org]||ДА||Все изменения в коде *BSD проектов, в портах отображаются здесь.
|-
|[http://openports.se openports.se]||ДА||Коллекция портов для OpenBSD
|-
|[https://stable.mtier.org stable.mtier.org]||ДА||Коллекция портов для OpenBSD для i386 и amd64
|-
|[http://distrowatch.com/table.php?distribution=openbsd distrowatch.com]||ДА||Информационно-новостной ресурс сообщающий о составе и релизах открытого ПО (Linux / BSD / др.).
|-
|[http://bsdtalk.blogspot.ru bsdtalk.blogspot.ru]||ДА||Аудиозаписи, интервью, размышления на тему *BSD. На английском.
|-
|[http://bsdmag.org bsdmag.org]||ДА||BSD magazine. Популярный журнал о BSD системах. Русские переводы выполненные командой энтузиастов [http://bsdmag.su находятся здесь].
|-
|[http://home.nuug.no/~peter/pf/en/long-firewall.html home.nuug.no]||ДА||Firewalling with OpenBSD’s PF packet filter.
Автор: Peter N. M. Hansteen. Основополагающая вещь, читать всем! [http://rlworkman.net/howtos/OpenBSD_pf_guide.html Устаревшая версия 2006 г. Firewalling with OpenBSD’s PF packet filter.] [http://home.nuug.no/~peter/pf/eurobsdcon2012 Ещё eurobsdcon2012] от него же.
|-
|[http://www.openbsdsupport.org www.openbsdsupport.org]||ДА||OpenBSD Users Documentation project
|-
|[http://www.opennet.ru/search.shtml?method=and&format=builtin-long&config=htdig&restrict=&exclude=&words=openbsd www.opennet.ru]||ДА||The OpenNet Project. Популярный портал посвященный открытому ПО. Содержит новости, советы. Имеется форум.
|-
|[https://calomel.org calomel.org]||ДА||Богатый сборник how-to по OpenBSD. Актуализирован под OpenBSD 5.x!
|-
|[http://www.lissyara.su www.lissyara.su]||4.x||Личный сайт BSD’шника под ником '''lissyara''', богатый справочник по FreeBSD и OpenBSD. Актуален для старых версий.
|-
|[http://habrahabr.ru/search/?q=openbsd habrahabr.ru]||Сомнительно||Сверхпопулярный IT-blog. Доступные на нем записи о OpenBSD.
|-
|[http://www.kernel-panic.it/openbsd.html www.kernel-panic.it]||Сомнительно||Сборник руководств по OpenBSD.
|-
|[http://www.monkey.org/misc www.monkey.org]||Неизвестно||OpenBSD is for monkeys
|-
|[http://www.trumpetpower.com/OpenBSD/Meta-FAQ www.trumpetpower.com]||Неизвестно||OpenBSD Meta-FAQ
|-
|[http://tuxmobil.org/mobile_bsd.html tuxmobil.org]||Неизвестно||FreeBSD, NetBSD, OpenBSD, DragonFly and Mobile Computers (Laptops, Notebooks, PDAs, Mobile Phones)
|-
|[http://blog.bronevichok.ru/ blog.bronevichok.ru]||Да||Блог Сергея Бронникова
|-
|[http://www.read-and-think.org/openbsd5_tools_xterm_fvwm_fonts.html www.read-and-think.org]||Да||Библия для людей, работающих с командной строкой. Так же по ссылке масса информации по настройке русского языка и шрифтов в OpenBSD и UTF-8.
|-
|}

=== Отдельные информационные статьи, записки, заметки ===

{| class="wikitable collapsible"
!colspan="3" style="background:#FFCC00"|Перечень статей
|-
!Ресурс||Актуальность||Описание
|-
|[http://www.vpnc.org/InteropProfiles/OpenBSD.html www.vpnc.org]||-||OpenBSD Documentation Examples for IPsec Interoperability
|-
|[http://www.nomoa.com/bsd/index.html www.nomoa.com]||-||Установка и настройка OpenBSD сервера
|-
|[http://www.realo.ca/BSDinstall.html www.realo.ca]||-||A Step-by-Step Guide to Building an OpenBSD PPPoE Gateway, with Firewall
|-
|[http://pestilenz.org/~bauerm/tor-openbsd-howto.html pestilenz.org]||-||Установка Tor Wiki в Apache chroot
|-
|[http://disorder.ru/archives/category/openbsd disorder.ru]||-||Александр Юрченко является разработчиком OpenBSD из России. Ведёт заметки об OpenBSD на своём блоге
|-
|[http://citforum.ru/operating_systems/openbsd citforum.ru]||-|| Документация по OpenBSD на citforum.ru
|}

== Недействующие ==

Информацию можно просмотреть через [http://archive.org/web/web.php archive.org]

{| class="wikitable collapsible"
!colspan="2" style="background:#FFCC00"|Архив сайтов
|-
!Ресурс||Описание
|-
|[http://web.archive.org/web/*/http://openbsd.ru openbsd.ru]||Главный портал русскоязычного сообщества OpenBSD.
|-
|[http://web.archive.org/web/*/http://openbsd101.com openbsd101.com]||Сборник how-to для начинающих.
|-
|[http://web.archive.org/web/*/http://kaw.ath.cx/openbsd/?FuguIta FuguIta]||Проект FuguIta в рамках которого формируют LiveCD сборки OpenBSD.
|-
|[http://web.archive.org/web/*/http://www.synack.ru www.synack.ru]||Хороший blog по *BSD \ Linux \ VoIP и др.
|-
|[http://web.archive.org/web/*/https://www.dmoz.org www.dmoz.org]||Сборник статей по OpenBSD.
|-
|[http://web.archive.org/web/*/http://www.infobsd.org www.infobsd.org]||InfoBSD.
|}

[[Категория:Общая информация]]

Перечень Интернет ресурсов о OpenBSD

2015-12-29T02:04:13Z

Ssh: Перенёс неработающие ресурсы в раздел неактуальных.

== Перечень Интернет ресурсов о OpenBSD ==

=== Действующие ===

{| class="wikitable collapsible"
!colspan="3" style="background:#FFCC00"|Перечень сайтов
|-
!Ресурс||Актуальность||Описание
|-
|[http://www.openbsd.org/faq/index.html www.openbsd.org]||ДА||'''FAQ. Строго обязательно к прочтению!''' [http://www.openbsd.org/faq/ru/ Русскоязычная версия].
|-
|[http://obsd.ru obsd.ru]||ДА||Портал русскоязычного сообщества OpenBSD
|-
|[http://undeadly.org undeadly.org]||ДА||Live-журнал OpenBSD
|-
|[http://freshbsd.org freshbsd.org]||ДА||Все изменения в коде *BSD проектов, в портах отображаются здесь.
|-
|[http://openports.se openports.se]||ДА||Коллекция портов для OpenBSD
|-
|[https://stable.mtier.org stable.mtier.org]||ДА||Коллекция портов для OpenBSD для i386 и amd64
|-
|[http://distrowatch.com/table.php?distribution=openbsd distrowatch.com]||ДА||Информационно-новостной ресурс сообщающий о составе и релизах открытого ПО (Linux / BSD / др.).
|-
|[http://bsdtalk.blogspot.ru bsdtalk.blogspot.ru]||ДА||Аудиозаписи, интервью, размышления на тему *BSD. На английском.
|-
|[http://bsdmag.org bsdmag.org]||ДА||BSD magazine. Популярный журнал о BSD системах. Русские переводы выполненные командой энтузиастов [http://bsdmag.su находятся здесь].
|-
|[http://home.nuug.no/~peter/pf/en/long-firewall.html home.nuug.no]||ДА||Firewalling with OpenBSD’s PF packet filter.
Автор: Peter N. M. Hansteen. Основополагающая вещь, читать всем! [http://home.nuug.no/~peter/pf/eurobsdcon2012 Ещё eurobsdcon2012] от него же.
|-
|[http://rlworkman.net/howtos/OpenBSD_pf_guide.html rlworkman.net]||Нет||Устаревшая версия 2006 г. Firewalling with OpenBSD’s PF packet filter.
Автор: Peter N. M. Hansteen.
|-
|[http://www.openbsdsupport.org www.openbsdsupport.org]||ДА||OpenBSD Users Documentation project
|-
|[http://www.opennet.ru/search.shtml?method=and&format=builtin-long&config=htdig&restrict=&exclude=&words=openbsd www.opennet.ru]||ДА||The OpenNet Project. Популярный портал посвященный открытому ПО. Содержит новости, советы. Имеется форум.
|-
|[https://calomel.org calomel.org]||ДА||Богатый сборник how-to по OpenBSD. Актуализирован под OpenBSD 5.x!
|-
|[http://www.lissyara.su www.lissyara.su]||4.x||Личный сайт BSD’шника под ником '''lissyara''', богатый справочник по FreeBSD и OpenBSD. Актуален для старых версий.
|-
|[http://habrahabr.ru/search/?q=openbsd habrahabr.ru]||Сомнительно||Сверхпопулярный IT-blog. Доступные на нем записи о OpenBSD.
|-
|[http://www.kernel-panic.it/openbsd.html www.kernel-panic.it]||Сомнительно||Сборник руководств по OpenBSD.
|-
|[http://www.monkey.org/misc www.monkey.org]||Неизвестно||OpenBSD is for monkeys
|-
|[http://www.trumpetpower.com/OpenBSD/Meta-FAQ www.trumpetpower.com]||Неизвестно||OpenBSD Meta-FAQ
|-
|[http://tuxmobil.org/mobile_bsd.html tuxmobil.org]||Неизвестно||FreeBSD, NetBSD, OpenBSD, DragonFly and Mobile Computers (Laptops, Notebooks, PDAs, Mobile Phones)
|-
|[http://blog.bronevichok.ru/ blog.bronevichok.ru]||Да||Блог Сергея Бронникова
|-
|[http://www.read-and-think.org/openbsd5_tools_xterm_fvwm_fonts.html www.read-and-think.org]||Да||Библия для людей, работающих с командной строкой. Так же по ссылке масса информации по настройке русского языка и шрифтов в OpenBSD и UTF-8.
|-
|}

