Часть II. Установка дистрибутива
В этой части рассматривается процесс установки дистрибутива.
Глава 4. Запись установочного образа на USB-накопитель
Запись образа дистрибутива непосредственно на USB-накопитель изменяет таблицу разделов и содержимое накопителя. Все данные, находящиеся на накопителе, будут уничтожены.
Если после использования накопитель необходимо вернуть в состояние обычного накопителя данных, потребуется заново создать таблицу разделов и разделы.
Для загрузки компьютера с целью установки системы необходимо воспользоваться носителем, содержащим начальный загрузчик. Таким носителем может быть USB-накопитель, который можно сделать загрузочным.
Для создания загрузочного USB-накопителя потребуется ISO-образ дистрибутива. Установочные образы являются гибридными (Hybrid ISO/IMG), что позволяет производить установку, записав такой образ на USB-накопитель.
4.1. В операционной системе Windows
Для создания загрузочного USB-накопителя в операционной системе MS Windows можно использовать специальные программы, например
ALT Media Writer,
Win32 Disk Imager и другие.
ALT Media Writer — инструмент для записи образов ALT на USB-накопители. Он может автоматически загружать образы из Интернета и записывать их на накопитель.
Для записи образа на USB-накопитель необходимо:
Скачать и установить
ALT Media Writer.
Вставить USB-накопитель в USB-порт.
Запустить ALT Media Writer.
Выбрать дистрибутив и нажать кнопку Создать Live USB…. Начнётся загрузка образа из Интернета:
Также можно выбрать локальный ISO-файл, нажав кнопку Другой образ.
Выбрать USB-накопитель.
После окончания загрузки нажать кнопку Записать на диск.
4.1.2. Win32 Disk Imager
Для записи образа с помощью
Win32 Disk Imager необходимо:
Скачать образ дистрибутива.
Вставить USB-накопитель в USB-порт. Размер накопителя должен быть не меньше размера записываемого образа.
Запустить Win32 Disk Imager.
В открывшемся окне выбрать ISO-образ дистрибутива и USB-накопитель:
Нажать кнопку Write для записи образа на USB-накопитель.
4.1.3. HDD Raw Copy Tool
Для записи образа на USB-накопитель также можно использовать утилиту
HDD Raw Copy Tool.
На первом шаге необходимо выбрать файл с образом диска:
На втором шаге нужно выбрать USB-накопитель, на который будет записан образ:
Будьте внимательны при выборе USB-устройства. Запись образа по ошибке на жёсткий диск или другой накопитель приведёт к потере находящихся на нём данных.
После проверки правильности выбранных параметров нажмите кнопку Continue, а затем кнопку START.
После успешного завершения записи окно с индикатором процесса записи закроется. После этого можно закрыть окно программы.
4.2. В операционной системе Linux
Для записи образа на USB-накопитель можно использовать программы с графическим интерфейсом:
ALT Media Writer (altmediawriter):
ALT Media Writer может автоматически загружать образы из Интернета и записывать их на USB-накопитель, при необходимости предварительно извлекая сжатые образы (img.xz).
Impression (impression):
SUSE Studio Imagewriter (imagewriter):
Будьте внимательны при выборе USB-устройства. Запись образа по ошибке на жёсткий диск или другой накопитель приведёт к потере находящихся на нём данных.
Не указывайте номер раздела устройства. Образ записывается непосредственно на устройство целиком, начиная с его начала.
Для записи установочного образа можно воспользоваться утилитой командной строки
dd:
# dd oflag=direct if=<файл-образа.iso> of=/dev/sdX bs=1M status=progress;sync
где <файл-образа.iso> — ISO-образ дистрибутива, а
/dev/sdX — устройство, соответствующее USB-накопителю.
Для отображения прогресса записи можно установить пакет
pv и использовать команду:
# pv <файл-образа.iso> | dd oflag=direct of=/dev/sdX bs=1M;sync
где <файл-образа.iso> — ISO-образ дистрибутива, а
/dev/sdX — устройство, соответствующее USB-накопителю.
Просмотреть список блочных устройств можно с помощью команды
lsblk:
$ lsblk | grep disk
sda 8:0 0 931,5G 0 disk
sdb 8:16 0 931,5G 0 disk
sdc 8:32 1 7,4G 0 disk
В данном примере USB-накопителю соответствует устройство
/dev/sdc.
Затем записать образ:
# dd oflag=direct if=/home/iso/alt-kworkstation-11.5-install-x86_64.iso of=/dev/sdc bs=1M status=progress; sync
или:
# pv /home/iso/alt-kworkstation-11.5-install-x86_64.iso | dd oflag=direct of=/dev/sdc bs=1M;sync
dd: warning: partial read (524288 bytes); suggest iflag=fullblock
3GiB 0:10:28 [4,61MiB/s] [===================================> ] 72% ETA 0:04:07
После завершения команды
dd выполнится
sync, который обеспечит запись буферизованных данных на накопитель.
Не извлекайте USB-накопитель до завершения записи. После выполнения команды с dd дождитесь возврата приглашения командной строки.
Определить финал процесса можно по прекращению моргания индикатора USB-диска либо посредством виджета Безопасное извлечение съемных устройств.
4.3. В операционной системе OS X
В операционной системе OS X для создания загрузочного USB-накопителя можно использовать команду:
sudo dd if=alt-kworkstation-11.5-install-x86_64.iso of=/dev/rdiskX bs=10M
sync
где
alt-kworkstation-11.5-install-x86_64.iso — ISO-образ дистрибутива, а /dev/rdiskX — устройство USB-накопителя.
Просмотреть список доступных устройств можно с помощью команды:
diskutil list
Будьте внимательны при указании имени USB-устройства. Запись образа по ошибке на жёсткий диск приведёт к потере данных, хранящихся на нём.
4.4. Проверка целостности записанного образа
Внимание! Если речь идёт о записи на USB-накопитель образа LiveCD, проверка должна быть выполнена сразу же после записи (без запуска системы с USB-накопителя). Причина в том, что остаток USB-накопителя при первом запуске LiveCD форматируется как r/w раздел, при этом меняется и таблица разделов.
Для проверки целостности записанного образа необходимо выполнить следующие шаги:
Определить размер образа в байтах:
$ du -b alt-kworkstation-11.5-install-x86_64.iso | cut -f1
10974666752
Вычислить контрольную сумму ISO-образа (или использовать контрольную сумму, опубликованную в файле
MD5SUM на сервере FTP):
$ md5sum alt-kworkstation-11.5-install-x86_64.iso
2dfd76118e3df9d0d5b44d0bb49c47c7 alt-kworkstation-11.5-install-x86_64.iso
Вычислить контрольную сумму записанного образа на USB-накопителе (команду необходимо выполнять с правами суперпользователя):
# head -c 10974666752 /dev/sdd | md5sum
2dfd76118e3df9d0d5b44d0bb49c47c7
где
10974666752 — размер ISO-образа в байтах, полученный на первом шаге, а
/dev/sdd — устройство, на которое был записан образ.
Глава 5. Альтернативные способы установки
Обычно для установки дистрибутива используется загрузочный USB-накопитель. Если установка выполняется с такого носителя, этот раздел можно пропустить и перейти непосредственно к разделу
Последовательность установки.
Установка с загрузочного диска — это один из возможных способов установки системы. В некоторых случаях удобнее использовать альтернативные способы установки, например получение установочных файлов по сети.
Для начала установки необходимы две составляющие:
При загрузке с установочного диска обе составляющие обеспечивает сам диск: он является загрузочным и содержит необходимые для установки файлы. Однако загрузку компьютера и получение установочных файлов можно организовать разными способами. Например, компьютер можно загрузить со специально подготовленного USB-накопителя, а установочные файлы получить с FTP-сервера.
Таким образом, при выборе альтернативного способа установки необходимо определить:
5.1. Источники установки
После первоначальной загрузки с одного из поддерживаемых носителей можно выбрать — место, из которого программа установки получает необходимые данные, прежде всего устанавливаемое программное обеспечение.
В качестве источника установки можно использовать не только установочный диск, но и сетевые ресурсы. Для выбора сетевого источника установки следует выбрать пункт или нажать клавишу F4:
Для всех способов сетевой установки необходимо, чтобы на сервере было доступно дерево каталогов, аналогичное дереву каталогов установочного диска.
Для сетевой установки рекомендуется использовать протоколы NFS или SMB (Samba).
Для установки по FTP или HTTP на клиентском компьютере требуется не менее 8 ГБ ОЗУ. Рекомендуемый объём — 12+ ГБ.
5.1.1. Запуск сетевой установки
Для запуска сетевой установки после нажатия клавиши F4 следует выбрать пункт :
Затем необходимо выбрать тип источника установки: FTP, HTTP, NFS или Samba-сервер::
Укажите имя или IP-адрес сервера, а также каталог (путь должен начинаться с /), в котором размещён дистрибутив. При установке по FTP может также потребоваться указать имя пользователя и пароль.
Пример параметров подключения:
В указанном каталоге на сервере должны находиться:
Чтобы подготовить необходимую структуру каталогов, достаточно скопировать содержимое установочного диска в один из каталогов FTP-, HTTP-, NFS- или Samba-сервера. В приведённом примере это каталог /pub/netinstall.
При сетевой установке на клиентском компьютере может потребоваться настроить параметры сетевого подключения. В этом случае установщик предложит выбрать сетевую карту (если их несколько) и указать способ получения IP-адреса: статический (адрес необходимо ввести вручную) или динамический (по протоколу DHCP).
После успешного подключения к серверу в оперативную память компьютера загружается образ установочного диска. Затем начинается установка системы, аналогичная установке с локального носителя.
Глава 6. Сохранение данных и меры предосторожности
Если необходимо установить ОС Альт Рабочая станция K и при этом сохранить уже установленную на компьютере операционную систему (например, другую версию GNU/Linux или Microsoft Windows), необходимо предварительно подготовить компьютер к установке второй системы и обеспечить сохранность важных данных.
Если у вас нет загрузочного носителя для уже установленной операционной системы, создайте его. В случае прерывания установки ОС Альт Рабочая станция K или неправильной настройки загрузчика может оказаться невозможной загрузка ранее установленной ОС.
Если на диске, выбранном для установки ОС Альт Рабочая станция K, недостаточно свободного пространства, может потребоваться уменьшить размер одного из существующих разделов. Эта операция сопряжена с риском потери данных, поэтому перед её выполнением рекомендуется:
Проверить раздел, размер которого планируется уменьшить. Для этого используйте соответствующее программное обеспечение (далее — ПО), входящее в состав уже установленной ОС. Установщик Альт Рабочая станция K может обнаружить некоторые ошибки файловой системы при изменении размера раздела, однако специализированное ПО установленной ОС может предоставить более полную проверку.
При необходимости выполнить дефрагментацию раздела. Для некоторых файловых систем, например NTFS, дефрагментация может помочь переместить занятые области в начало раздела перед его уменьшением. Необходимость и способ выполнения дефрагментации зависят от используемой файловой системы.
Резервное копирование важных данных — наиболее надёжный способ защиты от их потери при изменении разделов.
Глава 7. Начало установки: загрузка системы
7.1. Способы первоначальной загрузки
Для загрузки компьютера с целью установки системы необходимо воспользоваться носителем, содержащим начальный загрузчик.
Простейший способ запустить программу установки — загрузить компьютер с помощью загрузочного носителя, например, находящегося на установочном USB-накопителе с дистрибутивом.
Для того чтобы начать установку ОС Альт Рабочая станция K, достаточно загрузиться с носителя, на котором записан дистрибутив.
Предварительно следует в настройках BIOS/UEFI выбрать загрузку с соответствующего носителя.
Информация о клавише или комбинации клавиш для входа в настройки BIOS/UEFI обычно отображается на экране при включении компьютера. Способ входа в меню BIOS/UEFI и информация о расположении настроек определяются производителем используемого оборудования. За информацией можно обратиться к документации на ваше оборудование.
Загрузка со специально подготовленного USB-накопителя начинается с меню, в котором перечислено несколько вариантов загрузки:
— установка операционной системы.
— установка по VNC, при которой управляющий компьютер подключается к устанавливаемой машине. Параметры установки по VNC передаются как параметры ядра. Нажатие клавиши E позволяет задать пароль (по умолчанию — VNCPWD):
— в этом режиме работа ОС Альт Рабочая станция K осуществляется непосредственно с установочного USB-накопителя, не затрагивая установленную на жестком диске ОС. Режим LiveCD позволяет быстро начать работу с компьютером, избегая длительного процесса установки ОС в постоянную память.
Установить систему, загрузившись в режиме , нельзя.
— позволяет включить или отключить добавление специальных параметров загрузки ядра, предназначенных для безопасного режима (может быть полезно для запуска системы на старом или нестабильном железе):
— позволяет выбрать язык интерфейса загрузчика и программы установки (нажатие клавиши F2 вызывает такое же действие);
— позволяет выбрать сетевой источник установки (нажатие клавиши
F4 вызывает такое же действие). Подробнее рассказано в разделе
Источники установки.
— проверка целостности оперативной памяти. Процесс диагностики заключается в проведении нескольких этапов тестирования каждого отдельного модуля ОЗУ (данный процесс будет выполняться бесконечно, пока его не остановят, необходимо дождаться окончания хотя бы одного цикла проверки);
— оболочка/терминал для прошивки, позволяющий запускать EFI-приложения, в том числе загрузчики UEFI;
— позволяет получить доступ к настройкам UEFI.
Начальный загрузчик в режиме Legacy:
Пункт позволяет запустить уже установленную на жёстком диске операционную систему.
Мышь на этом этапе установки не поддерживается. Для выбора опций установки и различных вариантов необходимо использовать клавиатуру.
Нажатием клавиши E можно вызвать редактор параметров текущего пункта загрузки. Если система настроена правильно, то редактировать их нет необходимости.
Чтобы начать процесс установки, нужно клавишами перемещения курсора вверх и вниз выбрать пункт меню и нажать Enter. Начальный этап установки не требует вмешательства пользователя: происходит автоматическое определение оборудования и запуск компонентов программы установки. Сообщения о происходящем на данном этапе можно просмотреть, нажав клавишу ESC.
Сочетание клавиш Ctrl+Alt+F1 — выдает технические сведения о выполнении процесса установки ОС Альт Рабочая станция K.
В начальном загрузчике установлено небольшое время ожидания: если в этот момент не предпринимать никаких действий, то будет загружена та система, которая уже установлена на жестком диске. Если вы пропустили нужный момент, перезагрузите компьютер и вовремя выберите пункт .
Глава 8. Последовательность установки
До установки базовой системы на жёсткий диск программа установки работает с образом системы, загруженным в оперативную память компьютера.
Если инициализация оборудования завершилась успешно, запускается графический интерфейс программы установки.
Процесс установки разделён на шаги. Каждый шаг посвящён настройке или установке определённого свойства системы. Шаги нужно проходить последовательно. Переход к следующему шагу происходит по нажатию кнопки Далее. При помощи кнопки Назад можно вернуться к уже пройденному шагу и изменить настройки. Однако возможность перехода к предыдущему шагу ограничена шагами, не зависящими от данных, введенных ранее.
В случае необходимости отменить установку следует нажать кнопку <Reset> на корпусе системного блока компьютера.
Отменить установку без риска повреждения данных на жестком диске можно только до шага
Подготовка диска, поскольку до этого момента изменения на жестком диске не производятся. Если прервать установку между шагами
Подготовка диска и
Установка загрузчика, существует вероятность, что после этого с жёсткого диска не сможет загрузиться ни одна из установленных систем (если такие имеются).