=== Отдельные информационные статьи, записки, заметки ===

{| class="wikitable collapsible"
!colspan="3" style="background:#FFCC00"|Перечень статей
|-
!Ресурс||Актуальность||Описание
|-
|[http://www.vpnc.org/InteropProfiles/OpenBSD.html www.vpnc.org]||-||OpenBSD Documentation Examples for IPsec Interoperability
|-
|[http://www.nomoa.com/bsd/index.html www.nomoa.com]||-||Установка и настройка OpenBSD сервера
|-
|[http://www.realo.ca/BSDinstall.html www.realo.ca]||-||A Step-by-Step Guide to Building an OpenBSD PPPoE Gateway, with Firewall
|-
|[http://pestilenz.org/~bauerm/tor-openbsd-howto.html pestilenz.org]||-||Установка Tor Wiki в Apache chroot
|-
|[http://disorder.ru/archives/category/openbsd disorder.ru]||-||Александр Юрченко является разработчиком OpenBSD из России. Ведёт заметки об OpenBSD на своём блоге
|-
|[http://citforum.ru/operating_systems/openbsd citforum.ru]||-|| Документация по OpenBSD на citforum.ru
|}

== Недействующие ==

Информацию можно просмотреть через [http://archive.org/web/web.php archive.org]

{| class="wikitable collapsible"
!colspan="2" style="background:#FFCC00"|Архив сайтов
|-
!Ресурс||Описание
|-
|[http://web.archive.org/web/*/http://openbsd.ru openbsd.ru]||Главный портал русскоязычного сообщества OpenBSD.
|-
|[http://web.archive.org/web/*/http://openbsd101.com openbsd101.com]||Сборник how-to для начинающих.
|-
|[http://web.archive.org/web/*/http://kaw.ath.cx/openbsd/?FuguIta FuguIta]||Проект FuguIta в рамках которого формируют LiveCD сборки OpenBSD.
|-
|[http://web.archive.org/web/*/http://www.synack.ru www.synack.ru]||Хороший blog по *BSD \ Linux \ VoIP и др.
|-
|[http://web.archive.org/web/*/https://www.dmoz.org www.dmoz.org]||Сборник статей по OpenBSD.
|-
|[http://web.archive.org/web/*/http://www.infobsd.org www.infobsd.org]||InfoBSD.
|}

[[Категория:Общая информация]]

Перечень Интернет ресурсов о OpenBSD

2015-12-29T02:02:38Z

Ssh: /* Недействующие */

== Перечень Интернет ресурсов о OpenBSD ==

=== Действующие ===

{| class="wikitable collapsible"
!colspan="3" style="background:#FFCC00"|Перечень сайтов
|-
!Ресурс||Актуальность||Описание
|-
|[http://www.openbsd.org/faq/index.html www.openbsd.org]||ДА||'''FAQ. Строго обязательно к прочтению!''' [http://www.openbsd.org/faq/ru/ Русскоязычная версия].
|-
|[http://obsd.ru obsd.ru]||ДА||Портал русскоязычного сообщества OpenBSD
|-
|[http://undeadly.org undeadly.org]||ДА||Live-журнал OpenBSD
|-
|[http://freshbsd.org freshbsd.org]||ДА||Все изменения в коде *BSD проектов, в портах отображаются здесь.
|-
|[http://openports.se openports.se]||ДА||Коллекция портов для OpenBSD
|-
|[https://stable.mtier.org stable.mtier.org]||ДА||Коллекция портов для OpenBSD для i386 и amd64
|-
|[http://distrowatch.com/table.php?distribution=openbsd distrowatch.com]||ДА||Информационно-новостной ресурс сообщающий о составе и релизах открытого ПО (Linux / BSD / др.).
|-
|[http://bsdtalk.blogspot.ru bsdtalk.blogspot.ru]||ДА||Аудиозаписи, интервью, размышления на тему *BSD. На английском.
|-
|[http://bsdmag.org bsdmag.org]||ДА||BSD magazine. Популярный журнал о BSD системах. Русские переводы выполненные командой энтузиастов [http://bsdmag.su находятся здесь].
|-
|[http://home.nuug.no/~peter/pf/en/long-firewall.html home.nuug.no]||ДА||Firewalling with OpenBSD’s PF packet filter.
Автор: Peter N. M. Hansteen. Основополагающая вещь, читать всем! [http://home.nuug.no/~peter/pf/eurobsdcon2012 Ещё eurobsdcon2012] от него же.
|-
|[http://kaw.ath.cx/openbsd/?FuguIta FuguIta]||ДА||Проект FuguIta в рамках которого формируют LiveCD сборки OpenBSD.
|-
|[http://rlworkman.net/howtos/OpenBSD_pf_guide.html rlworkman.net]||Нет||Устаревшая версия 2006 г. Firewalling with OpenBSD’s PF packet filter.
Автор: Peter N. M. Hansteen.
|-
|[http://www.openbsdsupport.org www.openbsdsupport.org]||ДА||OpenBSD Users Documentation project
|-
|[http://www.opennet.ru/search.shtml?method=and&format=builtin-long&config=htdig&restrict=&exclude=&words=openbsd www.opennet.ru]||ДА||The OpenNet Project. Популярный портал посвященный открытому ПО. Содержит новости, советы. Имеется форум.
|-
|[http://www.synack.ru www.synack.ru]||ДА||Хороший blog по *BSD \ Linux \ VoIP и др.
|-
|[https://calomel.org calomel.org]||ДА||Богатый сборник how-to по OpenBSD. Актуализирован под OpenBSD 5.x!
|-
|[http://www.lissyara.su www.lissyara.su]||4.x||Личный сайт BSD’шника под ником '''lissyara''', богатый справочник по FreeBSD и OpenBSD. Актуален для старых версий.
|-
|[http://habrahabr.ru/search/?q=openbsd habrahabr.ru]||Сомнительно||Сверхпопулярный IT-blog. Доступные на нем записи о OpenBSD.
|-
|[http://www.kernel-panic.it/openbsd.html www.kernel-panic.it]||Сомнительно||Сборник руководств по OpenBSD.
|-
|[https://www.dmoz.org www.dmoz.org]||Неизвестно||Сборник статей по OpenBSD.
|-
|[http://www.monkey.org/misc www.monkey.org]||Неизвестно||OpenBSD is for monkeys
|-
|[http://www.trumpetpower.com/OpenBSD/Meta-FAQ www.trumpetpower.com]||Неизвестно||OpenBSD Meta-FAQ
|-
|[http://www.infobsd.org/default.htm www.infobsd.org]||Неизвестно||InfoBSD
|-
|[http://tuxmobil.org/mobile_bsd.html tuxmobil.org]||Неизвестно||FreeBSD, NetBSD, OpenBSD, DragonFly and Mobile Computers (Laptops, Notebooks, PDAs, Mobile Phones)
|-
|[http://blog.bronevichok.ru/ blog.bronevichok.ru]||Да||Блог Сергея Бронникова
|-
|[http://www.read-and-think.org/openbsd5_tools_xterm_fvwm_fonts.html www.read-and-think.org]||Да||Библия для людей, работающих с командной строкой. Так же по ссылке масса информации по настройке русского языка и шрифтов в OpenBSD и UTF-8.
|-
|}

=== Отдельные информационные статьи, записки, заметки ===

{| class="wikitable collapsible"
!colspan="3" style="background:#FFCC00"|Перечень статей
|-
!Ресурс||Актуальность||Описание
|-
|[http://www.vpnc.org/InteropProfiles/OpenBSD.html www.vpnc.org]||-||OpenBSD Documentation Examples for IPsec Interoperability
|-
|[http://www.nomoa.com/bsd/index.html www.nomoa.com]||-||Установка и настройка OpenBSD сервера
|-
|[http://www.realo.ca/BSDinstall.html www.realo.ca]||-||A Step-by-Step Guide to Building an OpenBSD PPPoE Gateway, with Firewall
|-
|[http://pestilenz.org/~bauerm/tor-openbsd-howto.html pestilenz.org]||-||Установка Tor Wiki в Apache chroot
|-
|[http://disorder.ru/archives/category/openbsd disorder.ru]||-||Александр Юрченко является разработчиком OpenBSD из России. Ведёт заметки об OpenBSD на своём блоге
|-
|[http://citforum.ru/operating_systems/openbsd citforum.ru]||-|| Документация по OpenBSD на citforum.ru
|}

== Недействующие ==

Информацию можно просмотреть через [http://archive.org/web/web.php archive.org]

{| class="wikitable collapsible"
!colspan="2" style="background:#FFCC00"|Архив сайтов
|-
!Ресурс||Описание
|-
|[http://web.archive.org/web/*/http://openbsd.ru openbsd.ru]||Главный портал русскоязычного сообщества OpenBSD.
|-
|[http://web.archive.org/web/*/http://openbsd101.com openbsd101.com]||Сборник how-to для начинающих.
|-
|[http://web.archive.org/web/*/http://kaw.ath.cx/openbsd/?FuguIta FuguIta]||Проект FuguIta в рамках которого формируют LiveCD сборки OpenBSD.
|-
|[http://web.archive.org/web/*/http://www.synack.ru www.synack.ru]||Хороший blog по *BSD \ Linux \ VoIP и др.
|-
|[http://web.archive.org/web/*/https://www.dmoz.org www.dmoz.org]||Сборник статей по OpenBSD.
|-
|[http://web.archive.org/web/*/http://www.infobsd.org www.infobsd.org]||InfoBSD.
|}

[[Категория:Общая информация]]

OpenBSD на рабочей станции

2015-12-28T06:21:38Z

Ssh: /* Настройка производительности */

Вольный перевод статьи [http://eradman.com Eric Radman] [http://eradman.com/posts/openbsd-workstation.html An OpenBSD Workstation] с некоторыми дополнениями учитывающими изменения пришедшие в свежих релизах.