Технические сведения о ходе установки можно посмотреть, нажав Ctrl+Alt+F1, вернуться к программе установки — Ctrl+Alt+F7. При нажатии клавиш Ctrl+Alt+F2 открывается отладочная виртуальная консоль.
Каждый шаг сопровождается краткой справкой, которую можно вызвать, щёлкнув кнопку Справка или нажав клавишу F1.
Нажатие кнопки
позволяет показать или скрыть панель со списком шагов установки:
Во время установки системы выполняются следующие шаги:
Установка Альт Рабочая станция K начинается с выбора основного языка — языка интерфейса программы установки и устанавливаемой системы.
На этом же этапе выбирается вариант переключения раскладки клавиатуры. Раскладка клавиатуры — это соответствие букв, цифр и специальных символов клавишам на клавиатуре. Помимо ввода символов на основном языке, в любой системе Linux необходимо иметь возможность вводить латинские символы (имена команд, файлов и т.п.). Для этого обычно используется стандартная английская раскладка клавиатуры. Переключение между раскладками осуществляется при помощи специально зарезервированных для этого клавиш. Для русского языка доступны следующие варианты переключения раскладки:
Если выбранный основной язык имеет только одну раскладку (например, при выборе английского языка в качестве основного), эта раскладка будет выбрана автоматически.
Глава 10. Лицензионное соглашение
Перед продолжением установки следует внимательно прочитать условия лицензии. В лицензии говорится о ваших правах. В частности, за вами закрепляются права на:
эксплуатацию программ на любом количестве компьютеров и в любых целях;
распространение программ (сопровождая их копией авторского договора);
получение исходных текстов программ.
Если вы приобрели дистрибутив, то данное лицензионное соглашение прилагается в печатном виде к вашей копии дистрибутива. Лицензия относится ко всему дистрибутиву Альт Рабочая станция K. Если вы согласны с условиями лицензии, отметьте пункт Да, я согласен с условиями и нажмите Далее.
На данном этапе выполняется выбор региона и города, по которым определяются часовой пояс и системные часы.
Для корректной установки даты и времени достаточно правильно указать часовой пояс и выставить требуемые значения для даты и времени.
Для указания часового пояса в соответствующих списках выберите регион, а затем город. Поиск по списку можно ускорить, набирая на клавиатуре первые буквы искомого слова.
Пункт Хранить время в BIOS по Гринвичу задает хранение системного времени в BIOS по времени Гринвича и добавляет к местному времени часовую поправку для выбранного региона.
После выбора часового пояса будут предложены значения системной даты и времени по умолчанию.
Для ручной установки текущих даты и времени нужно нажать кнопку Изменить…. Откроется окно ручной настройки системных параметров даты и времени.
По умолчанию для синхронизации системных часов (NTP) с удаленным сервером по сети Интернет отмечен пункт Получать точное время с NTP-сервера и указан сервер 2.ru.pool.ntp.org.
Если выбрана опция Получать точное время с NTP-сервера, компьютер также может выступать в качестве сервера точного времени. Для работы компьютера в качестве сервера точного времени внутри локальной сети необходимо отметить пункт Работать как NTP-сервер.
Для сохранения настроек и продолжения установки системы в окне ручной установки даты и времени необходимо нажать кнопку ОК, а затем в окне Дата и время — кнопку Далее.
Если ОС Альт Рабочая станция K устанавливается как вторая ОС, необходимо снять отметку с пункта Хранить время в BIOS по Гринвичу, иначе время в уже установленной ОС может отображаться некорректно.
Глава 12. Настройка сети
На этом этапе необходимо задать параметры работы сетевой карты и настройки сети: IP-адреса сетевых интерфейсов, DNS-сервер, шлюз и т.п.
В окне
Настройка сети можно заполнить следующие поля:
Имя компьютера — сетевое имя компьютера (это общий сетевой параметр, не привязанный к какому-либо конкретному интерфейсу);
Интерфейсы — список доступных сетевых интерфейсов;
Версия протокола IP — используемая версия IP-протокола (IPv4, IPv6);
Конфигурация — способ назначения IP-адресов (, , );
IP-адреса — пул назначенных IP-адресов (формируется из введённых в поле Добавить ↑ IP, для удаления адреса используется кнопка Удалить);
Добавить ↑ IP — позволяет вручную ввести IP-адрес и выбрать маску сети из выпадающего списка. Для добавления адреса в пул IP-адресов нужно нажать кнопку Добавить;
Шлюз по умолчанию — адрес маршрутизатора (шлюза), используемого по умолчанию;
DNS-серверы — список DNS-серверов, используемых для разрешения доменных имён;
Домены поиска — список доменов, по которым будет выполняться поиск (используется, например, при неполных DNS-запросах).
При переключении конфигурации с на в поле IP-адреса может отображаться IP-адрес, полученный по DHCP. Этот адрес никак не используется в дальнейшей настройке. Необходимо удалить отображаемый IP-адрес и задать адрес вручную, иначе сетевому интерфейсу будет назначен IP-адрес локальной заглушки (например, 127.0.0.2).
Конкретные значения зависят от используемого сетевого окружения. Ручного введения настроек можно избежать, если в сети уже есть настроенный DHCP-сервер. В этом случае все необходимые сетевые настройки будут получены автоматически.
В окне, открываемом при нажатии кнопки Дополнительно, можно выбрать сетевую подсистему (NetworkManager, Etcnet) для данного интерфейса, а также указать, должен ли интерфейс запускаться автоматически при загрузке системы.
Для совместимости с именем компьютера в сетях Windows (netbios name), имя компьютера не должно превышать 15 символов.
Для сохранения настроек сети и продолжения работы программы установки необходимо нажать кнопку Далее.
12.1. Настройка Wi-Fi-соединения
При наличии беспроводной сетевой карты на этом шаге возможно настроить подключение к беспроводной сети.
Для настройки подключения необходимо:
В списке Интерфейсы выбрать беспроводной интерфейс и нажать кнопку Настройка беспроводной связи…:
В списке Найденные сети выбрать нужную сеть и нажать кнопку Настроить:
Если нужная сеть не отображается в списке Найденные сети, нажмите кнопку Сканировать.
В списке Настроенные сети выбрать добавленную сеть, в поле Защита указать режим безопасности, а в поле Сменить пароль — пароль для подключения к точке доступа:
Для применения настроек нажать кнопку Применить.
Для возврата к основным настройкам нажать кнопку OK.
Для создания VLAN-интерфейсов необходимо выполнить следующие действия:
В списке Интерфейсы выбрать сетевой интерфейс и нажать кнопку Настройка VLAN…:
Ввести VLAN ID (число от 1 до 4095) в поле VID и нажать кнопку Добавить VLAN:
Следует обратить внимание, что значение 4094 является верхней допустимой границей идентификатора VLAN. Значение 4095 зарезервировано и используется для технических нужд, например, при отбрасывании трафика с некорректным VLAN.
Повторить предыдущий пункт, если требуется создать несколько VLAN-интерфейсов.
Для возврата к основным настройкам нажать кнопку Назад.
В результате будут созданы виртуальные интерфейсы с именем, содержащим VLAN ID. Для этих интерфейсов можно задать IP-адрес и при необходимости дополнительные параметры:
Для удаления VLAN-интерфейса следует в списке Интерфейсы выбрать «родительский» сетевой интерфейс и нажать кнопку Настройка VLAN…. Затем в открывшемся окне выбрать нужный VLAN-интерфейс и нажать кнопку Удалить.
Глава 13. Выбор дополнительных приложений
На данном этапе программа установки предлагает выбрать дополнительные пакеты программ, которые будут включены в состав ОС Альт Рабочая станция K и установлены вместе с ней на диск.
В дистрибутиве Альт Рабочая станция K доступно значительное количество программ (до нескольких тысяч), часть из них составляет саму операционную систему, а остальные — это прикладные программы и утилиты.
В ОС Альт Рабочая станция K все операции установки и удаления производятся над пакетами — отдельными компонентами системы. Пакет и программа соотносятся неоднозначно: иногда одна программа состоит из нескольких пакетов, иногда один пакет включает несколько программ.
В процессе установки системы обычно не требуется детализированный выбор компонентов на уровне пакетов — это требует слишком много времени и знаний от проводящего установку, тем более, что комплектация дистрибутива подбирается таким образом, чтобы из имеющихся программ можно было составить полноценную рабочую среду для соответствующей аудитории пользователей. Поэтому в процессе установки системы пользователю предлагается выбрать из небольшого списка групп пакетов именно те, которые необходимы для решения наиболее распространённых задач.
Рабочая станция — пользователю будет доступна стандартная рабочая среда;
Веб-терминал — пользователю будет доступна рабочая среда, состоящая из одного веб-браузера.
При выборе профиля Рабочая станция можно изменить состав устанавливаемых пакетов.
Выбирать пакеты при выборе профиля Веб-терминал не имеет смысла, так как пользователям в любом случае будет доступен только веб-браузер.
Для удобства дополнительные приложения сгруппированы по решаемым задачам. Опция Показывать состав группы выводит список программных пакетов, входящих в состав той или иной группы пакетов:
Под списком групп на экране отображается информация об объёме дискового пространства, которое будет занято после установки пакетов, входящих в выбранные группы.
Выбирать группу пакетов Планшетный компьютер следует только в том случае, если вы устанавливаете систему на планшетный компьютер с сенсорным экраном.
При выборе группы пакетов Веб-терминал пользователю будет доступна рабочая среда, состоящая из одного веб-браузера.
Выбрав необходимые группы, следует нажать Далее.
Глава 14. Подготовка диска
На этом этапе программа установки подготавливает место для установки Альт Рабочая станция K: в первую очередь выделяется свободное место на диске.
Переход к этому шагу может занять некоторое время. Продолжительность ожидания зависит от производительности компьютера, объема жесткого диска, количества разделов на нем и других параметров.
14.1. Выбор профиля разбиения диска
После завершения первичной конфигурации загрузочного носителя откроется окно Подготовка диска. В списке разделов перечислены уже существующие на жёстких дисках разделы (в том числе здесь могут оказаться съёмные USB-накопители, подключённые к компьютеру во время установки).
В списке
Выберите профиль перечислены доступные профили разбиения диска. Профиль — это шаблон распределения места на диске для установки ОС. Можно выбрать один из следующих профилей:
Установка рабочей станции (совместима с Timeshift);
Установка рабочей станции;
Установка рабочей станции (без LVM);
Вручную.
Первые три профиля предполагают автоматическое разбиение диска. Рядом с названием профиля указан минимальный объем свободного места на диске, требуемый для установки в соответствии с данным профилем.
14.2. Автоматические профили разбиения диска
Если установка выполняется в режиме UEFI, при разбиении диска автоматически создается раздел /boot/efi размером 512 Мбайт.
При выборе профиля Установка рабочей станции (совместима с Timeshift) создаётся раздел BtrFS с разбивкой на подразделы @ и @home:
Для создания резервных копий системы (снимков), с использованием встроенных средств файловой системы BtrFS, можно использовать программу
Timeshift (см.
Резервное копирование (Timeshift)).
При выборе профиля Установка рабочей станции создаётся логический том с разбивкой на swap и корень:
При выборе профиля Установка рабочей станции (без LVM) выделяются отдельные разделы для подкачки, для EFI и для корневой файловой системы:
Если результат вас по каким-либо причинам не устраивает, прямо сейчас можно его отредактировать.
От возможности редактировать результат разбиения можно отказаться, сняв выделение с пункта Предложить сделать мои изменения после применения профиля. В этом случае информация о распределении дискового пространства на экране отображаться не будет. После выполнения изменений на жестком диске начнется установка базовой системы. Этот вариант подходит для установки на чистый диск.
Будьте внимательны при отключении пункта Предложить сделать мои изменения после применения профиля соответствующие изменения на диске происходят сразу же по нажатию кнопки Далее.
Если при применении одного из профилей автоматического разбиения диска окажется, что доступного места недостаточно, на экран будет выведено сообщение об ошибке: Невозможно применить профиль, недостаточно места на диске:
Для решения этой проблемы можно полностью очистить место на диске, отметив пункт Очистить выбранные диски перед применением профиля и применить профиль повторно.
Если сообщение о недостатке места на диске появляется и при отмеченном пункте Очистить выбранные диски перед применением профиля, то это связано с недостаточным для использования автоматических методов разметки объёмом выбранных дисков. В этом случае можно воспользоваться методом ручной разметки: профиль Вручную.
Будьте осторожны при применении профиля Очистить выбранные диски перед применением профиля! В этом случае будут удалены все данные с выбранных дисков (включая внешние USB-носители) без возможности восстановления. Рекомендуется использовать эту возможность только при полной уверенности в том, что выбранные диски не содержат ценных данных.
Для продолжения установки следует нажать кнопку Далее. Появится окно со списком настроенных разделов и их точек монтирования. Если вы уверены в том, что подготовка диска завершена, подтвердите переход к следующему шагу нажатием кнопки ОК.
14.3. Ручной профиль разбиения диска
При необходимости освободить часть дискового пространства следует воспользоваться профилем разбиения Вручную. В этом случае можно удалить некоторые из существующих разделов или содержащиеся в них файловые системы. После этого можно создать разделы самостоятельно или вернуться к шагу выбора профиля и применить один из автоматических профилей. Выбор этого варианта требует знаний об устройстве диска и принципах его разбиения.
При нажатии кнопки Далее будет выполнена запись новой таблицы разделов на диск и форматирование разделов. Разделы, только что созданные на диске программой установки, пока не содержат данных и поэтому форматируются без предупреждения. Уже существовавшие, но измененные разделы, которые будут отформатированы, помечаются специальным значком в колонке Файловая система слева от названия.
Не следует форматировать разделы, содержащие данные, которые необходимо сохранить, например пользовательские данные (/home) или другие операционные системы. При этом можно форматировать разделы, которые необходимо «очистить», то есть удалить все содержащиеся в них данные.
Не уменьшайте NTFS-раздел с установленной Microsoft Windows Vista/Windows 7 средствами программы установки. В противном случае вы не сможете загрузить Microsoft Windows Vista/Windows 7 после установки Альт Рабочая станция K. Для выделения места под установку Альт Рабочая станция K воспользуйтесь средствами, предоставляемыми самой Microsoft Windows Vista/Windows 7: Управление дисками → Сжать.
Для корректной работы системы, в частности для ее загрузки в режиме UEFI, при ручном разбиении диска следует указать точку монтирования /boot/efi для раздела ESP и смонтировать в нее раздел с файловой системой VFAT, содержащий загрузочные файлы. Если такого раздела нет, его необходимо создать вручную. При автоматическом разбиении диска такой раздел создает установщик.
Особенности разбиения диска в UEFI-режиме:
требуется создать новый или подключить существующий раздел ESP (EFI System Partition) с файловой системой FAT32 и типом GPT efi system partition, размером ~100—500 Мб, раздел будет смонтирован в /boot/efi;
остальные разделы, включая разделы с файловыми системами и раздел подкачки, имеют GPT-тип basic data; тип файловой системы для каждого раздела задается отдельно.
Для сохранения всех внесенных настроек и продолжения установки в окне Подготовка диска нужно нажать кнопку Далее. Появится окно со списком настроенных разделов и их точек монтирования. Если вы уверены в том, что подготовка диска завершена, подтвердите переход к следующему шагу нажатием кнопки ОК.
14.4. Дополнительные возможности разбиения диска
Ручной профиль разбиения диска позволяет установить ОС на программный RAID-массив, разместить разделы в томах LVM и использовать шифрование на разделах. Использование этих возможностей требует от пользователя понимания принципов функционирования соответствующих технологий.
14.4.1. Создание программного RAID-массива
Избыточный массив независимых дисков RAID (Redundant Array of Independent Disks) — технология виртуализации данных, которая объединяет несколько накопителей в логический массив для обеспечения избыточности и повышения производительности.
Для создания программного RAID-массива потребуется не менее двух накопителей.
Программа установки поддерживает создание программных RAID-массивов следующих типов:
RAID 1;
RAID 0;
RAID 4/5/6;
RAID 10.
Процесс подготовки к установке на RAID-массив условно можно разбить на следующие шаги:
создание разделов на жёстких дисках;
создание RAID-массивов из разделов жёстких дисков;
создание файловых систем на RAID-массиве.
Для создания программного RAID-массива может потребоваться предварительно удалить существующую таблицу разделов с жёсткого диска.
Системный раздел EFI должен быть физическим разделом в основной таблице разделов диска.
Для настройки параметров нового раздела из состава RAID-массива необходимо выбрать неразмеченный диск в окне профиля разбивки пространства Вручную и нажать кнопку Создать раздел:
Для создания программного RAID-массива на GPT-разделах в открывшемся окне необходимо настроить следующие параметры:
Размер — указать размер будущего раздела в Мбайт;
Смещение — указать смещение начала данных на диске в Мбайт;
Тип раздела — в выпадающем списке выбрать значение basic data для последующего включения раздела в RAID-массив;
Создать том — снять отметку с этого пункта, чтобы том не создавался.
В режиме Legacy при создании разделов на жёстких дисках для последующего включения их в RAID-массивы следует указать Тип раздела для них равным :
На втором диске создать два раздела с типом без создания на них томов. При этом разделы на разных дисках должны иметь одинаковый размер.
При создании разделов следует учитывать, что объём результирующего массива может зависеть от размера разделов, включённых в него. Например, при создании RAID 1 результирующий размер массива будет равен размеру наименьшего раздела.
После создания разделов на дисках можно переходить к организации самих RAID-массивов. Для этого в списке следует выбрать пункт RAID, после чего нажать кнопку Создать RAID:
Далее мастер предложит выбрать тип массива:
И указать участников RAID-массива (по умолчанию выбираются все разделы, поэтому необходимо снять отметку с раздела ):
Результат создания RAID-массива:
После создания RAID-массива его можно использовать как блочный раздел: создавать на нем файловые системы или, например, включать его в состав LVM-томов.
После установки системы можно создать дополнительный RAID-массив и настроить резервирование загрузочного раздела (/boot/efi).
14.4.2. Создание LVM-томов
Менеджер логических дисков LVM (Logical Volume Manager) — средство гибкого управления дисковым пространством, позволяющее создавать поверх физических разделов (либо неразмеченных дисков) логические тома, которые в системе отображаются как обычные блочные устройства с данными (аналогично разделам).
Для создания группы томов LVM может потребоваться предварительно удалить существующую таблицу разделов с жёсткого диска.
Системный раздел EFI должен быть физическим разделом в основной таблице разделов диска, не под LVM.
Процесс подготовки к установке на LVM условно можно разбить на следующие шаги:
создание разделов на жёстких дисках;
создание группы томов LVM;
создание томов LVM;
создание файловых систем на томах LVM.
Для настройки параметров нового раздела необходимо выбрать неразмеченный диск в окне профиля разбивки пространства Вручную и нажать кнопку Создать раздел:
При создании разделов на жёстких дисках для последующего включения их в LVM-тома следует указать Тип раздела для них равным и не создавать на них том (снять отметку с пункта Создать том):
В режиме Legacy при создании разделов на жёстких дисках для последующего включения их в LVM-тома следует указать Тип раздела для них равным :
После создания разделов на дисках можно переходить к созданию группы томов LVM. Для этого в списке следует выбрать пункт LVM, после чего нажать кнопку Создать группу томов:
В открывшемся окне необходимо выбрать разделы, которые будут входить в группу томов, указать название группы томов и выбрать размер экстента:
Размер экстента представляет собой минимальный объем пространства, который может быть выделен тому. Размер экстента по умолчанию составляет 65536 секторов (65536*512 байт = 32 Мб, где 512 байт — размер сектора).
После создания группы томов LVM её можно использовать аналогично обычному жесткому диску: внутри группы томов можно создавать тома (аналог раздела на физическом жёстком диске), а внутри томов — файловые системы.
14.4.3. Создание шифрованных разделов
Программа установки Альт Рабочая станция K позволяет создавать шифрованные разделы с использованием встроенных средств шифрования.
Для создания шифрованного раздела нужно выбрать требуемый диск и нажать кнопку Создать шифруемый раздел:
В открывшемся окне доступны следующие настройки:
Размер — общий размер создаваемого зашифрованного тома;
Смещение — смещение начала раздела на диске в Мбайт; значение можно задать с помощью ползунка или ввести с клавиатуры;
Тип раздела — в выпадающем поле нужно выбрать значение Linux filesystem или basic data (Linux в режиме Legacy);
Зашифровать том — включить параметр для шифрования создаваемого тома.
Далее следует выбрать созданный раздел в списке и нажать кнопку Создать том:
На следующем шаге необходимо выбрать файловую систему:
В окне Создать файловую систему можно указать параметры файловой системы (метку тома, необходимость создания журнала Ext3 и включения расширений Ext4):
В окне Изменить точку монтирования необходимо указать точку монтирования и параметры монтирования раздела:
Установка загрузчика на шифрованный раздел не поддерживается.
14.4.4. Создание подтомов BtrFS
BtrFS — файловая система, которая может работать с очень большими файлами, имеется поддержка снимков файловой системы (снапшотов), сжатие и подтома.
Подтом (subvolume) не является блочным устройством, но в каждом томе btrfs создаётся один подтом верхнего уровня (subvolid=5), в этом подтоме могут создаваться другие подтома и снапшоты. Подтома (подразделы, subvolumes) создаются ниже вершины дерева BtrFS по мере необходимости, например, для
/ и
/home создаются подтома с именами @ и @home. Это означает, что для монтирования подтомов необходимы определенные параметры вместо корня системы BtrFS по умолчанию:
Программа установки Альт Рабочая станция K позволяет создать подтома (subvolume), указав разные точки монтирования.
Процесс подготовки к установке на подтома условно можно разбить на следующие шаги:
Для настройки параметров нового раздела необходимо выбрать неразмеченный диск в окне профиля разбивки пространства Вручную и нажать кнопку Создать раздел:
При создании раздела на жёстком диске следует указать Тип раздела равным или :
В режиме Legacy при создании раздела на жёстком диске для последующего создания подтомов BtrFS следует указать Тип раздела равным :
На следующем шаге выбрать файловую систему BtrFS:
В окне Изменить точку монтирования нажать кнопку Отмена (не указывать точку монтирования для раздела):
После создания раздела можно переходить к созданию подтомов. Для этого в списке разделов следует выбрать раздел с файловой системой BtrFS и нажать кнопку Создать подтом:
В открывшемся окне следует указать имя подтома или путь до него. Создание подтома @home:
Данное действие следует повторить для создания подтома @.
После создания подтомов необходимо указать точки монтирования для каждого подтома. Для этого следует выбрать подтом и нажать кнопку Изменить точку монтирования:
В открывшемся окне указать точку монтирования:
После указания точек монтирования для подтомов можно установить систему как обычно.
Глава 15. Установка системы
На данном этапе происходит распаковка ядра и установка набора программ, необходимых для работы ОС Альт Рабочая станция K.
Установка происходит автоматически в два этапа:
получение пакетов;
установка пакетов.
Получение пакетов осуществляется из источника, выбранного на этапе начальной загрузки. При сетевой установке время выполнения этого шага зависит от скорости соединения и может быть значительно больше по сравнению с локальной установкой.
Глава 16. Сохранение настроек
Начиная с данного этапа, программа установки работает с файлами установленной базовой системы. Все последующие изменения можно будет выполнить после завершения установки путём редактирования соответствующих конфигурационных файлов или с помощью модулей управления, включенных в состав дистрибутива.
По завершении установки базовой системы начинается шаг сохранения настроек. Он проходит автоматически и не требует вмешательства пользователя. На экране отображается индикатор выполнения.
На этом шаге производится перенос настроек, выполненных на первых шагах установки, в только что установленную базовую систему. Производится также запись информации о соответствии разделов жесткого диска смонтированным на них файловым системам (заполняется конфигурационный файл /etc/fstab).
После сохранения настроек осуществляется автоматический переход к следующему шагу.
Глава 17. Установка загрузчика
Загрузчик ОС — это программа, которая позволяет загружать ОС Альт Рабочая станция K другие ОС, если они установлены на данной машине.
При установке в режиме
EFI модуль установки загрузчика предложит вариант установить загрузчик в специальный раздел «» (рекомендуется выбрать автоматическое разбиение на этапе разметки диска для создания необходимых разделов для загрузки с
EFI):
Варианты установки загрузчика при установке в режиме EFI:
— при установке загрузчика в NVRAM добавляется запись, без которой большинство компьютеров не смогут загрузиться во вновь установленную ОС;
— перед добавлением записи всё содержимое NVRAM сохраняется в /root/.install-log, после чего из NVRAM удаляются все загрузочные записи. Это освобождает место в NVRAM и гарантирует, что система загрузится в установленную ОС;
— этот вариант следует выбирать, только если установщик не может создать запись в NVRAM или если заранее известно, что запись в NVRAM может привести к неработоспособности компьютера. В этом случае запись в NVRAM, возможно, потребуется создать после установки ОС средствами BIOS Setup;
— этот вариант следует выбирать, если ОС устанавливается на съёмный накопитель, при размещении раздела ESP на RAID1 с суперблоком версии 1.0, а также при наличии иных причин не создавать запись в NVRAM.
Выбор варианта установки загрузчика зависит от вашего оборудования. Если один вариант не работает, попробуйте использовать другой.
Установка загрузчика при установке в режиме Legacy:
Программа установки автоматически определяет раздел жёсткого диска, в котором следует разместить загрузчик для корректного запуска ОС Альт Рабочая станция K. При необходимости расположение загрузчика можно изменить в списке Устройство, выбрав другой раздел.
Если планируется использовать и другие операционные системы, уже установленные на этом компьютере, то имеет значение, на каком жёстком диске или в каком разделе будет расположен загрузчик.
Для ограничения доступа к параметрам загрузки можно установить пароль на загрузчик. Для этого необходимо отметить пункт Установить или сбросить пароль и задать пароль в появившихся полях для ввода.
При необходимости изменения параметров загрузки при старте компьютера потребуется ввести имя пользователя «boot» и пароль, заданный на этом шаге.
Для подтверждения выбора и продолжения работы программы установки необходимо нажать кнопку Далее.
Глава 18. Установка пароля на шифрованные разделы
Если вы не создавали шифруемые разделы, то этот шаг пропускается автоматически. В этом случае сразу переходите к главе
Администратор системы.
На этом этапе требуется ввести пароль для шифруемых разделов. Этот пароль потребуется вводить для того, чтобы получать доступ к информации на данных разделах.
Например, если зашифрован раздел /home, при загрузке системы потребуется ввести пароль для его разблокировки. До разблокировки раздела доступ к пользовательским данным будет невозможен.
Внимание! Запомните этот пароль (набранный вручную или сгенерированный автоматически), так как, без знания пароля, доступ к зашифрованным разделам будет невозможен.
Глава 19. Администратор системы
На данном этапе создаётся учетная запись администратора. В открывшемся окне необходимо ввести пароль учетной записи администратора (root). Чтобы исключить опечатки при вводе пароля, пароль учетной записи вводится дважды.
Чтобы избежать последствий неверной раскладки клавиатуры, можно просмотреть пароль, который будет сохранен. Для этого нажмите на значок глаза в поле ввода:
Для автоматической генерации пароля необходимо отметить пункт Создать автоматически. Система предложит пароль, сгенерированный в соответствии с требованиями к стойкости паролей.
В любой системе Linux всегда присутствует один специальный пользователь — администратор системы, он же суперпользователь. Для него зарезервировано стандартное системное имя — root.
Администратор системы отличается от обычных пользователей тем, что ему разрешено выполнять любые, в том числе критически важные, изменения в системе. Поэтому выбор надежного пароля администратора системы является важным аспектом безопасности. Любой пользователь, получивший этот пароль, сможет получить права суперпользователя. Неосторожные действия от имени root также могут привести к критическим последствиям для системы.
Необходимо запомнить пароль root — он потребуется для получения прав на изменение любых настроек системы с помощью стандартных средств настройки Альт Рабочая станция K. Более подробная информация о режиме суперпользователя приведена в главе
Режим суперпользователя.
Чтобы подтвердить введённый (или сгенерированный) пароль учётной записи администратора (root) и продолжить установку, необходимо нажать кнопку Далее.
Глава 20. Системный пользователь
На данном этапе создаётся учётная запись обычного пользователя ОС Альт Рабочая станция K.
Помимо учётной записи администратора (root) в систему необходимо добавить по меньшей мере одного обычного пользователя. Для повседневной работы рекомендуется использовать учётную запись с ограниченными правами, а не учётную запись root.
При добавлении пользователя необходимо ввести имя учётной записи. Имя учётной записи должно состоять только из строчных латинских букв, цифр и символа подчёркивания _. Имя не может начинаться с цифры или символа подчёркивания.
Для исключения опечаток пароль пользователя вводится дважды. Пароль можно создать автоматически.
Для автоматической генерации пароля необходимо отметить пункт Создать автоматически. Система предложит пароль, сгенерированный в соответствии с требованиями к стойкости паролей.
В процессе установки предлагается создать только одну учётную запись обычного пользователя. Эту учётную запись можно использовать для выполнения задач, не требующих привилегий суперпользователя. Учётные записи других пользователей системы можно создать в любой момент после установки операционной системы.
Если отметить пункт Автоматический вход в систему, пользователь будет автоматически входить в систему.
Чтобы подтвердить введённый (или сгенерированный) пароль учётной записи пользователя и продолжить установку, необходимо нажать кнопку Далее.
Глава 21. Завершение установки
На экране последнего шага установки отображается информация о завершении установки Альт Рабочая станция K.
После нажатия кнопки Завершить и перезагрузки компьютера выполняется штатная загрузка установленной ОС.
Если компьютер продолжает загружаться с установочного носителя, извлеките его или измените порядок загрузки в BIOS/UEFI, установив диск с установленной ОС первым в списке загрузочных устройств.
Глава 22. Установка OEM-версии ОС Альт Рабочая станция K
При установке ОС Альт Рабочая станция K в режиме OEM операционная система устанавливается с учётной записью временного пользователя и подготавливается для будущего пользователя. В этом режиме можно выполнить всю аппаратную настройку и выбрать необходимые пакеты программ. Пользователю при первом запуске будет предоставлена возможность выполнить персональные настройки: задать имя пользователя, выбрать язык интерфейса и т.д.
После завершения установки компьютер можно передать конечному пользователю.
При первой загрузке системы пользователь попадет в мастер начальной настройки системы, который состоит из следующих шагов:
Выбор основного языка системы:
Сообщение с напоминанием о том, что производится первоначальная настройка системы, а не установка:
Настройка сетевых параметров:
Выбор часового пояса, по которому будут установлены часы:
Установка пароля учетной записи администратора (root):
Возможность удаления ранее созданных учётных записей системных пользователей:
Не удаляйте пользователя nobody. Этот системный пользователь используется для обеспечения безопасности и корректной работы некоторых служб.
Создание новой учётной записи системного пользователя:
Завершение настройки системы:
Глава 23. Обновление системы до актуального состояния
После установки системы рекомендуется сразу установить последние доступные обновления. Если система не будет подключаться к сети или Интернету и дополнительные программы устанавливаться не будут, обновление можно выполнить позднее.