== Выключение системы нажатием на кнопку питания ==

Безопасное выключение компьютера нажатием на кнопку питания возможно после передачи ядру параметра:
<pre># /etc/sysctl.conf
hw.allowpowerdown=1</pre>
Параметр может быть установлен только до перехода системы к уровню безопасности 1, подробнее в [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man7/securelevel.7?query=securelevel securelevel(7)].

== Больше никаких раздражающих сигналов ==

Одна из многих вещей, которую узнаешь прочитав [http://nostarch.com/obenbsd2e Absolute OpenBSD] - это как отключить раздражающий [http://en.wikipedia.org/wiki/Bell_character сигнал]:
<pre># /etc/wsconsctl.conf
keyboard.bell.volume=0</pre>

Начиная с релиза [http://www.openbsd.org/54.html 5.4] способ с '''wsconsctl''' больше не работает. Отключить сигнал можно так:
<pre># ~/.xinitrc
xset -b</pre>
или
<pre># /etc/rc.conf.local
mixerctl inputs.spkr.mute=on</pre>

== Монтирование съемных устройств пользователем ==

Удобно, когда можно смонтировать DVD или флеш-носитель без повышения привилегий, используя для этого членство в группе '''operator'''.
<pre># usermod -G operator eradman
# chmod g=rw /dev/cd0*</pre>
Остаётся изменить параметр ядра и можно пользоваться.
<pre># sysctl kern.usermount=1</pre>
<pre>$ mkdir -p mount/cdrom
$ mount /dev/cd0c mount/cdrom</pre>

== Suspend & Resume ==

OpenBSD обладает хорошей поддержкой ACPI, подробнее в [http://www.openbsd.org/cgi-bin/man.cgi?query=apmd&apropos=0&sektion=0&manpath=OpenBSD+Current&arch=i386&format=html apmd(8)]. zzz и ZZZ быстрый способ перехода в режимы suspend и hibernate, если apmd запускается при загрузке.
<pre># rc.conf.local
apmd_flags="-A"</pre>
"'''-A'''" будет автоматически масштабировать частоту CPU для оптимального энергопотребления.

Начиная с выпуска [http://www.openbsd.org/56.html 5.6], управление сервисами осуществляется посредством утилиты [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man8/rcctl.8?query=rcctl rcctl(8)].
<pre># rcctl getdef apmd
apmd_flags=NO
…
# rcctl enable apmd
…
# rcctl getdef apmd
apmd_flags=</pre>

== X Configuration: .xinitrc ==

<pre># ~/.xinitrc

redshift -O 5600

while true; do
batt="$(sysctl -n hw.sensors.acpibat0.watthour3 | cut -f1,2 -d" ")"
xsetroot -name "$batt"
sleep 60
done &
xsetroot -solid steelblue &
exec dwm</pre>

[http://jonls.dk/redshift/ redshift] утилита предназначена для регулировки цветовой температуры экрана в зависимости от вашего окружения. Это работает и в случае ручной регулировки цветовой температуры. Например, подсветка экрана IBM T60p автора статьи по умолчанию "холодная", поэтому он изменяет значение цветовую температуры с 6500K до 5600K.

Запускаем циклический опрос сенсора времени жизни батареи (battery life (Wh)) с интервалом один раз в 60 сек, а полученное значение выводим "поверх" корневого окна.

Установим цвет фона и запустить свой любимый менеджер окон.

==Переключение на внешний монитор==
Разрешение дисплея на рабочем месте немного выше чем дисплея ноутбука, небольшой скрипт для переключения на внешний монитор:
<pre>#!/bin/sh
xrandr --output LVDS --off
xrandr --output VGA-0 --off
xrandr --output DVI-0 --auto
redshift -O 6200</pre>

По моему опыту, X11 иногда скрывает курсор мыши, если возобновление работы системы происходило при подключенном внешнем мониторе. Для решения я использовал [http://sourceforge.net/projects/unclutter/ unclutter] - утилиту скрывающую курсор мыши когда он неподвижен и восстанавливающую его как только он переместился.
<pre>pkill unclutter
unclutter -idle 1 -root -grab -visible &</pre>

Лично мне больше нравится немного другой вариант:
<pre>xrandr --query | grep "VGA1 connected" && xrandr --output LVDS1 --off --output VGA1 --mode 1920x1080</pre>

==Подключение проектора==

Если X-сервер запускается когда проектор подключен к VGA порту, то скорее всего сервер установит для встроенного и внешнего дисплеев одинаковое разрешение. На T60 например, это можно изменить:
<pre>xrandr --output LVDS --mode 1400x1050</pre>

Используя --query можно узнать какие режимы поддерживаются дисплеем, then I set up a viewport that pans with the mouse pointer
<pre>xrandr --output VGA-0 --mode 1024x768 --panning 1400x1050</pre>

Так же, я добавил в .xinitrc команды для автоматической конфигурации дисплеев, если при запуске X-сервера внешний монитор уже подключен:
<pre>xrandr --query | grep "DVI-0 connected" && ~/bin/docked-dvi
xrandr --query | grep "VGA-0 connected" && ~/bin/docked-vga</pre>

==tmux - мультиплексор терминалов==

Несколько дополнений в мою конфигурацию мультиплексора терминалов. Я часто запускаю [http://entrproject.org/ entr] в небольшой панели снизу.
<pre>bind-key C-t split-window -p 25</pre>

Не знаю палитры цветов терминала, но её можно распечатать:
<pre>#!/bin/ksh

for i in `jot 255`; do
printf "\033[38;5;${i}mcolour${i}\n"
done</pre>

Фон строки состояния и границы активного окна ярко-зеленый:
<pre>set -g status-bg colour118
set -g pane-active-border-fg colour118
set -g pane-border-fg colour30</pre>

Таблица с сопоставлением [["Горячие" клавиши tmux и screen | клавиатурных комбинаций для tmux и screen]]

==Использование шифрования для дисков==
OpenBSD предоставляет программный RAID как виртуальный хост-адаптер шины ([https://ru.wikipedia.org/wiki/HBA HBA]). Также HBA применяется для настройки и использования шифрования дисков. Посредством [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man8/disklabel.8 disklabel(8)] установим тип раздела RAID (в оригинальной статье автор использует блочное устройство '''/dev/sd0c''' как шифрованный том, монтируемый в '''/home'''):
<pre>$ sudo disklabel -E /dev/sd0c
Label editor (enter '?' for help at any prompt)
g: 55641600 100653824 RAID
> m g
offset: [100653824]
size: [55641600]
FS type: [4.2BSD] RAID</pre>

Для настройки шифрования используем [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man8/bioctl.8 bioctl(8)] с параметром -c C:
<pre># bioctl -c C -l /dev/sd0g softraid0
New passphrase: My Crypto Pass Phrase
Re-type passphrase: My Crypto Pass Phrase
softraid0: CRYPTO volume attached as sd1</pre>

Монтирование выполняется той же командой, журнал ядра сообщит о появлении нового виртуального устройства:
<pre>sd1 at scsibus2 targ 1 lun 0: <OPENBSD, SR CRYPTO, 005> SCSI2 0/direct fixed
sd1: 27168MB, 512 bytes/sector, 55641072 sectors</pre>

Разметим и отформатируем шифрованный том:
<pre>$ sudo disklabel -E /dev/sd1c
...
$ sudo newfs /dev/rsd1a</pre>

Устройства в OpenBSD могут монтироваться по имени или с использованием disklabel UID, который случайным образом генерируется при разметке:
<pre>$ disklabel /dev/sd1a | grep uid
duid: 779d87bac3905122</pre>

Полученный UID используется для монтирования тома, что позволяет избежать путаницы при. Код ниже, позволит выполнить четыре попытки ввода ключевой фразы для дешифрации тома:
<pre>#/etc/rc.local
for attept in 1 2 3 4; do
bioctl -c C -l c3e2f405c96a8e10.g softraid0 && break
sleep 1
done
fsck /dev/rsd1a
mount -o nodev,nosuid,softdep 779d87bac3905122.a /home</pre>

Если необходим полностью шифрованный загрузочный том, ознакомьтесь с [http://www.tedunangst.com/flak/post/OpenBSD-softraid-crypto-boot публикацией] Ted Unangst.

==Уменьшим "возню" с паролями с помощью YubiKey==

[https://www.yubico.com/ Yubico] выпускают небольшие аппаратные ключи, которые используются для авторизации с использованием одноразовых паролей ([https://ru.wikipedia.org/wiki/%D0%9E%D0%B4%D0%BD%D0%BE%D1%80%D0%B0%D0%B7%D0%BE%D0%B2%D1%8B%D0%B9_%D0%BF%D0%B0%D1%80%D0%BE%D0%BB%D1%8C OTP]). Yubikey-personalization-gui - это QT-приложение, которое может быть использовано для записи приватных ключей в один из двух слотов. Запишите без пробелов 6-байт в файл приватной? идентификации и 16-байт в файл ключа:
<pre>echo "5c e1 e0 3e 63 a4" \
| tr -d ' ' > /var/db/yubikey/$USER.id
echo "57 e3 af 3e 9b 51 2b 10 58 7d 33 fb d9 08 ef 7b" \
| tr -d ' ' > /var/db/yubikey/$USER.key
chmod 600 /var/db/yubikey/$USER.*</pre>

Настроим YubiKey в качестве метода локальной авторизации и авторизации через SSH.

<pre># Default allowed authentication styles
auth-defaults:auth=yubikey,passwd,skey:</pre>

Перестроим БД авторизации - '''login.conf'''

<pre>cap_mkdb /etc/login.conf</pre>

Для уменьшения количества вводимых символов, второй слот YubiKey используется как относительно безопасный метод активации [http://www.openbsd.org/cgi-bin/man.cgi?query=ssh-agent&format=html ssh-agent], что позволяет соединяться с удалёнными системами, на которых уже присутствует мой публичный ключ (RSA, DSA, ECDSA). Для этого, используя yubikey-personalization-gui создайте случайный ключ, а затем установите слот 2 в режим "запрос-ответ" (challеnge-response):

<pre>hexkey=$(echo "dd b6 68 81 c9 73 f9 64 84 21 7e f0 69 e8 2c 28 1b 6c ad e2" | tr -d ' ')
ykpersonalize -2 -ochal-resp -ochal-hmac -ohmac-lt64 -a $hexkey</pre>

Затем создайте новую пару SSH-ключей с помощью ответов ykchalresp. Скрипт ykauth, установлен в ~/bin.

<pre>#!/bin/sh
ykchalresp -2 "$(whoami)@$(hostname)" | cut -c 1-15</pre>

И наконец, настроим автоматическую активацию ключей при входе в систему:

<pre>ssh-add -l > /dev/null 2>&1 || {
eval `ssh-agent`
DISPLAY='' SSH_ASKPASS='/home/eradman/bin/ykauth' ssh-add < /dev/null
exec ksh
}</pre>

==Настройка производительности==

Нет документов описывающих способы адаптации OpenBSD для рабочей станции. Я делаю следующие изменения. Первое, позволяю приложениям использовать больше оперативной памяти:

<pre># /etc/login.conf
staff:\
:datasize-cur=2048M:\
:datasize-max=2048M:\
:datasize=2048M:\
:openfiles-cur=1024:\
:stacksize-cur=16M:\</pre>

Если знаете другие способы улучшить производительность, пожалуйста [mailto:ericshane@eradman.com сообщите] их автору.

==Блокировка экрана==

Для автоматической блокировки экрана после 5 минут неактивности, добавьте указанный ниже код в '''~/.xinitrc''':
<pre>xidle -timeout 300 -program "/usr/X11R6/bin/xlock -mode blank" &</pre>

Чтобы это сработало когда система переходит в режим сна (suspended), необходимо в '''/etc/apm/suspend''' добавить сигнал '''xidle''' для запуска программы блокировки.

<pre>#!/bin/sh
pkill -USR1 xidle</pre>

==Смена сетевого подключения==

Переключение из одной сети в другую, например из беспроводной в проводную, не является очевидным в BSD.

Во-первых, необходимо остановить dhcp-клиент, чтобы исключить попытки повторной активации сетевого интерфейса:

<pre>pkill dhclient</pre>

Затем удалить установленный IP-адрес и деактивировать сетевой интерфейс:

<pre>ifconfig wpi0 -inet down</pre>

Удаление IP-адреса так же сбрасывает локальные маршруты. Сбросить все прочие маршруты:

<pre>route -n flush</pre>

-n предотвращает попытки route пытаться разрешать имена хостов.

Если для подключения к беспроводной сети использовался WPA, следует удалить параметры подключения к сети, чтобы получать широковещательные SSID других сетей:

<pre>ifconfig wpi0 nwid "Mobile Hotspot" wpa wpakey 09123456789
ifconfig wpi0 -nwid -wpa -wpakey # use broadcast id</pre>

OpenBSD на рабочей станции

2015-12-28T06:18:34Z

Ssh: /* Переключение на внешний монитор */

Вольный перевод статьи [http://eradman.com Eric Radman] [http://eradman.com/posts/openbsd-workstation.html An OpenBSD Workstation] с некоторыми дополнениями учитывающими изменения пришедшие в свежих релизах.

== Выключение системы нажатием на кнопку питания ==

Безопасное выключение компьютера нажатием на кнопку питания возможно после передачи ядру параметра:
<pre># /etc/sysctl.conf
hw.allowpowerdown=1</pre>
Параметр может быть установлен только до перехода системы к уровню безопасности 1, подробнее в [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man7/securelevel.7?query=securelevel securelevel(7)].

== Больше никаких раздражающих сигналов ==

Одна из многих вещей, которую узнаешь прочитав [http://nostarch.com/obenbsd2e Absolute OpenBSD] - это как отключить раздражающий [http://en.wikipedia.org/wiki/Bell_character сигнал]:
<pre># /etc/wsconsctl.conf
keyboard.bell.volume=0</pre>

Начиная с релиза [http://www.openbsd.org/54.html 5.4] способ с '''wsconsctl''' больше не работает. Отключить сигнал можно так:
<pre># ~/.xinitrc
xset -b</pre>
или
<pre># /etc/rc.conf.local
mixerctl inputs.spkr.mute=on</pre>

== Монтирование съемных устройств пользователем ==

Удобно, когда можно смонтировать DVD или флеш-носитель без повышения привилегий, используя для этого членство в группе '''operator'''.
<pre># usermod -G operator eradman
# chmod g=rw /dev/cd0*</pre>
Остаётся изменить параметр ядра и можно пользоваться.
<pre># sysctl kern.usermount=1</pre>
<pre>$ mkdir -p mount/cdrom
$ mount /dev/cd0c mount/cdrom</pre>

== Suspend & Resume ==

OpenBSD обладает хорошей поддержкой ACPI, подробнее в [http://www.openbsd.org/cgi-bin/man.cgi?query=apmd&apropos=0&sektion=0&manpath=OpenBSD+Current&arch=i386&format=html apmd(8)]. zzz и ZZZ быстрый способ перехода в режимы suspend и hibernate, если apmd запускается при загрузке.
<pre># rc.conf.local
apmd_flags="-A"</pre>
"'''-A'''" будет автоматически масштабировать частоту CPU для оптимального энергопотребления.

Начиная с выпуска [http://www.openbsd.org/56.html 5.6], управление сервисами осуществляется посредством утилиты [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man8/rcctl.8?query=rcctl rcctl(8)].
<pre># rcctl getdef apmd
apmd_flags=NO
…
# rcctl enable apmd
…
# rcctl getdef apmd
apmd_flags=</pre>

== X Configuration: .xinitrc ==

<pre># ~/.xinitrc

redshift -O 5600

while true; do
batt="$(sysctl -n hw.sensors.acpibat0.watthour3 | cut -f1,2 -d" ")"
xsetroot -name "$batt"
sleep 60
done &
xsetroot -solid steelblue &
exec dwm</pre>

[http://jonls.dk/redshift/ redshift] утилита предназначена для регулировки цветовой температуры экрана в зависимости от вашего окружения. Это работает и в случае ручной регулировки цветовой температуры. Например, подсветка экрана IBM T60p автора статьи по умолчанию "холодная", поэтому он изменяет значение цветовую температуры с 6500K до 5600K.

Запускаем циклический опрос сенсора времени жизни батареи (battery life (Wh)) с интервалом один раз в 60 сек, а полученное значение выводим "поверх" корневого окна.

Установим цвет фона и запустить свой любимый менеджер окон.

==Переключение на внешний монитор==
Разрешение дисплея на рабочем месте немного выше чем дисплея ноутбука, небольшой скрипт для переключения на внешний монитор:
<pre>#!/bin/sh
xrandr --output LVDS --off
xrandr --output VGA-0 --off
xrandr --output DVI-0 --auto
redshift -O 6200</pre>

По моему опыту, X11 иногда скрывает курсор мыши, если возобновление работы системы происходило при подключенном внешнем мониторе. Для решения я использовал [http://sourceforge.net/projects/unclutter/ unclutter] - утилиту скрывающую курсор мыши когда он неподвижен и восстанавливающую его как только он переместился.
<pre>pkill unclutter
unclutter -idle 1 -root -grab -visible &</pre>

Лично мне больше нравится немного другой вариант:
<pre>xrandr --query | grep "VGA1 connected" && xrandr --output LVDS1 --off --output VGA1 --mode 1920x1080</pre>

==Подключение проектора==

Если X-сервер запускается когда проектор подключен к VGA порту, то скорее всего сервер установит для встроенного и внешнего дисплеев одинаковое разрешение. На T60 например, это можно изменить:
<pre>xrandr --output LVDS --mode 1400x1050</pre>

Используя --query можно узнать какие режимы поддерживаются дисплеем, then I set up a viewport that pans with the mouse pointer
<pre>xrandr --output VGA-0 --mode 1024x768 --panning 1400x1050</pre>

Так же, я добавил в .xinitrc команды для автоматической конфигурации дисплеев, если при запуске X-сервера внешний монитор уже подключен:
<pre>xrandr --query | grep "DVI-0 connected" && ~/bin/docked-dvi
xrandr --query | grep "VGA-0 connected" && ~/bin/docked-vga</pre>

==tmux - мультиплексор терминалов==

Несколько дополнений в мою конфигурацию мультиплексора терминалов. Я часто запускаю [http://entrproject.org/ entr] в небольшой панели снизу.
<pre>bind-key C-t split-window -p 25</pre>

Не знаю палитры цветов терминала, но её можно распечатать:
<pre>#!/bin/ksh

for i in `jot 255`; do
printf "\033[38;5;${i}mcolour${i}\n"
done</pre>

Фон строки состояния и границы активного окна ярко-зеленый:
<pre>set -g status-bg colour118
set -g pane-active-border-fg colour118
set -g pane-border-fg colour30</pre>

Таблица с сопоставлением [["Горячие" клавиши tmux и screen | клавиатурных комбинаций для tmux и screen]]

==Использование шифрования для дисков==
OpenBSD предоставляет программный RAID как виртуальный хост-адаптер шины ([https://ru.wikipedia.org/wiki/HBA HBA]). Также HBA применяется для настройки и использования шифрования дисков. Посредством [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man8/disklabel.8 disklabel(8)] установим тип раздела RAID (в оригинальной статье автор использует блочное устройство '''/dev/sd0c''' как шифрованный том, монтируемый в '''/home'''):
<pre>$ sudo disklabel -E /dev/sd0c
Label editor (enter '?' for help at any prompt)
g: 55641600 100653824 RAID
> m g
offset: [100653824]
size: [55641600]
FS type: [4.2BSD] RAID</pre>