Глава 24. Автоматическая установка системы (autoinstall)
ОС Альт Рабочая станция K можно установить в автоматическом режиме. Для этого необходимо иметь установочный носитель и доступный по сети (по протоколам HTTP или FTP) каталог с несколькими файлами.
Пример настройки FTP-сервера см. в разделе
FTP.
24.1. Файлы автоустановки
Файлы автоустановки:
pkg-groups.tar — архив, содержащий дополнительные к базовой системе группы пакетов;
autoinstall.scm — сценарий автоматической установки на языке Scheme;
vm-profile.scm — различные варианты автоматической разбивки жёсткого диска на языке Scheme;
install-scripts.tar — архив, содержащий дополнительные скрипты для preinstall.d и postinstall.d в одноимённых каталогах. Скрипты должны быть исполняемыми. Скрипты из архива заменяют одноимённые скрипты инсталлятора.
Файлы, описывающие процесс установки, необходимо поместить в каталог (например, metadata), доступный по сети по протоколам HTTP или FTP.
24.1.1. Формат файла vm-profile.scm
Файл vm-profile.scm содержит сценарий на языке Scheme, описывающий профили автоматической разметки жёсткого диска.
Пример файла
vm-profile.scm с одним профилем разметки (kworkstation):
((kworkstation
(title . "Setup for kworkstation")
(action . trivial)
(actiondata ("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods plain))
("/" (size 62914560 . 62914560 ) (fsim . "Ext4") (methods plain))
("/home" (size 20971520 . #t ) (fsim . "Ext4") (methods plain))))
)
В примере задана следующая разметка:
подкачка (swap) — 1024 МБ;
корневой раздел (/) — 30 ГБ;
/home — всё оставшееся место, но не менее 10nbsp;ГБ.
Все значения размеров в файле vm-profile.scm задаются в блоках размером 512 байт. Для перевода значения в байты необходимо умножить его на 512.
При установке в режиме EFI добавлять запись для /boot/efi в профиль не требуется – установщик создаст этот раздел автоматически.
Каждая запись в
actiondata описывает отдельный раздел, логический том или файловую систему. Общий формат:
("<точка монтирования>"
(size <минимальный размер> . <максимальный размер>)
(fsim . "<тип файловой системы>")
(luks . #t)
(methods <метод>))
Таблица 24.1. Описание параметров actiondata
|
Параметр
|
Описание
|
|
"<точка монтирования>"
|
Точка монтирования или обозначение раздела подкачки. Например: /, /home, swap
|
|
(size MIN . MAX)
|
Размер раздела в 512-байтных блоках. MIN — минимальный размер, MAX — максимальный. Значение #t в качестве максимального размера означает использование всего оставшегося пространства
|
|
(fsim . "…")
|
Тип файловой системы
|
|
(methods …)
|
Метод размещения раздела: обычный раздел, LVM, RAID
|
|
(luks . #t)
|
Признак шифрования устройства с использованием LUKS. Значение #t включает шифрование. Если параметр отсутствует, шифрование не используется
|
|
(subvols …)
|
Описание подтомов BtrFS (используется только для BtrFS)
|
Поле
fsim определяет тип создаваемой файловой системы. Примеры:
Ext4 — файловая система Ext4;
XFS — файловая система XFS;
SWAPFS — раздел подкачки (swap);
BtrFS — файловая система BtrFS;
FAT32 — файловая система FAT32 (например, для EFI-раздела).
Поле methods определяет способ размещения раздела или файловой системы при автоматической разметке диска.
Общий формат:
(methods <метод>)
или:
(methods (<метод> <параметры>))
Возможные методы:
plain — обычный раздел без LVM и RAID;
lvm — размещение раздела в логическом томе LVM;
raid — размещение раздела в программном RAID (mdadm).
Методы могут комбинироваться. Например:
(methods (raid (level . 1)) lvm)
В этом случае:
Создаётся RAID-массив.
Поверх RAID создаётся LVM.
Файловая система размещается внутри логического тома.
Пример файла
vm-profile.scm с несколькими профилями:
((kworkstation
(title . "Setup for kworkstation")
(action . trivial)
(actiondata ("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods plain))
("/" (size 62914560 . 62914560 ) (fsim . "Ext4") (methods plain))
("/home" (size 20971520 . #t ) (fsim . "Ext4") (methods plain))))
(kworkstation_lvm
(title . "Setup for kworkstation LVM")
(action . trivial)
(actiondata ("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods lvm))
("/" (size 62914560 . #t ) (fsim . "Ext4") (methods lvm))))
(kworkstation_luks
(title . "Setup for kworkstation LUKS")
(action . trivial)
(actiondata ("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods plain))
("/" (size 62914560 . 62914560 ) (fsim . "Ext4") (methods plain))
("/home" (size 20971520 . #t) (fsim . "Ext4") (luks . #t) (methods plain))))
(timeshift
(title . "Timeshift-compatible setup")
(action . trivial)
(actiondata ("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods plain))
("" (size 62914560 . #t) (fsim . "BtrFS") (methods plain) (subvols ("@" . "/") ("@home" . "/home")))))
)
В примере определены следующие профили:
kworkstation — раздел подкачки (swap), корневой раздел / и раздел /home;
kworkstation_lvm — раздел подкачки (swap) и корневой раздел / в томе LVM;
kworkstation_luks — раздел подкачки (swap), корневой раздел / и зашифрованный раздел /home;
timeshift — раздел подкачки (swap) и файловая система BtrFS с подтомами @ и @home.
Имя используемого профиля указывается в файле
autoinstall.scm:
("/evms/profiles/kworkstation" action apply commit #f clearall #t exclude ())
В текущей версии автоустановки невозможно указать конкретный жёсткий диск — установка выполняется на первый обнаруженный диск в системе.
Автоустановщик поддерживает создание профилей с использованием LVM.
Для размещения раздела в LVM необходимо использовать конструкцию:
(methods (lvm (vg . "имя группы томов") (lv . "имя тома")))
где:
Пример профиля с пользовательскими именами VG и LV:
((kworkstation_lvm
(title . "Setup for kworkstation LVM")
(action . trivial)
(actiondata ("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods (lvm (vg . "vg1") (lv . "lv1"))))
("/" (size 41943040 . 41943040) (fsim . "Ext4") (methods (lvm (vg . "vg1") (lv . "lv2"))))
("/home" (size 20971520 . #t ) (fsim . "Ext4") (methods (lvm (vg . "vg1") (lv . "lv3"))))))
)
Результат разметки:
$ lsblk
NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINTS
sda 8:0 0 60G 0 disk
├─sda1 8:1 0 511M 0 part /boot/efi
└─sda2 8:2 0 59,5G 0 part
├─vg1-lv1 253:0 0 1G 0 lvm [SWAP]
├─vg1-lv2 253:1 0 20G 0 lvm /
└─vg1-lv3 253:2 0 38,5G 0 lvm /home
sr0 11:0 1 7,7G 1 rom
Если параметр
(lv . "…") не указан, имя логического тома формируется автоматически на основе имени раздела. Например:
/ — root;
/home — home;
swap — swap.
Пример:
((kworkstation_lvm
(title . "Setup for kworkstation LVM")
(action . trivial)
(actiondata ("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods (lvm (vg . "vg1"))))
("/" (size 16384000 . #t ) (fsim . "Ext4") (methods (lvm (vg . "vg1"))))))
)
Результат разметки:
$ lsblk
NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINTS
sda 8:0 0 80G 0 disk
├─sda1 8:1 0 511M 0 part /boot/efi
└─sda2 8:2 0 79,5G 0 part
├─vg1-swap 253:0 0 1G 0 lvm [SWAP]
└─vg1-root 253:1 0 78,5G 0 lvm /
sr0 11:0 1 7,7G 0 rom
Можно указать имя группы томов (vg) и оставить автоматическое имя LV только для части разделов:
((kworkstation_lvm
(title . "Setup for kworkstation LVM")
(action . trivial)
(actiondata ("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods (lvm (vg . "vg1"))))
("/" (size 16384000 . #t ) (fsim . "Ext4") (methods (lvm (vg . "vg1")(lv . "lv1"))))))
)
Результат разметки:
$ lsblk
NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINTS
sda 8:0 0 80G 0 disk
├─sda1 8:1 0 511M 0 part /boot/efi
└─sda2 8:2 0 79,5G 0 part
├─vg1-swap 253:0 0 1G 0 lvm [SWAP]
└─vg1-lv1 253:1 0 78,5G 0 lvm /
sr0 11:0 1 7,7G 0 rom
Если параметр
(vg . "…") не указан, автоматически создаётся группа томов с именем alt. Пример:
((kworkstation_lvm
(title . "Setup for kworkstation LVM")
(action . trivial)
(actiondata ("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods lvm))
("/" (size 16384000 . #t) (fsim . "Ext4") (methods lvm))))
)
Результат разметки:
$ lsblk
NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINTS
sda 8:0 0 80G 0 disk
├─sda1 8:1 0 511M 0 part /boot/efi
└─sda2 8:2 0 79,5G 0 part
├─alt-swap 253:0 0 1G 0 lvm [SWAP]
└─alt-root 253:1 0 78,5G 0 lvm /
sr0 11:0 1 7,7G 0 rom
Если хотя бы для одного раздела используется параметр vg, его необходимо указывать для всех разделов, размещаемых в LVM. Смешивание разделов с явно заданным vg и разделов с methods lvm без vg может приводить к ошибкам при автоматической разметке диска.
24.1.1.2. Профиль с RAID
Автоустановщик поддерживает создание профилей с использованием программного RAID (mdadm).
При повторной установке системы на диски с существующей RAID-разметкой установка может завершиться ошибкой на этапе разметки дисков. В этом случае необходимо повторно запустить установку системы или предварительно удалить существующую разметку дисков.
Для настройки RAID можно указать:
уровень RAID: 0, 1, 5 или 10;
версию суперблока: 1.2 или 1.0.
Уровень RAID задаётся параметром level. Если уровень RAID не указан явно, используется RAID1 независимо от количества доступных дисков.
Таблица 24.2. Параметр level
|
Значение
|
Уровень RAID
|
Описание
|
|
0
|
RAID0
|
Чередование блоков данных между дисками (повышение производительности без отказоустойчивости)
|
|
1
|
RAID1
|
Зеркалирование данных
|
|
5
|
RAID5
|
Чередование блоков данных с распределённой контрольной информацией
|
|
10
|
RAID10
|
Сочетание зеркалирования и чередования блоков данных
|
Версия суперблока RAID задаётся параметром
superblock:
Версия суперблока особенно важна для загрузочных разделов UEFI. Для раздела /boot/efi рекомендуется использовать суперблок версии 1.0, поскольку некоторые прошивки UEFI не поддерживают чтение RAID-массивов с суперблоком 1.2.
Для создания RAID используется конструкция:
(methods (raid (superblock . #t) (level . 1)) plain)
где:
level — уровень RAID (0, 1, 5 или 10);
superblock — версия суперблока RAID;
plain — размещение файловой системы непосредственно на RAID-массиве без использования LVM.
Если требуется использовать значения по умолчанию, достаточно указать:
(methods raid plain)
Минимальное количество дисков для создания массивов зависит от уровня RAID:
RAID0 — 2 диска;
RAID1 — 2 диска;
RAID5 — 3 диска;
RAID10 — 4 диска.
Пример профиля с RAID1 и размещением раздела ESP (
/boot/efi) в RAID:
((kworkstation_raid
(title . "Setup for kworkstation RAID")
(action . trivial)
(actiondata
("/boot/efi" (size 1048576 . 1048576) (fsim . "FAT32")
(methods (raid (superblock . #f) (level . 1)) plain))
("swap" (size 2097152 . 2097152) (fsim . "SWAPFS")
(methods (raid (level . 1)) plain))
("/home" (size 20971520 . 20971520) (fsim . "Ext4")
(methods (raid (level . 1)) plain))
("/" (size 41943040 . #t) (fsim . "Ext4")
(methods (raid (level . 1)) plain))))
)
В данном примере:
все разделы размещаются в RAID1;
для ESP используется суперблок версии 1.0;
для остальных массивов используется суперблок версии 1.2 (по умолчанию).
Результат:
$ lsblk
NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINTS
sda 8:0 0 60G 0 disk
├─sda1 8:1 0 511M 0 part
│ └─md4 9:4 0 511M 0 raid1 /boot/efi
├─sda2 8:2 0 1G 0 part
│ └─md5 9:5 0 1024M 0 raid1 [SWAP]
├─sda3 8:3 0 10G 0 part
│ └─md6 9:6 0 10G 0 raid1 /home
└─sda4 8:4 0 48,5G 0 part
└─md7 9:7 0 48,5G 0 raid1 /
sdb 8:16 0 60G 0 disk
├─sdb1 8:17 0 511M 0 part
│ └─md4 9:4 0 511M 0 raid1 /boot/efi
├─sdb2 8:18 0 1G 0 part
│ └─md5 9:5 0 1024M 0 raid1 [SWAP]
├─sdb3 8:19 0 10G 0 part
│ └─md6 9:6 0 10G 0 raid1 /home
└─sdb4 8:20 0 48,5G 0 part
└─md7 9:7 0 48,5G 0 raid1 /
sr0 11:0 1 5,9G 1 rom
Версия суперблока RAID раздела
/boot/efi:
# mdadm --detail /dev/md4
/dev/md4:
Version : 1.0
Пример профиля с RAID10:
((server_raid10
(title . "Setup for server RAID10")
(action . trivial)
(actiondata
("/boot/efi" (size 1048576 . 1048576) (fsim . "FAT32")
(methods (raid (superblock . #f) (level . 1)) plain))
("swap" (size 2097152 . 2097152) (fsim . "SWAPFS")
(methods (raid (level . 10)) plain))
("/home" (size 20971520 . 20971520) (fsim . "Ext4")
(methods (raid (level . 10)) plain))
("/" (size 41943040 . #t) (fsim . "Ext4")
(methods (raid (level . 10)) plain)))))
В данном примере:
для ESP создаётся RAID1 с суперблоком версии 1.0;
для swap, /home и / создаётся RAID10 с суперблоком версии 1.2.
В записи
(methods raid plain):
Если раздел ESP (
/boot/efi) размещается на RAID-массиве, на этапе установки загрузчика необходимо выбрать режим
EFI (для съёмных устройств)>. Для этого в файле
autoinstall.scm необходимо указать:
("/grub" action "write" device "efiremovable" passwd #f passwd_1 "*" passwd_2 "*")
24.1.1.3. Профиль с LUKS
Автоустановщик поддерживает создание зашифрованных блочных устройств с использованием механизма LUKS.
Параметр luks определяет, требуется ли шифрование создаваемого устройства.
Формат:
(luks . #t)
Значение #t включает шифрование. Если параметр
luks отсутствует, шифрование не используется.
При включении шифрования файловая система создаётся на зашифрованном устройстве LUKS. Для доступа к данным необходимо
задать пароль, используемый для разблокировки устройства.
Пример профилей с шифрованными разделами:
((kworkstation
(title . "Setup for kworkstation")
(action . trivial)
(actiondata ("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods plain))
("/" (size 62914560 . 62914560 ) (fsim . "Ext4") (methods plain))
("/home" (size 20971520 . #t ) (fsim . "Ext4") (luks . #t) (methods plain))))
(kworkstation_lvm
(title . "Setup for kworkstation LVM")
(action . trivial)
(actiondata ("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods lvm))
("/" (size 62914560 . 62914560 ) (fsim . "Ext4") (luks . #t) (methods (lvm (vg . "vg1") (lv . "lv1"))))
("/home" (size 20971520 . #t ) (fsim . "Ext4") (methods (lvm (vg . "vg1") (lv . "lv2"))))))
(kworkstation_raid
(title . "Setup for kworkstation RAID")
(action . trivial)
(actiondata
("/boot/efi" (size 1048576 . 1048576 ) (fsim . "FAT32") (methods (raid (superblock . #f)) plain))
("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods raid plain))
("/home" (size 20971520 . 20971520 ) (fsim . "Ext4") (luks . #t) (methods raid plain))
("/" (size 41943040 . #t ) (fsim . "Ext4") (methods raid plain))))
(timeshift
(title . "Timeshift-compatible setup")
(action . trivial)
(actiondata ("swap" (size 2097152 . 2097152) (fsim . "SWAPFS") (methods plain))
("" (size 62914560 . #t) (fsim . "BtrFS") (luks . #t) (methods plain) (subvols ("@" . "/") ("@home" . "/home")))))
)
24.1.2. Формат файла pkg-groups.tar
Файл
pkg-groups.tar представляет собой tar-архив с двумя подкаталогами:
groups — содержит описание групп программного обеспечения в файлах *.directory;
lists — содержит файлы со списками пакетов для каждой группы, а также скрытый файл .base, содержащий список пакетов «базовой системы» (то есть пакетов, которые устанавливаются в любом случае).
Файл pkg-groups.tar проще всего взять из установочного ISO-образа из каталога /Metadata/ и при необходимости доработать.
Для изменения списка пакетов:
Распакуйте архив, например, выполнив команду:
$ tar xf pkg-groups.tar
Перейдите в подкаталог
lists и добавьте или измените файл группы. Имена пакетов указываются по одному в каждой строке, например, содержимое файла
admc:
admc
alterator-gpupdate
gpupdate
local-policy
admx-basealt
samba-dc-common
admx-firefox
admx-chromium
gpui
Упакуйте архив, например, выполнив команду:
$ tar cf pkg-groups.tar groups lists
Имя файла используемой группы затем указывается через пробел в
autoinstall.scm:
("/pkg-install" action "write" lists "group-1 group-2" auto #t)
где
group-1 и
group-2 — имена файлов со списками пакетов из подкаталога
lists.
В качестве источника пакетов при установке выступает сам установочный носитель, поэтому указание пакетов, отсутствующих на нём, приведёт к сбою установки.
24.1.3. Формат файла autoinstall.scm
Файл autoinstall.scm представляет собой командный скрипт программы установки, написанный на языке Scheme. Каждая строка скрипта — команда для соответствующего модуля программы установки.
Ниже приведён пример файла autoinstall.scm для частного случая установки. Если требуются особые настройки, рекомендуется сначала выполнить установку вручную, изучить лог в /root/.install-log/wizard.log, и на его основе составить собственный скрипт autoinstall.scm.
Пример файла
autoinstall.scm:
; установка языка операционной системы (ru_RU)
("/sysconfig-base/language" action "write" lang ("ru_RU"))
; установка переключателя раскладки клавиатуры на Ctrl+Shift
("/sysconfig-base/kbd" language ("ru_RU") action "write" layout "ctrl_shift_toggle")
; установка часового пояса в Europe/Moscow, время в BIOS будет храниться в UTC
("/datetime-installer" action "write" commit #t name "RU" zone "Europe/Moscow" utc #t)
; настройка сетевого интерфейса на получение адреса по DHCP
("/net-eth" action "write" reset #t)
("/net-eth" action "write" name "enp0s3" ipv "4" controlled "NetworkManager" configuration "dhcp" default "" search "" dns "" computer_name "newhost" ipv_enabled #t)
("/net-eth" action "write" commit #t)
; автоматическая разбивка жёсткого диска в профиле kworkstation_lvm
("/evms/control" action "write" control open installer #t)
("/evms/control" action "write" control update)
("/evms/profiles/kworkstation_lvm" action apply commit #f clearall #t exclude ())
("/evms/control" action "write" control commit)
("/evms/control" action "write" control close)
; установка пакетов операционной системы
("pkg-install-init" action "write")
; установка только базовой системы (дополнительные группы пакетов из pkg-groups.tar указываются по именам через пробел)
("/pkg-install" action "write" lists "" auto #t)
; сохранение настроек перед установкой
("/preinstall" action "write")
; установка загрузчика GRUB в EFI
("/grub" action "write" device "efi" passwd #f passwd_1 "*" passwd_2 "*")
; установка пароля суперпользователя root '123'
("/root/change_password" passwd_2 "123" passwd_1 "123")
; задание первого пользователя 'user' с паролем '123'
("/users/create_account" new_name "user" real_name "Пользователь" allow_su #t auto #f passwd_1 "123" passwd_2 "123" autologin #f)
; установка пароля на шифрованные разделы
;("/luks/change_password" passwd_2 "123" passwd_1 "123")
;("/postinstall/firsttime" script "ftp://192.168.0.123/metadata/update.sh")
24.1.3.1. Переключатель раскладки клавиатуры
Установка переключателя раскладки клавиатуры выполняется строкой:
("/sysconfig-base/kbd" language ("ru_RU") action "write" layout "ctrl_shift_toggle")
Возможные значения параметра
layout:
alt_sh_toggle — клавиши ALT+Shift;
caps_toggle — клавиша CapsLock;
ctrl_shift_toggle — клавиши Control+Shift;
ctrl_toggle — клавиша Control;
toggle — клавиша Alt.
24.1.3.2. Установка дополнительных пакетов
В приведённом выше примере выполняется установка системы в минимальном профиле (дополнительное ПО не устанавливается). Если необходимо установить, например, программы для поддержки принтеров и сканеров, в список устанавливаемых пакетов нужно добавить группы kworkstation/sound-editing и kworkstation/video-editing:
("/pkg-install" action "write" lists "kworkstation/printing kworkstation/scanning" auto #t)
24.1.3.3. Установка загрузчика
При установке системы в режиме EFI загрузчик устанавливается в EFI System Partition (ESP):
("/grub" action "write" device "efi" passwd #f passwd_1 "*" passwd_2 "*")
Параметр
device может принимать следующие значения:
efi — рекомендуемая установка в режиме EFI;
eficlearnvram — установка в режиме EFI с предварительной очисткой NVRAM;
efinonvram — установка в режиме EFI без записи в NVRAM;
efiremovable — установка в режиме EFI для съёмных устройств;
none — не устанавливать загрузчик.
При установке системы в режиме Legacy загрузчик GRUB обычно устанавливается на первый жёсткий диск, например:
("/grub" action "write" device "/dev/sda" passwd #f passwd_1 "*" passwd_2 "*")
При необходимости на загрузчик GRUB можно установить пароль. Пароль можно задать:
в открытом виде:
("/grub" action "write" device "efi" passwd #t passwd_1 "123" passwd_2 "123")
где:
в хешированном виде:
("/grub" action "write" device "efi" passwd #t iscrypted #t passwd_1 "grub.pbkdf2.sha512.10000.B6B2D89672045D59F…")
где:
iscrypted #t — признак того, что пароль задан в хешированном виде;
passwd_1 — PBKDF2-хеш пароля в формате, поддерживаемом GRUB.
Для получения PBKDF2-хеша пароля можно использовать утилиту
grub-mkpasswd-pbkdf2:
$ grub-mkpasswd-pbkdf2
Введите пароль:
Повторно введите пароль:
Хэш PBKDF2 вашего пароля: grub.pbkdf2.sha512.10000.B6B2D89672045D59F…
При необходимости изменения параметров загрузки при запуске компьютера потребуется ввести имя пользователя «boot» и установленный пароль.
24.1.3.4. Сетевые настройки
Параметр
controlled задаёт используемую сетевую подсистему:
NetworkManager — NetworkManager (etcnet);
etcnet — Etcnet;
NetworkManagerNative — NetworkManager (native);
nothing — не контролируется.
Пример настройки сетевого интерфейса со статическим IP-адресом:
("/net-eth" action "write" reset #t)
("/net-eth" action "add_iface_address" name "enp0s3" add-ip "192.168.0.25" add-mask "24" ipv "4")
("/net-eth" action "write" name "enp0s3" ipv "4" controlled "NetworkManager" configuration "static" default "192.168.0.1" search "" dns "8.8.8.8" computer_name "newhost" ipv_enabled #t)
("/net-eth" action "write" commit #t)
где:
add-ip "192.168.0.25" — IP-адрес;
add-mask "24" — маска сети (в формате CIDR);
default "192.168.0.1" — шлюз по умолчанию;
dns "8.8.8.8" — DNS-сервер;
computer_name "newhost" — имя хоста.
24.1.3.5. Установка пароля суперпользователя root
Пароль суперпользователя можно задать:
в открытом виде:
("/root/change_password" passwd_1 "123" passwd_2 "123")
где:
в хешированном виде:
("/root/change_password" iscrypted #t passwd_1 "$y$j9T$2LmRqmj4MUrITkwKF8Mx5/$v2CHpMzvsJfs2UuSQCvE2pqqNtfeeE1mny.val9aUs8")
где:
iscrypted #t — указывает, что пароль задан в виде хеша (#t — пароль в хешированном виде, #f — пароль в открытом виде);
passwd_1 — yescrypt-хеш пароля.
Для получения yescrypt-хеша пароля можно использовать:
Perl:
$ perl -e 'print crypt("mypass", "\$y\$j9T\$1234567890123456\$"), "\n";'
где:
$y$ — идентификатор алгоритма yescrypt;
j9T — параметры алгоритма;
mypass — пароль;
1234567890123456 — произвольная строка соли (16 символов);
утилиту
mkpasswd (пакет
mkpasswd):
$ mkpasswd --method=yescrypt
Password:
$y$j9T$2LmRqmj4MUr…
24.1.3.6. Создание пользователей
В отличие от обычной установки, при автоустановке можно создать несколько пользователей.
Для создания каждого пользователя в файле
autoinstall.scm необходимо добавить отдельную строку вида:
("/users/create_account" new_name "test" real_name "Test User" allow_su #f auto #f passwd_1 "123" passwd_2 "123" autologin #f)
где:
new_name — имя пользователя (логин);
real_name — отображаемое имя пользователя;
allow_su — добавлять пользователя в группу wheel (#t — да, #f — нет);
auto #f — не генерировать пароль автоматически;
passwd_1, passwd_2 — пароль пользователя (значения параметров должны совпадать);
autologin — включить (#t) или отключить (#f) автоматический вход в систему.
Пароль пользователя можно указать в хешированном виде:
("/users/create_account" new_name "user" real_name "Пользователь" allow_su #t auto #f iscrypted #t passwd_1 "$y$j9T$2LmRqmj4MUrITkwKF8Mx5/$v2CHpMzvsJfs2UuSQCvE2pqqNtfeeE1mny.val9aUs8" autologin #f)
где:
iscrypted #t — указывает, что пароль задан в виде хеша (#t — пароль в хешированном виде, #f — пароль в открытом виде);
passwd_1 — yescrypt-хеш пароля.
Для получения yescrypt-хеша пароля можно использовать:
Perl:
$ perl -e 'print crypt("mypass", "\$y\$j9T\$1234567890123456\$"), "\n";'
где:
$y$ — идентификатор алгоритма yescrypt;
j9T — параметры алгоритма;
mypass — пароль;
1234567890123456 — произвольная строка соли (16 символов);
утилиту
mkpasswd (пакет
mkpasswd):
$ mkpasswd --method=yescrypt
Password:
$y$j9T$2LmRqmj4MUr…
24.1.3.7. Установка пароля на LUKS-разделы
Если при автоматической разметке диска создавались зашифрованные устройства LUKS, необходимо задать пароль для их разблокировки.
Пароль задаётся в открытом виде:
("/luks/change_password" passwd_1 "123" passwd_2 "123")
где:
24.1.3.8. Выполнение дополнительных скриптов
В конец файла
autoinstall.scm можно добавить шаг
/postinstall, позволяющий выполнить команду или скрипт в конце установки или при первом запуске системы. Например:
("/postinstall/firsttime" script "ftp://192.168.0.123/metadata/update.sh")
Шаг
/postinstall поддерживает два уровня запуска:
Для указания выполняемого кода доступны два метода (method):
script — скачивает и выполняет скрипт с удалённого сервера (поддерживаются протоколы http и ftp). Скрипт скачивается во время установки, а запускается в зависимости от уровня запуска;
run — выполняет указанную команду или набор команд напрямую (возможно указание перенаправления).
Для каждого уровня (laststate или firsttime) метод run должен быть указан не более одного раза. Если их несколько, будет выполнен только последний.
Примеры:
("/postinstall/firsttime" script "http://server/script.sh")
("/postinstall/firsttime" run "curl --silent --insecure http://server/finish")
("/postinstall/laststate" script "http://server/script.sh")
("/postinstall/laststate" run "curl --silent --insecure http://server/gotoreboot")
На уровне
laststate система ещё не запущена, а корневая файловая система смонтирована в каталоге, указанном через переменную
$destdir. Поэтому для работы с файлами установленной системы необходимо:
Пример скрипта:
#!/bin/sh
a= . install2-init-functions
run_chroot sh -c "date > /root/STAMP_1"
date > $destdir/root/STAMP_2
24.1.4. Формат файла install-scripts.tar
Файл
install-scripts.tar представляет собой tar-архив, содержащий дополнительные скрипты:
preinstall.d — скрипты, выполняемые после установки базовой системы. Как правило, это скрипты для дополнительной настройки базовой системы (перед установкой дополнительного набора ПО) и для переноса настроек из среды инсталлятора. Добавлять сюда свои собственные скрипты стоит только тогда, когда вы чётко представляете свои цели;
postinstall.d — скрипты, выполняемые после завершения всей установки, перед перезагрузкой. Как правило, это скрипты, удаляющие служебные пакеты инсталлятора из базовой системы. Подходят для финальной настройки, очистки временных файлов и т.д.
Данные скрипты выполняются в среде установщика, а не в среде установленной системы. Поэтому для доступа к файлам целевой системы необходимо использовать $destdir или run_chroot (см. пример выше).
Скрипты preinstall.d необходимо поместить в каталог
preinstall.d, скрипты postinstall.d — в каталог
postinstall.d. Упаковать архив можно, выполнив команду:
$ tar cf install-scripts.tar preinstall.d postinstall.d
24.2. Запуск автоматической установки
Для включения режима автоматической установки ядру инсталлятора ОС необходимо передать параметр загрузки
ai (без значения) и параметр
curl с указанием каталога с установочными файлами. Формат адреса в
curl должен быть представлен в виде URL. Пример параметров загрузки:
ai curl=ftp://<IP-адрес>/metadata/
Чтобы начать процесс автоматической установки ОС Альт Рабочая станция K, необходимо загрузиться с носителя, на котором записан дистрибутив. Затем клавишами перемещения курсора вверх и вниз выбрать пункт меню и нажать клавишу E. В открывшемся редакторе следует найти строку, начинающуюся с linux /boot/vmlinuz, в её конец дописать требуемые параметры:
После нажатия клавиши F10 начнётся автоматическая установка системы.
При невозможности получения файлов из указанного источника по сети, программа установки будет смотреть в следующих местах:
На диске в каталоге /Metadata/.
В образе установщика в каталоге /usr/share/install2/metadata/.
В случае возникновения каких-либо неприятностей не паникуйте, а спокойно разберитесь в сложившейся ситуации. Linux не так уж просто довести до полной неработоспособности и утраты ценных данных. Поспешные действия отчаявшегося пользователя могут привести к плачевным результатам. Помните, что решение есть, и оно обязательно найдётся!