Для настройки шифрования используем [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man8/bioctl.8 bioctl(8)] с параметром -c C:
<pre># bioctl -c C -l /dev/sd0g softraid0
New passphrase: My Crypto Pass Phrase
Re-type passphrase: My Crypto Pass Phrase
softraid0: CRYPTO volume attached as sd1</pre>

Монтирование выполняется той же командой, журнал ядра сообщит о появлении нового виртуального устройства:
<pre>sd1 at scsibus2 targ 1 lun 0: <OPENBSD, SR CRYPTO, 005> SCSI2 0/direct fixed
sd1: 27168MB, 512 bytes/sector, 55641072 sectors</pre>

Разметим и отформатируем шифрованный том:
<pre>$ sudo disklabel -E /dev/sd1c
...
$ sudo newfs /dev/rsd1a</pre>

Устройства в OpenBSD могут монтироваться по имени или с использованием disklabel UID, который случайным образом генерируется при разметке:
<pre>$ disklabel /dev/sd1a | grep uid
duid: 779d87bac3905122</pre>

Полученный UID используется для монтирования тома, что позволяет избежать путаницы при. Код ниже, позволит выполнить четыре попытки ввода ключевой фразы для дешифрации тома:
<pre>#/etc/rc.local
for attept in 1 2 3 4; do
bioctl -c C -l c3e2f405c96a8e10.g softraid0 && break
sleep 1
done
fsck /dev/rsd1a
mount -o nodev,nosuid,softdep 779d87bac3905122.a /home</pre>

Если необходим полностью шифрованный загрузочный том, ознакомьтесь с [http://www.tedunangst.com/flak/post/OpenBSD-softraid-crypto-boot публикацией] Ted Unangst.

==Уменьшим "возню" с паролями с помощью YubiKey==

[https://www.yubico.com/ Yubico] выпускают небольшие аппаратные ключи, которые используются для авторизации с использованием одноразовых паролей ([https://ru.wikipedia.org/wiki/%D0%9E%D0%B4%D0%BD%D0%BE%D1%80%D0%B0%D0%B7%D0%BE%D0%B2%D1%8B%D0%B9_%D0%BF%D0%B0%D1%80%D0%BE%D0%BB%D1%8C OTP]). Yubikey-personalization-gui - это QT-приложение, которое может быть использовано для записи приватных ключей в один из двух слотов. Запишите без пробелов 6-байт в файл приватной? идентификации и 16-байт в файл ключа:
<pre>echo "5c e1 e0 3e 63 a4" \
| tr -d ' ' > /var/db/yubikey/$USER.id
echo "57 e3 af 3e 9b 51 2b 10 58 7d 33 fb d9 08 ef 7b" \
| tr -d ' ' > /var/db/yubikey/$USER.key
chmod 600 /var/db/yubikey/$USER.*</pre>

Настроим YubiKey в качестве метода локальной авторизации и авторизации через SSH.

<pre># Default allowed authentication styles
auth-defaults:auth=yubikey,passwd,skey:</pre>

Перестроим БД авторизации - '''login.conf'''

<pre>cap_mkdb /etc/login.conf</pre>

Для уменьшения количества вводимых символов, второй слот YubiKey используется как относительно безопасный метод активации [http://www.openbsd.org/cgi-bin/man.cgi?query=ssh-agent&format=html ssh-agent], что позволяет соединяться с удалёнными системами, на которых уже присутствует мой публичный ключ (RSA, DSA, ECDSA). Для этого, используя yubikey-personalization-gui создайте случайный ключ, а затем установите слот 2 в режим "запрос-ответ" (challеnge-response):

<pre>hexkey=$(echo "dd b6 68 81 c9 73 f9 64 84 21 7e f0 69 e8 2c 28 1b 6c ad e2" | tr -d ' ')
ykpersonalize -2 -ochal-resp -ochal-hmac -ohmac-lt64 -a $hexkey</pre>

Затем создайте новую пару SSH-ключей с помощью ответов ykchalresp. Скрипт ykauth, установлен в ~/bin.

<pre>#!/bin/sh
ykchalresp -2 "$(whoami)@$(hostname)" | cut -c 1-15</pre>

И наконец, настроим автоматическую активацию ключей при входе в систему:

<pre>ssh-add -l > /dev/null 2>&1 || {
eval `ssh-agent`
DISPLAY='' SSH_ASKPASS='/home/eradman/bin/ykauth' ssh-add < /dev/null
exec ksh
}</pre>

==Настройка производительности==

Нет документов описывающих способы адаптации OpenBSD для рабочей станции. Я делаю следующие изменения. Первое, позволяю приложениям использовать больше оперативной памяти:

<pre># /etc/login.conf
staff:\
:datasize-cur=2048M:\
:datasize-max=2048M:\
:datasize=2048M:\
:openfiles-cur=1024:\
:stacksize-cur=16M:\</pre>

Если знаете другие способы улучшить производительность, пожалуйста [mailto:ericshane@eradman.com сообщите мне].

==Блокировка экрана==

Для автоматической блокировки экрана после 5 минут неактивности, добавьте указанный ниже код в '''~/.xinitrc''':
<pre>xidle -timeout 300 -program "/usr/X11R6/bin/xlock -mode blank" &</pre>

Чтобы это сработало когда система переходит в режим сна (suspended), необходимо в '''/etc/apm/suspend''' добавить сигнал '''xidle''' для запуска программы блокировки.

<pre>#!/bin/sh
pkill -USR1 xidle</pre>

==Смена сетевого подключения==

Переключение из одной сети в другую, например из беспроводной в проводную, не является очевидным в BSD.

Во-первых, необходимо остановить dhcp-клиент, чтобы исключить попытки повторной активации сетевого интерфейса:

<pre>pkill dhclient</pre>

Затем удалить установленный IP-адрес и деактивировать сетевой интерфейс:

<pre>ifconfig wpi0 -inet down</pre>

Удаление IP-адреса так же сбрасывает локальные маршруты. Сбросить все прочие маршруты:

<pre>route -n flush</pre>

-n предотвращает попытки route пытаться разрешать имена хостов.

Если для подключения к беспроводной сети использовался WPA, следует удалить параметры подключения к сети, чтобы получать широковещательные SSID других сетей:

<pre>ifconfig wpi0 nwid "Mobile Hotspot" wpa wpakey 09123456789
ifconfig wpi0 -nwid -wpa -wpakey # use broadcast id</pre>

OpenBSD на рабочей станции

2015-12-28T06:17:57Z

Ssh: /* Переключение на внешний монитор */

Вольный перевод статьи [http://eradman.com Eric Radman] [http://eradman.com/posts/openbsd-workstation.html An OpenBSD Workstation] с некоторыми дополнениями учитывающими изменения пришедшие в свежих релизах.

== Выключение системы нажатием на кнопку питания ==

Безопасное выключение компьютера нажатием на кнопку питания возможно после передачи ядру параметра:
<pre># /etc/sysctl.conf
hw.allowpowerdown=1</pre>
Параметр может быть установлен только до перехода системы к уровню безопасности 1, подробнее в [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man7/securelevel.7?query=securelevel securelevel(7)].

== Больше никаких раздражающих сигналов ==

Одна из многих вещей, которую узнаешь прочитав [http://nostarch.com/obenbsd2e Absolute OpenBSD] - это как отключить раздражающий [http://en.wikipedia.org/wiki/Bell_character сигнал]:
<pre># /etc/wsconsctl.conf
keyboard.bell.volume=0</pre>

Начиная с релиза [http://www.openbsd.org/54.html 5.4] способ с '''wsconsctl''' больше не работает. Отключить сигнал можно так:
<pre># ~/.xinitrc
xset -b</pre>
или
<pre># /etc/rc.conf.local
mixerctl inputs.spkr.mute=on</pre>

== Монтирование съемных устройств пользователем ==

Удобно, когда можно смонтировать DVD или флеш-носитель без повышения привилегий, используя для этого членство в группе '''operator'''.
<pre># usermod -G operator eradman
# chmod g=rw /dev/cd0*</pre>
Остаётся изменить параметр ядра и можно пользоваться.
<pre># sysctl kern.usermount=1</pre>
<pre>$ mkdir -p mount/cdrom
$ mount /dev/cd0c mount/cdrom</pre>

== Suspend & Resume ==

OpenBSD обладает хорошей поддержкой ACPI, подробнее в [http://www.openbsd.org/cgi-bin/man.cgi?query=apmd&apropos=0&sektion=0&manpath=OpenBSD+Current&arch=i386&format=html apmd(8)]. zzz и ZZZ быстрый способ перехода в режимы suspend и hibernate, если apmd запускается при загрузке.
<pre># rc.conf.local
apmd_flags="-A"</pre>
"'''-A'''" будет автоматически масштабировать частоту CPU для оптимального энергопотребления.

Начиная с выпуска [http://www.openbsd.org/56.html 5.6], управление сервисами осуществляется посредством утилиты [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man8/rcctl.8?query=rcctl rcctl(8)].
<pre># rcctl getdef apmd
apmd_flags=NO
…
# rcctl enable apmd
…
# rcctl getdef apmd
apmd_flags=</pre>

== X Configuration: .xinitrc ==

<pre># ~/.xinitrc

redshift -O 5600

while true; do
batt="$(sysctl -n hw.sensors.acpibat0.watthour3 | cut -f1,2 -d" ")"
xsetroot -name "$batt"
sleep 60
done &
xsetroot -solid steelblue &
exec dwm</pre>

[http://jonls.dk/redshift/ redshift] утилита предназначена для регулировки цветовой температуры экрана в зависимости от вашего окружения. Это работает и в случае ручной регулировки цветовой температуры. Например, подсветка экрана IBM T60p автора статьи по умолчанию "холодная", поэтому он изменяет значение цветовую температуры с 6500K до 5600K.

Запускаем циклический опрос сенсора времени жизни батареи (battery life (Wh)) с интервалом один раз в 60 сек, а полученное значение выводим "поверх" корневого окна.

Установим цвет фона и запустить свой любимый менеджер окон.

==Переключение на внешний монитор==
Разрешение дисплея на рабочем месте немного выше чем дисплея ноутбука, небольшой скрипт для переключения на внешний монитор:
<pre>#!/bin/sh
xrandr --output LVDS --off
xrandr --output VGA-0 --off
xrandr --output DVI-0 --auto
redshift -O 6200</pre>

По моему опыту, X11 иногда скрывает курсор мыши, если возобновление работы системы происходило при подключенном внешнем мониторе. Для решения я использовал [http://sourceforge.net/projects/unclutter/ unclutter] - утилиту скрывающую курсор мыши когда он неподвижен и восстанавливающую его как только он переместился.
<pre>pkill unclutter
unclutter -idle 1 -root -grab -visible &</pre>

Лично мне больше нравится немного другой вариант:
<pre>xrandr --query | grep "VGA1 connected" && xrandr --output LVDS1 --off --output VGA1 --mode 1920x1080</pre>

==Подключение проектора==

Если X-сервер запускается когда проектор подключен к VGA порту, то скорее всего сервер установит для встроенного и внешнего дисплеев одинаковое разрешение. На T60 например, это можно изменить:
<pre>xrandr --output LVDS --mode 1400x1050</pre>

Используя --query можно узнать какие режимы поддерживаются дисплеем, then I set up a viewport that pans with the mouse pointer
<pre>xrandr --output VGA-0 --mode 1024x768 --panning 1400x1050</pre>

Так же, я добавил в .xinitrc команды для автоматической конфигурации дисплеев, если при запуске X-сервера внешний монитор уже подключен:
<pre>xrandr --query | grep "DVI-0 connected" && ~/bin/docked-dvi
xrandr --query | grep "VGA-0 connected" && ~/bin/docked-vga</pre>

==tmux - мультиплексор терминалов==

Несколько дополнений в мою конфигурацию мультиплексора терминалов. Я часто запускаю [http://entrproject.org/ entr] в небольшой панели снизу.
<pre>bind-key C-t split-window -p 25</pre>

Не знаю палитры цветов терминала, но её можно распечатать:
<pre>#!/bin/ksh

for i in `jot 255`; do
printf "\033[38;5;${i}mcolour${i}\n"
done</pre>

Фон строки состояния и границы активного окна ярко-зеленый:
<pre>set -g status-bg colour118
set -g pane-active-border-fg colour118
set -g pane-border-fg colour30</pre>

Таблица с сопоставлением [["Горячие" клавиши tmux и screen | клавиатурных комбинаций для tmux и screen]]

==Использование шифрования для дисков==
OpenBSD предоставляет программный RAID как виртуальный хост-адаптер шины ([https://ru.wikipedia.org/wiki/HBA HBA]). Также HBA применяется для настройки и использования шифрования дисков. Посредством [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man8/disklabel.8 disklabel(8)] установим тип раздела RAID (в оригинальной статье автор использует блочное устройство '''/dev/sd0c''' как шифрованный том, монтируемый в '''/home'''):
<pre>$ sudo disklabel -E /dev/sd0c
Label editor (enter '?' for help at any prompt)
g: 55641600 100653824 RAID
> m g
offset: [100653824]
size: [55641600]
FS type: [4.2BSD] RAID</pre>

Для настройки шифрования используем [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man8/bioctl.8 bioctl(8)] с параметром -c C:
<pre># bioctl -c C -l /dev/sd0g softraid0
New passphrase: My Crypto Pass Phrase
Re-type passphrase: My Crypto Pass Phrase
softraid0: CRYPTO volume attached as sd1</pre>

Монтирование выполняется той же командой, журнал ядра сообщит о появлении нового виртуального устройства:
<pre>sd1 at scsibus2 targ 1 lun 0: <OPENBSD, SR CRYPTO, 005> SCSI2 0/direct fixed
sd1: 27168MB, 512 bytes/sector, 55641072 sectors</pre>

Разметим и отформатируем шифрованный том:
<pre>$ sudo disklabel -E /dev/sd1c
...
$ sudo newfs /dev/rsd1a</pre>

Устройства в OpenBSD могут монтироваться по имени или с использованием disklabel UID, который случайным образом генерируется при разметке:
<pre>$ disklabel /dev/sd1a | grep uid
duid: 779d87bac3905122</pre>

Полученный UID используется для монтирования тома, что позволяет избежать путаницы при. Код ниже, позволит выполнить четыре попытки ввода ключевой фразы для дешифрации тома:
<pre>#/etc/rc.local
for attept in 1 2 3 4; do
bioctl -c C -l c3e2f405c96a8e10.g softraid0 && break
sleep 1
done
fsck /dev/rsd1a
mount -o nodev,nosuid,softdep 779d87bac3905122.a /home</pre>

Если необходим полностью шифрованный загрузочный том, ознакомьтесь с [http://www.tedunangst.com/flak/post/OpenBSD-softraid-crypto-boot публикацией] Ted Unangst.

==Уменьшим "возню" с паролями с помощью YubiKey==

[https://www.yubico.com/ Yubico] выпускают небольшие аппаратные ключи, которые используются для авторизации с использованием одноразовых паролей ([https://ru.wikipedia.org/wiki/%D0%9E%D0%B4%D0%BD%D0%BE%D1%80%D0%B0%D0%B7%D0%BE%D0%B2%D1%8B%D0%B9_%D0%BF%D0%B0%D1%80%D0%BE%D0%BB%D1%8C OTP]). Yubikey-personalization-gui - это QT-приложение, которое может быть использовано для записи приватных ключей в один из двух слотов. Запишите без пробелов 6-байт в файл приватной? идентификации и 16-байт в файл ключа:
<pre>echo "5c e1 e0 3e 63 a4" \
| tr -d ' ' > /var/db/yubikey/$USER.id
echo "57 e3 af 3e 9b 51 2b 10 58 7d 33 fb d9 08 ef 7b" \
| tr -d ' ' > /var/db/yubikey/$USER.key
chmod 600 /var/db/yubikey/$USER.*</pre>

Настроим YubiKey в качестве метода локальной авторизации и авторизации через SSH.

<pre># Default allowed authentication styles
auth-defaults:auth=yubikey,passwd,skey:</pre>

Перестроим БД авторизации - '''login.conf'''

<pre>cap_mkdb /etc/login.conf</pre>

Для уменьшения количества вводимых символов, второй слот YubiKey используется как относительно безопасный метод активации [http://www.openbsd.org/cgi-bin/man.cgi?query=ssh-agent&format=html ssh-agent], что позволяет соединяться с удалёнными системами, на которых уже присутствует мой публичный ключ (RSA, DSA, ECDSA). Для этого, используя yubikey-personalization-gui создайте случайный ключ, а затем установите слот 2 в режим "запрос-ответ" (challеnge-response):

<pre>hexkey=$(echo "dd b6 68 81 c9 73 f9 64 84 21 7e f0 69 e8 2c 28 1b 6c ad e2" | tr -d ' ')
ykpersonalize -2 -ochal-resp -ochal-hmac -ohmac-lt64 -a $hexkey</pre>

Затем создайте новую пару SSH-ключей с помощью ответов ykchalresp. Скрипт ykauth, установлен в ~/bin.

<pre>#!/bin/sh
ykchalresp -2 "$(whoami)@$(hostname)" | cut -c 1-15</pre>

И наконец, настроим автоматическую активацию ключей при входе в систему:

<pre>ssh-add -l > /dev/null 2>&1 || {
eval `ssh-agent`
DISPLAY='' SSH_ASKPASS='/home/eradman/bin/ykauth' ssh-add < /dev/null
exec ksh
}</pre>

==Настройка производительности==

Нет документов описывающих способы адаптации OpenBSD для рабочей станции. Я делаю следующие изменения. Первое, позволяю приложениям использовать больше оперативной памяти:

<pre># /etc/login.conf
staff:\
:datasize-cur=2048M:\
:datasize-max=2048M:\
:datasize=2048M:\
:openfiles-cur=1024:\
:stacksize-cur=16M:\</pre>

Если знаете другие способы улучшить производительность, пожалуйста [mailto:ericshane@eradman.com сообщите мне].

==Блокировка экрана==

Для автоматической блокировки экрана после 5 минут неактивности, добавьте указанный ниже код в '''~/.xinitrc''':
<pre>xidle -timeout 300 -program "/usr/X11R6/bin/xlock -mode blank" &</pre>

Чтобы это сработало когда система переходит в режим сна (suspended), необходимо в '''/etc/apm/suspend''' добавить сигнал '''xidle''' для запуска программы блокировки.

<pre>#!/bin/sh
pkill -USR1 xidle</pre>

==Смена сетевого подключения==

Переключение из одной сети в другую, например из беспроводной в проводную, не является очевидным в BSD.

Во-первых, необходимо остановить dhcp-клиент, чтобы исключить попытки повторной активации сетевого интерфейса:

<pre>pkill dhclient</pre>

Затем удалить установленный IP-адрес и деактивировать сетевой интерфейс:

<pre>ifconfig wpi0 -inet down</pre>

Удаление IP-адреса так же сбрасывает локальные маршруты. Сбросить все прочие маршруты:

<pre>route -n flush</pre>

-n предотвращает попытки route пытаться разрешать имена хостов.

Если для подключения к беспроводной сети использовался WPA, следует удалить параметры подключения к сети, чтобы получать широковещательные SSID других сетей:

<pre>ifconfig wpi0 nwid "Mobile Hotspot" wpa wpakey 09123456789
ifconfig wpi0 -nwid -wpa -wpakey # use broadcast id</pre>

OpenBSD на рабочей станции

2015-12-28T05:24:12Z

Ssh: /* Suspend & Resume */

Вольный перевод статьи [http://eradman.com Eric Radman] [http://eradman.com/posts/openbsd-workstation.html An OpenBSD Workstation] с некоторыми дополнениями учитывающими изменения пришедшие в свежих релизах.