25.1. Проблемы при установке системы
При возникновении проблем с UEFI или Legacy/CSM рекомендуется изменить используемый режим прошивки. Не следует выбирать режим смешанной загрузки Legacy/UEFI! Рекомендуется временно отключить всевозможные оптимизации и ускорение UEFI-загрузки, а также отключить на время установки SecureBoot.
Если в системе не произошла настройка какого-либо компонента после стадии установки пакетов, следует довести установку до конца, загрузить систему и повторить настройку.
Если установить систему не удалось вовсе, попробуйте изменить параметры загрузки.
Для включения безопасного режима необходимо на экране загрузки выбрать пункт , затем :
Далее можно начать установку системы в безопасном режиме, выбрав пункт .
В безопасном режиме используется следующая переменная загрузки:
SAFEMODE="nomodeset nosplash module_blacklist=nouveau,nvidia,ast bc_debug irqpoll pci=noaer oldinst"
где:
nomodeset — отключает автозагрузку графических драйверов. Используется для предотвращения проблем с отображением на этапе загрузки, например при появлении чёрного экрана;
nosplash — отключает графический экран загрузки, позволяя видеть сообщения консоли;
module_blacklist=nouveau,nvidia,ast — запрещает загрузку указанных модулей ядра;
bc_debug — включает режим расширенной диагностики на этапе stage1 и копирует журнал в stage2;
irqpoll — заставляет ядро опрашивать IRQ (аппаратные прерывания) вручную;
pci=noaer — отключает AER (Advanced Error Reporting) для PCI устройств. Используется при проблемах с PCIe-контроллерами, чтобы подавить спам в журнале и сбои при загрузке;
oldinst — применяет более медленный, но надёжный метод копирования файлов вместо распаковки командой unsquashfs (актуально только для образов, использующих squashfs).
Этот набор параметров минимизирует использование графической подсистемы и повышает совместимость с «проблемным» оборудованием.
Изменить параметры загрузки можно не только выбрав пункт , но и отредактировав любой другой пункт меню — например, . Это может быть полезно, если требуется вручную добавить параметры ядра для диагностики или устранения проблем с оборудованием без использования полного безопасного режима.
Редактор параметров текущего пункта загрузки можно вызвать нажатием клавиши E.
При редактировании пункта в открывшемся редакторе следует найти строку, начинающуюся с linux /boot/vmlinuz. В конец этой строки необходимо дописать требуемые параметры, отделяя их пробелами, и нажать F10 для запуска с изменёнными параметрами.
Если вы хотите получить точный ответ, то сообщите, пожалуйста, подробный состав вашего оборудования и подробное описание возникшей проблемы в
нашей системе отслеживания ошибок.
25.2. Проблемы с загрузкой системы
Если не загружается ни одна из установленных операционных систем, то значит, есть проблема в начальном загрузчике. Такие проблемы могут возникнуть после установки системы, в случае если загрузчик все-таки не установлен или установлен с ошибкой. При установке или переустановке Windows на вашем компьютере загрузчик Linux будет перезаписан в принудительном порядке, и станет невозможно запускать Linux.
Повреждение или перезапись загрузчика никак не затрагивает остальные данные на жёстком диске, поэтому в такой ситуации очень легко вернуть работоспособность: для этого достаточно восстановить загрузчик.
Если у вас исчез загрузчик другой операционной системы или другого производителя, то внимательно почитайте соответствующее официальное руководство на предмет его восстановления. Но в большинстве случаев вам это не потребуется, так как загрузчик, входящий в состав Альт Рабочая станция K, поддерживает загрузку большинства известных операционных систем.
Для восстановления загрузчика достаточно любым доступным способом загрузить Linux и получить доступ к тому жёсткому диску, на котором находится повреждённый загрузчик. Для этого проще всего воспользоваться режимом LiveCD, который предусмотрен на установочном диске дистрибутива: пункт .
В большинстве случаев для восстановления загрузчика можно просто воспользоваться командой fixmbr без параметров. Программа попытается переустановить загрузчик в автоматическом режиме.
25.3. Известные проблемы
25.3.1. Не запускается install и live система в Hyper-V
Для работы ОС в Hyper-V нужно либо пробросить видеокарту, для которой доступны драйверы, либо переключиться на X11, так как Wayland не работает с framebuffer.
Часть V. Обзор приложений
Linux содержит огромное число приложений (программ) для выполнения всех повседневных задач. При этом важно понимать, что для выполнения одного и того же действия могут быть использованы разные приложения. Например, для написания простых текстов доступен целый ряд текстовых редакторов с разным набором возможностей. Со временем вы сами сможете выбрать наиболее удобные для вас приложения.
Набор программ с диска покрывает обычные потребности. Если же определённая программа отсутствует в системе, то вы можете доустановить её с диска или из огромного банка программного обеспечения ALT Linux Team.
Веб-браузеры — комплексные программы для обработки и отображения
HTML-страниц по протоколу
HTTP и
HTTPS (открытие страниц сайтов, блогов и т.д.). Основное назначение веб-браузера — предоставление интерфейса между веб-сайтом и его посетителем. К базовым функциям современных веб-браузеров относятся:
навигация и просмотр веб-ресурсов;
показ оглавлений FTP-серверов и скачивание файлов;
поддержка скриптовых языков.
Основные принципы работы с веб-браузером неизменны. Программа предоставляет пользователю адресную строку, в которую вносится адрес необходимого вам сайта. Эта же строка может использоваться для ввода поискового запроса. Для более быстрого доступа адреса часто посещаемых сайтов добавляются в закладки. Для перехода к предыдущей/следующей просмотренной веб-странице, как правило, предусмотрены специальные кнопки на панели инструментов.
Возможно, по опыту работы в других операционных системах вы уже знакомы с определённым браузером. Определить, какой браузер лучше, практически невозможно. Эту задачу каждый пользователь решает сам, ориентируясь на свои личные предпочтения. В любом случае рассмотрите основные предложения и выберите наиболее удобный для вас веб-навигатор.
Веб-браузер Chromium — веб-браузер с открытым исходным кодом. Chromium предназначен для предоставления пользователям быстрого, безопасного и надёжного доступа в Интернет, а также удобной платформы для веб-приложений.
Chromium хранит пароли в бумажнике kdewallet. Он защищён паролем входа в систему и автоматически открывается при входе в систему.
При смене пароля пользователя пароль на бумажник не меняется автоматически, поэтому при запуске Chromium для открытия бумажника потребуется ввести предыдущий пароль пользователя:
Чтобы каждый раз не вводить пароль на открытие бумажника, необходимо после изменения пароля пользователя также изменить пароль на бумажник. Сделать это можно в приложении
Управление бумажниками (KWalletManager).
После переименования компьютера
Chromium не запускается. Для решения этой проблемы необходимо удалить конфигурационный файл пользователя:
$ rm -rf ~/.config/chromium/SingletonLock
Глава 39. Электронная почта
Для работы с электронной почтой применяются специализированные программы — почтовые клиенты, предоставляющие пользователю гибкие и эффективные возможности работы с электронной корреспонденцией: различные средства сортировки сообщений, выбор шаблонов из готового набора, проверку орфографии по мере набора текста и другие полезные функции.
Современные пользователи предпочитают работать с электронной почтой через веб-интерфейс, используя браузер. Подручных средств, предоставляемых популярными почтовыми сервисами, для повседневных почтовых нужд пользователя практически достаточно, но использование специально предназначенных программ даёт некоторые преимущества:
возможность одновременной работы с несколькими учётными записями;
гибкие правила сортировки почты;
обеспечение ограниченного доступа к отдельным папкам или учётным записям;
наличие антиспам-систем и систем фильтрации рекламы;
экономия входящего трафика.
Для Linux создано большое количество почтовых клиентов. Все они обладают своими особенностями и, как правило, имеют всё необходимое для успешной работы с электронной почтой: сортировку и фильтрацию сообщений, поддержку различных кодировок сообщений, возможность работы со списками рассылки и т.п.
Выбор почтового клиента зависит от ваших личных предпочтений. Для первоначальной настройки любого из них вам потребуются следующие данные:
адрес электронной почты;
пароль для доступа к ящику электронной почты;
имена серверов входящей и исходящей почты;
тип сервера входящей почты (IMAP или POP3).
Адрес и порт для доступа к
SMTP и
POP3 серверам необходимо выяснить у провайдера электронной почты или у администратора вашей сети (в случае использования почтового сервера локальной сети).
Mozilla Thunderbird — многофункциональный почтовый клиент, позволяющий максимально эффективно работать с электронной почтой.
Mozilla Thunderbird поддерживает протоколы
POP,
SMTP и
IMAP, позволяет участвовать в конференциях Usenet, а также подписываться на новостные ленты
RSS.
Основные возможности Thunderbird:
настройка интерфейса (изменение расположения панелей и окон, добавление или удаление кнопок на панели инструментов, изменение их размера и т.д.);
отображение сообщений в формате HTML с обеспечением кроссплатформенной совместимости;
выбор режимов отображения и компоновки учётных записей и почтовых папок;
поддержка смены тем оформления и установки расширений.
39.1.1. Первоначальная настройка Thunderbird
При первом запуске почтового клиента Thunderbird автоматически запускается мастер настройки учётной записи электронной почты.
Мастер создания учётной записи запросит следующие данные:
ваше имя;
адрес электронной почты.
На основании введённой информации мастер автоматически определит протокол доступа (
IMAP или
POP3), а также адреса серверов входящей и исходящей почты.
Если предложенные настройки верны, нажмите кнопку Продолжить. В противном случае воспользуйтесь ссылкой Изменить конфигурацию и укажите параметры вручную.
Далее, в зависимости от настроек почтового сервера, будет выполнен переход на страницу авторизации либо запрошен пароль учётной записи.
После успешной проверки учётной записи нажмите кнопку Готово:
Чтобы добавить дополнительную учётную запись, выберите в левой части окна программы одну из существующих учётных записей, а затем нажмите кнопку Электронная почта.
При наличии нескольких учётных записей можно выбрать способ их отображения на панели почтовых папок.
39.1.2. Использование почтового клиента
Для создания письма нажмите кнопку Создать. В открывшемся окне Создание сообщения укажите адрес получателя, тему и текст письма. Для проверки ошибок в тексте нажмите кнопку Орфография.
К письму можно прикреплять документы, изображения, архивы и другие файлы. Чтобы добавить вложение, нажмите кнопку Вложить и выберите нужный файл в открывшемся окне.
После завершения подготовки письма нажмите кнопку Отправить.
Дополнительную информацию об использовании и настройке Thunderbird можно получить через меню → или с помощью клавиши F1.
Глава 40. Обмен мгновенными сообщениями
Для обмена сообщениями в режиме реального времени через Интернет необходима специализированная клиентская программа, передающая текстовые сообщения, а также файлы различных типов. Система мгновенного обмена сообщениями является одним из самых доступных и востребованных средств общения в Интернете. Преимущества инструментов мгновенного обмена информацией:
Скорость — мгновенные сообщения позволяют собеседникам общаться со скоростью нажатия на кнопку, без необходимости открывать письма и ждать ответа.
Удобство — программы обмена мгновенными сообщениями включают широкий набор коммуникативных и производственных функций.
Большинство современных программ мгновенного обмена сообщениями позволяют видеть, подключены ли в данный момент абоненты, занесённые в список контактов. Сообщения появляются на мониторе собеседника только после окончания редактирования и отправки. В список основных функций служб мгновенных сообщений входят:
чат (видеочат, текстовый и голосовой);
VoIP сервисы: звонки на компьютер, звонки на стационарные и мобильные телефоны;
возможность отправки SMS;
передача файлов;
инструменты для совместной работы в режиме реального времени;
возможность общаться в чате непосредственно на веб-странице;
напоминания и оповещения;
хранение истории общения по каждому контакту;
индикация о сетевом статусе занесённых в список контактов пользователей (в сети, нет на месте и т.д.).
Существуют клиентские программы, позволяющие подключаться одновременно к нескольким сетям. Они поддерживают наиболее популярные протоколы, что избавляет вас от необходимости устанавливать отдельный
IM-клиент для каждой сети.
Psi+ — программа для мгновенного обмена сообщениями посредством сети Интернет по протоколу Jabber.
Возможности
Psi+:
стандартные и расширенные статусы (прослушиваемая мелодия, активность, настроение);
автосмена статуса;
всплывающие уведомления;
управление закладками;
поддержка работы с несколькими учетными записями одновременно;
шифрование;
администрирование конференций;
поддержка наборов иконок.
Функционал Psi+ значительно расширяется за счёт использования специальных плагинов.
При первом запуске приложение предложит настроить учётную запись:
В дальнейшем можно добавить новую учётную запись или изменить существующую, выбрав в окне настроек пункт .
Глава 41. Офисные приложения
Офисными приложениями традиционно называют пакет программ для работы с текстами, таблицами и презентациями.
LibreOffice — пакет программ для работы с офисными документами. Кроме стандартных для LibreOffice форматов хранения данных, вы можете успешно открывать и сохранять документы, созданные в других популярных офисных пакетах.
Текстовый процессор
Текстовый процессор (LibreOffice Writer) позволяет проектировать и создавать текстовые документы, содержащие изображения, таблицы или графики. Вы можете сохранять документы в различных форматах, включая стандартизированный формат OpenDocument format (
ODF), формат Microsoft Word (
DOC,
DOCX) или
HTML. Кроме того, вы можете без труда экспортировать ваш документ в формате переносимого документа (
PDF). Текстовый процессор поддерживает и другие форматы.
Электронные таблицы
Электронная таблица (LibreOffice Calc) предназначена для работы с электронными таблицами. Инструментарий электронных таблиц включает мощные математические функции, позволяющие вести сложные статистические, финансовые и прочие расчёты.
Презентация
Презентация (LibreOffice Impress) позволяет создавать профессиональные слайд-шоу, которые могут включать диаграммы, рисованные объекты, текст, мультимедиа и множество других элементов. При необходимости можно даже импортировать и изменять презентации
Microsoft PowerPoint. Для того чтобы сделать экранные презентации более эффектными, можно использовать такие средства, как анимация, мультимедиа и переходы между слайдами.
Редактор рисунков
Редактор рисунков (LibreOffice Draw) позволяет создавать рисунки различной сложности и экспортировать их с использованием нескольких общепринятых форматов изображений. Кроме того, можно вставлять в рисунки таблицы, диаграммы, формулы и другие элементы, созданные в программах
LibreOffice.
Базы данных
Базы данных (LibreOffice Base) поддерживает некоторые обычные файловые форматы баз данных, например, BASE. Кроме того, можно использовать
LibreOffice Base для подключения к внешним реляционным базам данных, например, к базам данных
MySQL или
Oracle. В базе
LibreOffice Base невозможно изменить структуру базы данных или редактировать, вставлять и удалять записи для ниже перечисленных типов баз данных (они доступны только для чтения):
Глава 42. Диспетчеры файлов
Диспетчеры файлов (или файловые менеджеры) предоставляют интерфейс пользователя для работы с файловой системой и файлами. Диспетчеры файлов позволяют выполнять наиболее частые операции над файлами — создание, открытие/проигрывание/просмотр, редактирование, перемещение, переименование, копирование, удаление, изменение атрибутов и свойств, поиск файлов и назначение прав. Помимо основных функций, многие диспетчеры файлов включают ряд дополнительных возможностей, например, таких, как работа с сетью (через
FTP,
NFS и т.п.), резервное копирование, управление принтерами и прочее.
42.1. Диспетчер файлов Dolphin
Dolphin — это инструмент управления файлами в KDE, удобный и простой в использовании.