== Выключение системы нажатием на кнопку питания ==

Безопасное выключение компьютера нажатием на кнопку питания возможно после передачи ядру параметра:
<pre># /etc/sysctl.conf
hw.allowpowerdown=1</pre>
Параметр может быть установлен только до перехода системы к уровню безопасности 1, подробнее в [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man7/securelevel.7?query=securelevel securelevel(7)].

== Больше никаких раздражающих сигналов ==

Одна из многих вещей, которую узнаешь прочитав [http://nostarch.com/obenbsd2e Absolute OpenBSD] - это как отключить раздражающий [http://en.wikipedia.org/wiki/Bell_character сигнал]:
<pre># /etc/wsconsctl.conf
keyboard.bell.volume=0</pre>

Начиная с релиза [http://www.openbsd.org/54.html 5.4] способ с '''wsconsctl''' больше не работает. Отключить сигнал можно так:
<pre># ~/.xinitrc
xset -b</pre>
или
<pre># /etc/rc.conf.local
mixerctl inputs.spkr.mute=on</pre>

== Монтирование съемных устройств пользователем ==

Удобно, когда можно смонтировать DVD или флеш-носитель без повышения привилегий, используя для этого членство в группе '''operator'''.
<pre># usermod -G operator eradman
# chmod g=rw /dev/cd0*</pre>
Остаётся изменить параметр ядра и можно пользоваться.
<pre># sysctl kern.usermount=1</pre>
<pre>$ mkdir -p mount/cdrom
$ mount /dev/cd0c mount/cdrom</pre>

== Suspend & Resume ==

OpenBSD обладает хорошей поддержкой ACPI, подробнее в [http://www.openbsd.org/cgi-bin/man.cgi?query=apmd&apropos=0&sektion=0&manpath=OpenBSD+Current&arch=i386&format=html apmd(8)]. zzz и ZZZ быстрый способ перехода в режимы suspend и hibernate, если apmd запускается при загрузке.
<pre># rc.conf.local
apmd_flags="-A"</pre>
"'''-A'''" будет автоматически масштабировать частоту CPU для оптимального энергопотребления.

Начиная с выпуска [http://www.openbsd.org/56.html 5.6], управление сервисами осуществляется посредством утилиты [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man8/rcctl.8?query=rcctl rcctl(8)].
<pre># rcctl getdef apmd
apmd_flags=NO
…
# rcctl enable apmd
…
# rcctl getdef apmd
apmd_flags=</pre>

== X Configuration: .xinitrc ==

<pre># ~/.xinitrc

redshift -O 5600

while true; do
batt="$(sysctl -n hw.sensors.acpibat0.watthour3 | cut -f1,2 -d" ")"
xsetroot -name "$batt"
sleep 60
done &
xsetroot -solid steelblue &
exec dwm</pre>

[http://jonls.dk/redshift/ redshift] утилита предназначена для регулировки цветовой температуры экрана в зависимости от вашего окружения. Это работает и в случае ручной регулировки цветовой температуры. Например, подсветка экрана IBM T60p автора статьи по умолчанию "холодная", поэтому он изменяет значение цветовую температуры с 6500K до 5600K.

Запускаем циклический опрос сенсора времени жизни батареи (battery life (Wh)) с интервалом один раз в 60 сек, а полученное значение выводим "поверх" корневого окна.

Установим цвет фона и запустить свой любимый менеджер окон.

==Переключение на внешний монитор==
Разрешение дисплея на рабочем месте немного выше чем дисплея ноутбука, небольшой скрипт для переключения на внешний монитор:
<pre>#!/bin/sh
xrandr --output LVDS --off
xrandr --output VGA-0 --off
xrandr --output DVI-0 --auto
redshift -O 6200</pre>

Лично мне больше нравится немного другой вариант:
<pre>xrandr --query | grep "VGA1 connected" && xrandr --output LVDS1 --off --output VGA1 --mode 1920x1080</pre>

==Подключение проектора==

Если X-сервер запускается когда проектор подключен к VGA порту, то скорее всего сервер установит для встроенного и внешнего дисплеев одинаковое разрешение. На T60 например, это можно изменить:
<pre>xrandr --output LVDS --mode 1400x1050</pre>

Используя --query можно узнать какие режимы поддерживаются дисплеем, then I set up a viewport that pans with the mouse pointer
<pre>xrandr --output VGA-0 --mode 1024x768 --panning 1400x1050</pre>

Так же, я добавил в .xinitrc команды для автоматической конфигурации дисплеев, если при запуске X-сервера внешний монитор уже подключен:
<pre>xrandr --query | grep "DVI-0 connected" && ~/bin/docked-dvi
xrandr --query | grep "VGA-0 connected" && ~/bin/docked-vga</pre>

==tmux - мультиплексор терминалов==

Несколько дополнений в мою конфигурацию мультиплексора терминалов. Я часто запускаю [http://entrproject.org/ entr] в небольшой панели снизу.
<pre>bind-key C-t split-window -p 25</pre>

Не знаю палитры цветов терминала, но её можно распечатать:
<pre>#!/bin/ksh

for i in `jot 255`; do
printf "\033[38;5;${i}mcolour${i}\n"
done</pre>

Фон строки состояния и границы активного окна ярко-зеленый:
<pre>set -g status-bg colour118
set -g pane-active-border-fg colour118
set -g pane-border-fg colour30</pre>

Таблица с сопоставлением [["Горячие" клавиши tmux и screen | клавиатурных комбинаций для tmux и screen]]

==Использование шифрования для дисков==
OpenBSD предоставляет программный RAID как виртуальный хост-адаптер шины ([https://ru.wikipedia.org/wiki/HBA HBA]). Также HBA применяется для настройки и использования шифрования дисков. Посредством [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man8/disklabel.8 disklabel(8)] установим тип раздела RAID (в оригинальной статье автор использует блочное устройство '''/dev/sd0c''' как шифрованный том, монтируемый в '''/home'''):
<pre>$ sudo disklabel -E /dev/sd0c
Label editor (enter '?' for help at any prompt)
g: 55641600 100653824 RAID
> m g
offset: [100653824]
size: [55641600]
FS type: [4.2BSD] RAID</pre>

Для настройки шифрования используем [http://www.openbsd.org/cgi-bin/man.cgi/OpenBSD-current/man8/bioctl.8 bioctl(8)] с параметром -c C:
<pre># bioctl -c C -l /dev/sd0g softraid0
New passphrase: My Crypto Pass Phrase
Re-type passphrase: My Crypto Pass Phrase
softraid0: CRYPTO volume attached as sd1</pre>

Монтирование выполняется той же командой, журнал ядра сообщит о появлении нового виртуального устройства:
<pre>sd1 at scsibus2 targ 1 lun 0: <OPENBSD, SR CRYPTO, 005> SCSI2 0/direct fixed
sd1: 27168MB, 512 bytes/sector, 55641072 sectors</pre>

Разметим и отформатируем шифрованный том:
<pre>$ sudo disklabel -E /dev/sd1c
...
$ sudo newfs /dev/rsd1a</pre>

Устройства в OpenBSD могут монтироваться по имени или с использованием disklabel UID, который случайным образом генерируется при разметке:
<pre>$ disklabel /dev/sd1a | grep uid
duid: 779d87bac3905122</pre>

Полученный UID используется для монтирования тома, что позволяет избежать путаницы при. Код ниже, позволит выполнить четыре попытки ввода ключевой фразы для дешифрации тома:
<pre>#/etc/rc.local
for attept in 1 2 3 4; do
bioctl -c C -l c3e2f405c96a8e10.g softraid0 && break
sleep 1
done
fsck /dev/rsd1a
mount -o nodev,nosuid,softdep 779d87bac3905122.a /home</pre>

Если необходим полностью шифрованный загрузочный том, ознакомьтесь с [http://www.tedunangst.com/flak/post/OpenBSD-softraid-crypto-boot публикацией] Ted Unangst.

==Уменьшим "возню" с паролями с помощью YubiKey==

[https://www.yubico.com/ Yubico] выпускают небольшие аппаратные ключи, которые используются для авторизации с использованием одноразовых паролей ([https://ru.wikipedia.org/wiki/%D0%9E%D0%B4%D0%BD%D0%BE%D1%80%D0%B0%D0%B7%D0%BE%D0%B2%D1%8B%D0%B9_%D0%BF%D0%B0%D1%80%D0%BE%D0%BB%D1%8C OTP]). Yubikey-personalization-gui - это QT-приложение, которое может быть использовано для записи приватных ключей в один из двух слотов. Запишите без пробелов 6-байт в файл приватной? идентификации и 16-байт в файл ключа:
<pre>echo "5c e1 e0 3e 63 a4" \
| tr -d ' ' > /var/db/yubikey/$USER.id
echo "57 e3 af 3e 9b 51 2b 10 58 7d 33 fb d9 08 ef 7b" \
| tr -d ' ' > /var/db/yubikey/$USER.key
chmod 600 /var/db/yubikey/$USER.*</pre>

Настроим YubiKey в качестве метода локальной авторизации и авторизации через SSH.

<pre># Default allowed authentication styles
auth-defaults:auth=yubikey,passwd,skey:</pre>

Перестроим БД авторизации - '''login.conf'''

<pre>cap_mkdb /etc/login.conf</pre>

Для уменьшения количества вводимых символов, второй слот YubiKey используется как относительно безопасный метод активации [http://www.openbsd.org/cgi-bin/man.cgi?query=ssh-agent&format=html ssh-agent], что позволяет соединяться с удалёнными системами, на которых уже присутствует мой публичный ключ (RSA, DSA, ECDSA). Для этого, используя yubikey-personalization-gui создайте случайный ключ, а затем установите слот 2 в режим "запрос-ответ" (challеnge-response):

<pre>hexkey=$(echo "dd b6 68 81 c9 73 f9 64 84 21 7e f0 69 e8 2c 28 1b 6c ad e2" | tr -d ' ')
ykpersonalize -2 -ochal-resp -ochal-hmac -ohmac-lt64 -a $hexkey</pre>

Затем создайте новую пару SSH-ключей с помощью ответов ykchalresp. Скрипт ykauth, установлен в ~/bin.

<pre>#!/bin/sh
ykchalresp -2 "$(whoami)@$(hostname)" | cut -c 1-15</pre>

И наконец, настроим автоматическую активацию ключей при входе в систему:

<pre>ssh-add -l > /dev/null 2>&1 || {
eval `ssh-agent`
DISPLAY='' SSH_ASKPASS='/home/eradman/bin/ykauth' ssh-add < /dev/null
exec ksh
}</pre>

==Настройка производительности==

Нет документов описывающих способы адаптации OpenBSD для рабочей станции. Я делаю следующие изменения. Первое, позволяю приложениям использовать больше оперативной памяти:

<pre># /etc/login.conf
staff:\
:datasize-cur=2048M:\
:datasize-max=2048M:\
:datasize=2048M:\
:openfiles-cur=1024:\
:stacksize-cur=16M:\</pre>

Если знаете другие способы улучшить производительность, пожалуйста [mailto:ericshane@eradman.com сообщите мне].

==Блокировка экрана==

Для автоматической блокировки экрана после 5 минут неактивности, добавьте указанный ниже код в '''~/.xinitrc''':
<pre>xidle -timeout 300 -program "/usr/X11R6/bin/xlock -mode blank" &</pre>

Чтобы это сработало когда система переходит в режим сна (suspended), необходимо в '''/etc/apm/suspend''' добавить сигнал '''xidle''' для запуска программы блокировки.

<pre>#!/bin/sh
pkill -USR1 xidle</pre>

==Смена сетевого подключения==

Переключение из одной сети в другую, например из беспроводной в проводную, не является очевидным в BSD.

Во-первых, необходимо остановить dhcp-клиент, чтобы исключить попытки повторной активации сетевого интерфейса:

<pre>pkill dhclient</pre>

Затем удалить установленный IP-адрес и деактивировать сетевой интерфейс:

<pre>ifconfig wpi0 -inet down</pre>

Удаление IP-адреса так же сбрасывает локальные маршруты. Сбросить все прочие маршруты:

<pre>route -n flush</pre>

-n предотвращает попытки route пытаться разрешать имена хостов.

Если для подключения к беспроводной сети использовался WPA, следует удалить параметры подключения к сети, чтобы получать широковещательные SSID других сетей:

<pre>ifconfig wpi0 nwid "Mobile Hotspot" wpa wpakey 09123456789
ifconfig wpi0 -nwid -wpa -wpakey # use broadcast id</pre>

OpenBSD-Wiki:Текущие события

2015-09-09T06:56:13Z

Ssh: /* Актуальное */

== Актуальное ==
Собрано всё, что применимо к текущему релизу.

* [[Введение в OpenBSD]]
* [[Аппаратное обеспечение и вопросы]]
* [[Деликатное проникновение в частную сеть]]
* [[IPsec между OpenBSD и Linux Ubuntu]]
* [[OpenSSH мини-руководство]]
* [[OpenSSH: настройки, секреты, трюки и советы]]
* [[OpenSSL: 101 прием работы]]
* [[RSA/DSA аутентификация в OpenSSH]]
* [[VPN на базе SSH]]
* [[Использование файла mk.conf]]
* [[Использование сетевой файловой системы NFS]]
* [[Написание OpenBSD Loadable Kernel Modules (LKM)]]
* [[Настройка sendmail]]
* [[Настройка PPPoE-сервера]]
* [[Настройка PPPoE-клиента с помощью pppoe(8)]]
* [[Новое IPSec howto]]
* [[Русификация OpenBSD 5.x]]
* [[Русификация OpenBSD]]
* [[Русификация консоли OpenBSD]]
* [[Создание загрузочной флешки]]
* [[Перечень Интернет ресурсов о OpenBSD]]
* [[Описание переменных sysctl]]
* [[Сборник советов с OpenBSD101.com]]
* [[Работа в качестве DHCP-сервера]]
* [[OpenBSD на рабочей станции]]
* [["Горячие" клавиши tmux и screen]]
* [[OpenBSD doas]]

=== Переводы ===
* [[C2k10-marco]]
* [[C2k10-guenther]]
* [[C2k10-ajacoutot]]
* [[C2k10-henning]]
* [[C2k10-tedu]]

== Устаревшее ==
Данная информация сохранена для архивных версий.

* [[Зеркалирование данных с помощью ccd]]
* [[Использование Bluetooth в OpenBSD]]
* [[Настройка GPRS]]
* [[Настройка Ethernet Bridge]]
* [[Привязка IP к MAC с помощью bridge(4) и pf(4)]]

== Прочее ==

* [[Резервная копия Wiki]]

OpenBSD-Wiki:Текущие события

2015-09-09T06:55:39Z

Ssh: /* Актуальное */

== Актуальное ==
Собрано всё, что применимо к текущему релизу.

* [[Введение в OpenBSD]]
* [[Аппаратное обеспечение и вопросы]]
* [[Деликатное проникновение в частную сеть]]
* [[IPsec между OpenBSD и Linux Ubuntu]]
* [[OpenSSH мини-руководство]]
* [[OpenSSH: настройки, секреты, трюки и советы]]
* [[OpenSSL: 101 прием работы]]
* [[RSA/DSA аутентификация в OpenSSH]]
* [[VPN на базе SSH]]
* [[Использование файла mk.conf]]
* [[Использование сетевой файловой системы NFS]]
* [[Написание OpenBSD Loadable Kernel Modules (LKM)]]
* [[Настройка sendmail]]
* [[Настройка PPPoE-сервера]]
* [[Настройка PPPoE-клиента с помощью pppoe(8)]]
* [[Новое IPSec howto]]
* [[Русификация OpenBSD 5.x]]
* [[Русификация OpenBSD]]
* [[Русификация консоли OpenBSD]]
* [[Создание загрузочной флешки]]
* [[Перечень Интернет ресурсов о OpenBSD]]
* [[Описание переменных sysctl]]
* [[Сборник советов с OpenBSD101.com]]
* [[Работа в качестве DHCP-сервера]]
* [[OpenBSD на рабочей станции]]
* [["Горячие" клавиши tmux и screen]]
* [[OpenBSD doas]]
=== Переводы ===
* [[C2k10-marco]]
* [[C2k10-guenther]]
* [[C2k10-ajacoutot]]
* [[C2k10-henning]]
* [[C2k10-tedu]]

== Устаревшее ==
Данная информация сохранена для архивных версий.

* [[Зеркалирование данных с помощью ccd]]
* [[Использование Bluetooth в OpenBSD]]
* [[Настройка GPRS]]
* [[Настройка Ethernet Bridge]]
* [[Привязка IP к MAC с помощью bridge(4) и pf(4)]]

== Прочее ==

* [[Резервная копия Wiki]]

OpenBSD doas

2015-09-09T06:54:35Z

Ssh:

Ted Unangst (tedu@) представил [http://www.tedunangst.com/flak/post/doas doas] — «легкую» замену '''sudo''' в OpenBSD, поддерживающую только основные функции. Начиная с OpenBSD 5.8, '''doas''' входит в состав базовой системы. Использовать '''doas''' очень просто, достаточно создать файл конфигурации '''/etc/doas.conf'''.

* Либеральная OpenBSD система: <pre>permit nopass keepenv { ENV PS1 SSH_AUTH_SOCK } :wheel</pre> Пользователи из группы '''wheel''' выполняют команды как '''root''' (используется по умолчанию, если не указан иной пользователь). Разрешено запускать любые команды без запроса пароля, значения переменных '''ENV''', '''PS1''' и '''SSH_AUTH_SOCK''' наследуются.

* То же, что и выше, но с запросом пароля пользователя: <pre>permit keepenv {ENV PS1 SSH_AUTH_SOCK} :wheel</pre>

* Разрешает пользователю bob выполнить '''/bin/sh''' как fred: <pre>permit bob as fred cmd /bin/sh</pre>

* Запретить всё пользователям группы '''wheel''': <pre>deny :wheel</pre>

Правила в '''doas.conf''' читаются сверху вниз, поэтому если запрещающее правило следует сразу за разрешающим, то разрешающее будет действовать, так как имеет приоритет. Кроме того, '''doas.conf''' должен завершаться пустой строкой.

[http://www.badbug.id.au/doas-or-how-i-use-sudo-on-openbsd-5-8/ По мотивам]

OpenBSD doas

2015-09-09T03:51:14Z

Ssh:

Ted Unangst (tedu@) представил [http://www.tedunangst.com/flak/post/doas doas] - замену '''sudo''' для OpenBSD, небольшую и поддерживающую только основные функции.

Начиная с OpenBSD 5.8, '''doas''' входит в состав базовой системы. Использовать '''doas''' очень просто, достаточно создать файл конфигурации '''/etc/doas.conf'''.

Либеральная OpenBSD система:
<pre>permit nopass keepenv { ENV PS1 SSH_AUTH_SOCK } :wheel</pre>

Пользователи группы '''wheel''', выполняют команды от пользователя '''root''' (root используется по умолчанию, если не указан иной пользователь). Разрешено запускать любые команды без запроса пароля, значения переменных '''ENV''', '''PS1''' и '''SSH_AUTH_SOCK''' наследуются.

Тоже, что и выше, но с запросом пароля пользователя:
<pre>permit keepenv {ENV PS1 SSH_AUTH_SOCK} :wheel</pre>

Разрешает пользователю bob выполнить '''/bin/sh''' как fred:
<pre>permit bob as fred cmd /bin/sh</pre>

Запретить всё пользователям группы '''wheel''':
<pre>deny :wheel</pre>

Правила в '''doas.conf''' читаются сверху вниз, поэтому если запрещающее правило следует сразу за разрешающим, то разрешающее будет действовать, так как имеет приоритет. Кроме того, '''doas.conf''' должен завершаться пустой строкой.

[http://www.badbug.id.au/doas-or-how-i-use-sudo-on-openbsd-5-8/ По мотивам]