Dolphin является точкой доступа, как к файлам, так и к приложениям. Используя диспетчер файлов, можно:
создавать папки и документы;
просматривать файлы и папки;
управлять файлами и папками;
осуществлять поиск файлов по имени или содержимому;
настраивать и выполнять особые действия;
получать доступ к съёмным носителям.
Основное окно
Dolphin состоит из следующих элементов:
панель инструментов — обеспечивает быстрый доступ к часто используемым функциям;
панель адреса — отображает путь к текущей открытой папке;
панель — предоставляет быстрый доступ к важным и часто используемым папкам (домашний каталог, корневой каталог (/), корзина, внешние носители);
область отображения (рабочее пространство) — отображает содержимое текущей папки;
строка состояния — отображает тип и размер выделенного объекта, позволяет изменить размер значков, отображаемых в рабочем пространстве.
Dolphin, как и прочие приложения KDE, содержит руководство пользователя, вызываемое из раздела основного меню или нажатием F1. Ниже описаны лишь некоторые возможности диспетчера файлов. За полным руководством обращайтесь к встроенному руководству пользователя Dolphin.
По умолчанию основное меню скрыто. Отобразить его можно, нажав на панели инструментов кнопку Открыть меню (F10) и выбрав в открывшемся меню пункт → (Ctrl+M).
Все файлы и папки пользователя хранятся в системе внутри домашней папки (каталог /home/имя_пользователя). Открыть её можно, щёлкнув на значке папки на рабочем столе.
Домашняя папка есть у каждого пользователя системы, и по умолчанию содержащиеся в ней файлы недоступны для других пользователей (даже для чтения).
В домашней папке по умолчанию находятся несколько стандартных папок:
Документы — папка, предназначенная для хранения документов;
Загрузки — в данную папку по умолчанию загружаются файлы из Интернета;
Рабочий стол — содержит файлы, папки и значки, отображающиеся на рабочем столе;
Видео, Изображения, Музыка, Шаблоны — папки, предназначенные для хранения файлов различных типов.
Кроме того, в домашней папке и её подпапках можно создавать другие папки при помощи контекстного меню ().
Контекстное меню вызывается при помощи щелчка правой кнопкой мыши на объекте. Контекстное меню файла, папки и свободного пространства могут сильно отличаться друг от друга.
42.1.2. Быстрый доступ к нужным файлам
Для быстрого доступа к важным и часто используемым папкам, таким как домашняя папка, сетевые папки или корзина, можно воспользоваться панелью , расположенной слева от окна просмотра содержимого папки:
На панель можно добавить и другие популярные папки. Это можно сделать различными способами. Например:
вызвать в свободной области панели контекстное меню, выбрать в нём пункт и заполнить предложенные поля открывшегося диалога;
вызвать контекстное меню на значке папки, которую вы хотите добавить на панель, и выбрать в нём пункт .
Сменные устройства и носители определяются при их подключении автоматически. Для каждого из них Dolphin создает собственную точку входа, открывая доступ к хранящимся там файлам.
Все операции управления точками входа осуществляются через контекстное меню точек входа или всей панели в целом. Если точка не нужна её можно скрыть, выбрав в контекстном меню точки пункт . Собственные точки входа можно аналогичным образом удалить.
Ориентироваться в сложно организованной системе вложенных папок и быстро перемещаться по ней поможет путь в адресной строке. Каждая папка в этом пути представлена в виде ссылки. Нажав на ссылку, можно быстро открыть нужную папку.
Строка адреса может быть также представлена в виде редактируемой строки. Чтобы переключить адресную строку из вида хлебных крошек к редактируемой версии и обратно можно нажать
F6 или воспользоваться контекстным меню адресной строки:
Редактируемая строка адреса:
42.1.4. Окно Свойства объекта
Чтобы просмотреть свойства файла (папки), необходимо выделить файл (папку) и выполнить одно из следующих действий:
Окно
Свойства объекта показывает подробную информацию о любом файле, папке или другом объекте в диспетчере файлов (какие именно сведения будут доступны, определяется типом объекта):
имя файла или папки — можно ввести новое имя, и файл или папка будут переименованы после нажатия кнопки ОК;
тип — тип объекта (например, файл или папка);
расположение — системный путь к объекту (указывает местонахождение объекта относительно корня системы);
размер файла;
дата изменения — дата и время последнего изменения объекта;
последний доступ — дата и время последнего просмотра объекта.
С помощью окна
Свойства объекта можно выполнить следующие действия:
изменить значок объекта;
изменить файловые права на доступ к объекту;
выбрать, с помощью какого приложения следует открывать данный объект и другие объекты того же типа.
42.1.5. Копирование и перемещение файлов
Скопировать или переместить файл или папку можно различными способами:
Для выбора сразу нескольких файлов или папок можете отмечать их списком, удерживая при этом клавишу Ctrl.
По умолчанию фалы и папки удаляются в Корзину. Это позволяет восстановить объект при его ошибочном удалении.
Удалить выделенный объект можно из основного меню (пункт ). Можно использовать контекстное меню, перетаскивая объект, на значок Корзина в панели или удалять объекты клавишей Del.
При ошибочном удалении можно восстановить объект из корзины. Для этого нужно открыть корзину, вызвать на удалённом файле или папке контекстное меню и в нём выбрать пункт . Выбор в контекстном меню пункта может окончательно удалить ненужный файл или папку, без возможности её восстановления.
Для того чтобы безвозвратно удалить всё содержимое корзины, выберите в контекстном меню пункт .
Для того чтобы не засорять жёсткий диск компьютера ненужными файлами и сразу удалять их, минуя корзину, можно воспользоваться основным меню → (Shift+Del).
Открыть файл из Dolphin — значит запустить приложение, ассоциированное с этим типом файлов, в нём и откроется файл.
Привязки файлов можно настраивать через . Выберите в → → → .
При щелчке на файл, являющийся изображением (например, .jpg файл) откроется программа просмотра изображений Gwenview, в которой откроется изображение. Таким образом, вы можете открывать интересующие вас файлы простым щелчком прямо из диспетчера файлов Dolphin.
Если на компьютере установлено несколько программ для работы с изображениями, то вы можете запустить нужную, выбрав её из контекстного меню (щелчок правой кнопкой мыши по файлу, далее ). Вы можете выбрать программу из предлагаемого списка или попробовать открыть файл в произвольном приложении на ваше усмотрение ( → ).
Используя Dolphin, можно легко выполнить поиск файлов в пространстве персональных данных пользователя (обычно это домашний каталог), индексированном при помощи Baloo.
Для поиска файлов по содержимому Dolphin использует компонент KDE — baloo. Включить индексацию файлов можно в
Параметрах системы: → (
kcmshell6 baloofile):
Панель поиска вызывается щелчком по значку лупы (Ctrl+F):
Открывшаяся панель поиска по умолчанию настроена на поиск файлов в текущем каталоге и всех подкаталогах:
Для настройки параметров поиска необходимо вызвать контекстное меню нажатием на кнопку Фильтр:
Поиск начинается при вводе искомого контекста, результаты выводятся в окне ниже:
Поиск нечувствителен к регистру. При поиске файла по имени можно использовать маски, в которых звёздочка (*) заменяет любые символы, а вопросительный знак — любой одиночный символ.
Поиск по содержимому может осуществляться в файлах odt, docx, txt, pdf, rtf, html и других.
Для сокращения результатов поиска дополнительно можно указать тип файлов (папки, документы, звуковые файлы, видеозаписи, изображения), период времени и рейтинг.
Сохранить результаты поиска для быстрого доступа к ним в будущем, можно щелчком по значку дискеты. В результате появится новый пункт на панели Точки входа:
42.1.9. Создание ресурсов общего доступа
Пользователи могут добавлять, изменять и удалять собственные ресурсы общего доступа. Эта возможность называется usershares и предоставляется службой Samba.
Samba использует отдельную от системной базу данных пользователей. Для возможности доступа пользователя к папке (если запрещен гостевой доступ) необходимо внести его в базу данных Samba и установить пароль для доступа к общим ресурсам (он может совпадать с основным паролем пользователя). Следует учитывать, что в базу данных Samba можно добавлять пользователей, которые уже есть в системе.
Добавить пользователя в базу данных Samba можно, выполнив команду:
# smbpasswd -a <имя_пользователя>
Можно создать отдельного пользователя, которому разрешить только доступ к Samba-ресурсам и запретить полноценный вход в систему:
# useradd user_samba -d /dev/null -s /sbin/nologin
# smbpasswd -a user_samba
Текущего пользователя можно добавить в базу данных Samba, нажав на кнопку
Задать пароль Samba на вкладке
Публикация диалогового окна папки:
Для того чтобы предоставить общий доступ к папке, нужно в контекстном меню папки выбрать пункт , на вкладке
Публикация отметить пункт
Открыть общий доступ к этой папке для компьютеров локальной сети, настроить параметры публикации и нажать кнопку
ОК:
При предоставлении общего доступа к папке первый раз понадобится задать дополнительные права для домашней папки текущего пользователя. Для этого необходимо нажать кнопку
Исправить права доступа:
И затем кнопку
Изменить права доступа:
Общие папки будут отображаться в разделе
Сеть файлового менеджера. Также подключиться к общей папке можно указав в адресной строке файлового менеджера протокол и адрес компьютера (
smb://<имя_компьютера>/ или
smb://<IP_компьютера>/). Для этого следует нажать
Ctrl+
l, указать в адресной строке адрес и нажать клавишу
Enter: Будут показаны ресурсы с общим доступом:
Домашняя папка пользователя по умолчанию не отображается в списке доступных общих ресурсов в сетевом окружении. Обращение к домашней папке выполняется по имени пользователя. Например, для получения доступа к домашней папке пользователя user на компьютере с IP-адресом 192.168.0.199, необходимо указать в адресной строке smb://192.168.0.199/user:
Для возможности получения доступа к домашней папке по сети, необходимо добавить каждого локального пользователя в список пользователей Samba.
Для доступа к папке, к которой запрещен гостевой доступ, необходимо указать имя и пароль пользователя Samba, и нажать кнопку
OK:
Для добавления постоянной ссылки на сетевую папку следует в контекстном меню подключенной папки выбрать пункт :
В результате на боковой панели в разделе
В сети появится постоянная ссылка на сетевую папку.
42.1.10. Подсчёт контрольных сумм файлов
В Dolphin есть возможность расчета контрольных сумм файлов и их сравнения по алгоритмам ГОСТ Р 34.11-2012, MD5, SHA1 и SHA256. При этом имеется возможность копирования полученных значений в буфер обмена, а также сравнения.
Для подсчёта контрольной суммы, необходимо выполнить следующие действия:
Для сравнения контрольных сумм достаточно ввести имеющуюся контрольную сумму в поле (или нажать кнопку
Вставить, если контрольная сумма находится в буфере обмена), и будет выведено соответствующее сообщение. В случае совпадения контрольных сумм алгоритм контрольной суммы будет определён автоматически, и поле будет выделено зелёным цветом:
Если контрольные суммы не совпадают, поле будет выделено красным цветом:
42.1.11. Защитное преобразование файлов и каталогов по ГОСТ Р 34.12–2015
Должен быть установлен пакет
openssl-gost-engine:
# apt-get install openssl-gost-engine
и включена поддержка ГОСТ в OpenSSL:
# control openssl-gost enabled
Для того чтобы выполнить защитное преобразование файла/каталога в ГОСТ, необходимо выполнить следующие действия:
в контекстном меню файла/каталога выбрать пункт → :
указать имя файла назначения:
сообщение о результате преобразования:
Для того чтобы выполнить защитное преобразование файла из ГОСТ, необходимо выполнить следующие действия:
в контекстном меню файла выбрать пункт → :
выбрать каталог, в который будут помещены преобразованные файлы:
сообщение о результате преобразования:
Альт Рабочая станция K предлагает приложения для работы c растровой и векторной графикой. Ваш выбор зависит как от личных предпочтений, так и от задач, которые вы собираетесь решать, будь то простой просмотр графических файлов или, например, создание профессиональных макетов.
43.1. Графические приложения KDE
В состав KDE входит большое число приложений для работы с графикой. Все они находятся в меню приложений .
Ниже приведены наиболее популярные приложения для работы c графическими изображениями.
Просмотрщик изображений (Gwenview)
Gwenview позволяет просматривать как отдельные изображения, так и группу изображений в режиме слайд-шоу. Кроме функций просмотра программа имеет дополнительный возможности: поворот изображения, изменение размера, удаление с фотографий эффекта красных глаз и пр. В руководстве пользователя, вызываемом из меню , дано полное описание возможностей программы.
Графический редактор (KolourPaint)
KolourPaint позволяет создавать новые изображения и обрабатывать существующие. Программа предназначена для работы с растровой графикой и обладает стандартным набором инструментов: кисть, перо, распылитель и др.
KolourPaint обладает базовым набором функций для работы с изображениями, их вполне достаточно для выполнения наиболее часто востребованных действий. В руководстве пользователя, вызываемом из меню , дано полное описание возможностей программы.
Создание снимков экрана (Spectacle)
Spectacle может сохранять изображение всего экрана, отдельного окна или отдельной области экрана. Программу можно вызывать из меню или нажатием на клавиатуре кнопки
PrtSc (print screen). В руководстве пользователя, вызываемом из меню , дано полное описание возможностей программы.
Spectacle позволяет также сделать запись (вкладка
Запись экрана):
рабочего стола;
выбранного окна;
выделенной области.
Функция записи экрана доступна только в Wayland сессии.
Krita — графический редактор, предназначенный для работы с растровой графикой. Широкая функциональность редактора позволяет использовать его как для обработки фотографий, так и для рисования.
Интерфейс Krita состоит из панели инструментов (слева) и панели с настройками инструментов, профилями кистей, информацией по слоям (справа). Окна настройки и панели можно перемещать и настраивать для конкретного рабочего процесса.
Все созданные изображения отображаются во вкладках.
Особенности
Krita:
широкий ассортимент кистей (с настройкой параметров), имитирующих инструменты художника, (в том числе смешивающие, фильтрующие, эффектные, спрей, кисти для заполнения объёмов):
специальный менеджер ресурсов позволяет использовать кисти, созданные другими пользователями программы;
управление слоями — редактор предлагает создание обычного, группового, фильтрующего, векторного и других слоев;
зеркальность — можно быстро отзеркалить изображение (по вертикали или горизонтали), также предусмотрена возможность зеркального вращения с помощью инструмента Мультикисть;
собственный набор фильтров;
полноценные инструменты для работы с покадровой анимацией;
режим обтекания — функция идеально подходит при создании бесшовных текстур для использования в 3D-моделях;
цифровое смешивание цвета — функция расширяет возможности выбора цветов, позволяя настраивать активный цвет, добавляя определённое количество других цветов или значений;
быстрое меню — по щелчку правой клавиши мыши можно получить набор кистей и доступ к быстрой цветовой палитре:
маски и альфа-каналы — с их помощью можно гибко отображать только нужные участки изображения (маски) или нужный диапазон цвета (альфа-каналы), не подвергая изменениям само изображение;
выделение области изображения (прямоугольной, эллиптической или произвольной формы). Последовательно выделяемые области могут образовывать пересечения, объединения или вычитания. Можно дополнительно изменить выделение, растушевывая и инвертируя его;
помощник — инструмент используется для добавления специальных указателей, таких как различные типы линеек специальных направляющий и точек схождения. Особенно полезен для точного рисования в перспективе;
возможность работать с PSD.
43.3. Векторный редактор Inkscape
Inkscape — мощный и удобный инструмент для создания художественных и технических иллюстраций в формате векторной графики, полностью совместимый со стандартами XML, SVG и CSS. Редактор отличается широким набором инструментов для работы с цветами и стилями (выбор цвета, копирование цвета, копирование/вставка стиля, редактор градиента, маркеры контура).
В Inkscape поддерживаются все основные возможности SVG: контуры, текст, маркеры, клоны, альфа-канал, трансформации, градиенты, текстуры и группировка. Также Inkscape поддерживает метаданные Creative Commons, правку узлов, слои, сложные операции с контурами, векторизацию растровой графики, редактирование текста прямо на изображении, заверстанный в фигуру текст.
Blender свободный кроссплатформенный редактор трёхмерной графики с открытым кодом. Редактор обладает широчайшими возможностями для трёхмерного моделирования, анимации, визуализации, работы с физикой и рендеринга.
Рабочее пространство Blender считается одним из самых новаторских концепций графического интерфейса для графических инструментов.
Отличительные особенности интерфейса пользователя:
режимы редактирования. Два основных режима Объектный режим (Object mode) и Режим редактирования (Edit mode), которые переключаются клавишей Tab. Объектный режим в основном используется для манипуляций с индивидуальными объектами, в то время как режим редактирования — для манипуляций с фактическими данными объекта. К примеру, для полигональной модели в объектном режиме можно перемещать, изменять размер и вращать модель целиком, а режим редактирования используется для манипуляции отдельных вершин конкретной модели. Также имеются несколько других режимов, таких как Vertex Paint и UV Face select;
широкое использование горячих клавиш. Большинство команд выполняется с клавиатуры;
управление рабочим пространством. Графический интерфейс Blender состоит из одного или нескольких экранов, каждый из которых может быть разделён на секции и подсекции, которые могут быть любой частью интерфейса Blender. Графические элементы каждой секции могут контролироваться теми же инструментами, что и для манипуляции в 3D пространстве, для примера можно уменьшать и увеличивать кнопки инструментов тем же путём, что и в 3D просмотре. Пользователь полностью контролирует расположение и организацию графического интерфейса, это делает возможным настройку интерфейса под конкретные задачи, такие как редактирование видео, UV mapping и текстурирование, и сокрытие элементов интерфейса которые не нужны для данной задачи.
43.5. Программа сканирования и распознавания gImageReader
gImageReader программа для распознавания текста (GUI Tesseract).
Особенности
gImageReader:
поддерживаемые форматы изображений: jpeg, png, tiff, gif, pnm, pcx, bmp;
поддержка формата электронных документов PDF. Возможность выбрать отдельные страницы и диапазон страниц для распознавания;
автоматическое обнаружение расположения страницы;
выделение области с текстом для распознавания;
получение изображения напрямую со сканера. Настройка разрешения, сохранение в формат png;
проверка орфографии.
gImageReader можно применять без подключённого сканера и распознавать текст из имеющегося снимка:
gImageReader поддерживает автоматическое определение макета страницы, при этом пользователь может вручную определить и настроить регионы распознавания. Приложение позволяет импортировать изображения с диска, сканирующих устройств, буфера обмена и скриншотов. gImageReader также поддерживает многостраничные документы PDF.
Распознанный текст отображается непосредственно рядом с изображением. Базовое редактирование текста включает поиск/замену и удаление сломанных строк если это возможно. Также поддерживается проверка орфографии для выводимого текста если установлены соответствующие словари.
gImageReader имеет возможности прямого получения изображения со сканера, но при этом отсутствует операция предварительного сканирования.
Для работы со сканером следует перейти на вкладку Сканировать (Acquire) в боковой панели, выбрать сканер из списка подключенных устройств, указать имя и расположение файла получаемого изображения, выбрать цветовой режим и разрешение (для наилучших результатов разрешение при сканировании должно быть не меньше 300 DPI).
После нажатия на кнопку Отсканировать (Scan) начнется процесс сканирования изображения, и при его завершении новое изображение появится в области просмотра.
43.6. Приложение для сканирования Skanpage
Skanpage — простое приложение для сканирования и сохранения документов и изображений, состоящих из нескольких страниц.
При запуске сканер выбирается автоматически. Отсканированные страницы можно упорядочивать, вращать, удалять.
Сохранить отсканированные страницы можно как в формате PDF, так и в форматах файлов изображений. При экспорте в формат PDF (кнопка Экспорт в PDF) есть возможность распознавания текста:
Для работы с мультимедиа файлами (музыка, видео и т.п.) вы можете воспользоваться предназначенными для этого приложениями.
QMMP — простой проигрыватель AudioCD. QMMP поддерживает множество аудиоформатов и имеет настраиваемый интерфейс пользователя.
Avidemux — видеоредактор, предоставляющий возможности для быстрого (и несложного) редактирования видеофайлов (удаления ненужных частей, наложения всевозможных фильтров и последующего кодирования). Поддерживается работа с различными типами видео (среди которых AVI, MPEG, MP4/MOV, OGM, ASF/WMV, VOB, MKV и FLV), имеется богатый набор фильтров.
44.2. SimpleScreenRecorder
SimpleScreenRecorder — приложение для записи с экрана (записи действий на рабочем столе, снятия динамических скриншотов).
SimpleScreenRecorder работает только в X11-сессии.
Возможности
SimpleScreenRecorder:
создание профилей с предустановленными настройками;
выбор источника записи: весь экран, выделенная область, окно под курсором;
выбор частоты кадров;
настройка ширины и высоты видео;
включение/выключение записи курсора;
выбор с помощью чего будет идти запись звука;
выбор формата видео и аудио;
поддержка горячих клавиш;
интеграция с системным треем: остановка и возобновление записи.
В окне настроек SimpleScreenRecorder можно выбрать область для записи видео, источник записи звука:
В следующем окне SimpleScreenRecorder выбирается формат файла, кодек, который будет использован для сжатия видеопотока и аудиопотока:
В третьем окне SimpleScreenRecorder есть возможность проверить запись видео и звука (в окне предпросмотра), настроить горячие клавиши для старта записи видео:
SimpleScreenRecorder при запуске записи сворачивает основное окно в системный трей, возможна приостановка и возобновление прерванной записи в любое время (из значка в трее или горячими клавишами).
Haruna — простой и настраиваемый видеоплеер.
Возможности
Haruna:
поддержка плейлистов;
поддержка субтитров;
изменение скорости воспроизведения видео;
возможность регулировки цвета для улучшения качества;
поддержка создания скриншота видео;
возможность воспроизводить онлайн-видео;
возможность изменения настроек интерфейса;
поддержка горячих клавиш;
быстрый переход по главам, настраиваемая возможность пропуска глав.
Глава 45. Прочие приложения
45.1. Менеджер архивов Ark
Менеджер архивов можно использовать для создания, просмотра, изменения и распаковки архивов. Архив — это файл, служащий контейнером для других файлов. Архив может содержать множество файлов, папок и подпапок, обычно в сжатом виде. Менеджер архивов Ark — менеджер архивов по умолчанию для среды рабочего стола KDE.
Менеджер архивов поддерживает разные форматы архивов, например, tar, gzip, zip (должны быть установлены соответствующие утилиты командной строки):
Менеджер архивов автоматически определяет тип архива и отображает:
имя архива в заголовке окна;
содержимое архива в области отображения;
название файла (объекта) в текущем местоположении и его размер (в распакованном виде) на панели сведений.
45.1.1. Использование файлового менеджера для работы с архивом
Файловый менеджер можно использовать для добавления файлов в архив или для извлечения файлов из архива.
Для добавления файла/каталога в архив необходимо:
в контекстном меню файла/каталога, выбрать пункт → :
в открывшемся окне необходимо выбрать место для хранения архива, ввести имя архива, выбрать из выпадающего списка тип архива и нажать кнопку
ОК:
При создании нового архива можно указать дополнительные параметры (не все типы архивов поддерживают эти параметры):
Защита паролем — можно выбрать метод шифрования и указать пароль, который будет использоваться для шифрования архива. Если пароль не указан, архив не будет зашифрован;
Требовать пароль для просмотра списка файлов в архиве — пароль будет запрашиваться даже для просмотра списка файлов, содержащихся в архиве, в противном случае он будет использоваться только для извлечения файлов из архива;
Создать многотомный архив — позволяет разбить архив на несколько файлов указанного размера. Только 7-Zip архивы поддерживают эту функцию.
Для того чтобы извлечь файлы из архива, следует в контекстном меню архива выбрать пункт → — файлы будут распакованы в текущий каталог, или → — можно указать каталог, куда будут извлечены файлы:
45.2. Поиск файлов (KFind)
KFind — инструмент поиска файлов в KDE. Он имеет простой пользовательский интерфейс и позволяет искать файлы по имени, содержимому и времени изменения.
Для запуска KFind следует выбрать пункт → → .
KFind можно также запустить из файлового менеджера, нажав на панели поиска (вызывается щелчком по значку лупы) кнопку
Фильтр, выбрав из открывшегося списка кнопку
Открыть KFind:
Для поиска файла по имени необходимо указать имя файла в поле Имя файла, каталог для поиска в поле Искать в, затем нажать кнопку Поиск (Enter). Результаты поиска будут отображены в нижней части окна.
При поиске файла по имени можно использовать маски, в которых звёздочка * заменяет любые символы, а вопросительный знак ? — любой одиночный символ.
Для поиска файла по содержимому необходимо на вкладке Содержимое ввести слово или фразу в поле Содержит текст:
На вкладке Свойства можно задать дополнительные параметры поиска. Здесь можно указать даты, между которыми файлы были изменены, а также размер искомого файла:
При поиске учитываются настройки на всех вкладках.
Приложение интегрируется с файловым менеджером Dolphin. В контекстном меню найденного файла можно выбрать дальнейшее действие:
45.3. Просмотр электронных документов Okular
Okular — универсальное приложение для просмотра электронных документов различных форматов (PDF, DjVu, PostScript, TIFF, CHM и другие). Так же в Okular поддерживается открытие графических форматов (JPEG, PNG, GIF и ряд других растровых форматов).
Просмотрщик документов Okular запускается при открытии документа в формате PDF или файла PostScript. Кроме того, Okular можно запустить, выбрав в пункт → .
Okular поддерживает систему закладок, режим презентаций, поиск по тексту, выделение фрагментов текста и копирования его в буфер обмена.
Функция рецензирования Okular ( → , F6) позволяет добавлять комментарии в PDF-документы, подсвечивать текст и рисовать линии, геометрические фигуры, добавлять надписи и штампы:
Заметки могут храниться отдельно от неизменённого PDF-файла либо могут быть сохранены в документ как стандартные PDF-заметки.
45.4. Запись дисков: K3b
K3b — программа для записи CD и DVD-дисков, созданная для графической среды KDE.
K3b позволяет легко осуществлять распространённые операции записи CD/DVD: создание музыкальных дисков (Audio CD) из набора аудио файлов и создание точной копии диска. В то время как опытные пользователи могут настраивать практически любой аспект процесса записи, начинающие могут просто воспользоваться настройками, предложенными по умолчанию. Для записи дисков K3b использует утилиты командной строки: wodim, cdrdao, growisofs и другие.
Самый простой способ записать диск в K3b — воспользоваться списком наиболее востребованных функций, отображаемом после запуска программы в нижней части окна.
Полное описание возможностей программы и способов её использования содержится в руководстве пользователя, вызываемом из меню .
Приложение Системный монитор отображает список всех запущенных приложений, а также, сколько каждое из них занимает процессорного времени и оперативной памяти. Системный монитор имеет настраиваемый пользовательский интерфейс.
45.5.1. Запуск приложения
Для запуска приложения
Системный монитор можно:
Таблица процессов может быть вызвана в любой момент нажатием комбинации клавиш Meta+Esc
45.5.2. Применение приложения
Рабочее пространство Системного монитора организовано в виде страниц (вкладок). Состав каждой страницы можно редактировать.
Вкладка отображается по умолчанию. Здесь представлена основная информация о ресурсах:
На вкладке показан список запущенных приложений, с информацией об используемых ресурсах:
На вкладке приводится статистика использования ресурсов за определённый период времени. Информация на этой вкладке представлена в виде графиков: Использование процессора, Использование графического процессора, Использование памяти и Загрузка сети:
На вкладке отображается список запущенных в данный момент процессов, с информацией об используемых ресурсах:
Список процессов может быть отсортирован по любому параметру, поддерживается древовидное отображение процессов, показывающее отношения между выполняющимися процессами.
Выбрав в списке процесс, можно выполнять над ними различные действия.
Системный монитор позволяет добавить новые страницы на рабочую область. На страницу можно добавить один или нескольких датчиков.
45.6. Управление бумажниками (KWalletManager)
KWallet (KDE Бумажник) — это хранилище паролей в KDE. Обычно достаточно одного бумажника, защищённого мастер-паролем, но также существует возможность распределения всех паролей пользователя по нескольким бумажникам.
По умолчанию для хранения паролей пользователя используется бумажник с именем kdewallet. Он защищён паролем входа в систему и автоматически открывается при входе в систему. Все другие бумажники нужно открывать вручную.
Для управления бумажниками в KDE используется приложение Управление бумажниками (KWalletManager).
Для запуска приложения
Управление бумажниками можно:
Для автоматического открытия бумажника пароль для бумажника должен совпадать с паролем входа в систему либо быть пустым.
При изменении пароля пользователя пароль бумажника KDE (KWallet) не меняется автоматически. В результате при запуске приложений, использующих бумажник для хранения паролей, система будет запрашивать пароль для открытия бумажника:
Чтобы восстановить автоматическое открытие бумажника, необходимо вручную изменить его пароль, чтобы он совпадал с новым паролем входа в систему.
Для изменения пароля для бумажника необходимо нажать кнопку Сменить пароль… и в открывшемся окне ввести новый пароль:
Если бумажник «kdewallet» ещё не был создан пользователем или был удалён, при запуске приложения, которое хранит пароли в бумажнике (например, KRDC), будет выдан запрос на создание нового бумажника kdewallet:
В открывшемся диалоговом окне нужно выбрать модуль шифрования, нажать кнопку Завершить и установить пароль для бумажника:
WineHelper (winehelper) — инструмент для упрощённой установки Windows-приложений в Альт Рабочая станция K. Он использует подготовленные установочные скрипты, портативные версии Wine и изолированные Wine-префиксы. Это обеспечивает максимальную воспроизводимость настроек и предсказуемую работу приложений на разных системах.
С помощью WineHelper можно запустить более 40 приложений, таких как «T-FLEX CAD», «Декларация», «СТМ-Финансы» и другие.
WineHelper поддерживает два режима установки:
Автоматическая установка — для программ, распространяемых в открытом доступе. Пользователю достаточно выбрать приложение из списка — всё остальное выполняется автоматически.
Ручная установка — для программ, дистрибутивы которых недоступны публично. Пользователь указывает путь к локальному установочному файлу (.exe, .msi и т.п.).
Установка
WineHelper:
# apt-get install winehelper
Для работы в графическом интерфейсе необходимо установить пакет
winehelper-qt:
# apt-get install winehelper-qt
45.7.1. Работа с WineHelper в графическом интерфейсе
При первом запуске WineHelper проверяет и при необходимости устанавливает дополнительные зависимости (запрашиваются права root).
На вкладке приведён список программ, доступных для автоматической установки:
Чтобы установить приложение:
Выберите его в списке.
Нажмите кнопку Установить <имя_приложения>:
Примите лицензионное соглашение:
После подтверждения начнётся установка, включающая:
загрузку и проверку хеш-суммы нужной версии Wine;
загрузку и проверку хеш-суммы базового префикса;
инициализацию префикса;
скачивание установщика программы с официального сайта (если применимо);
установку приложения;
создание .desktop-файлов (ярлыков) на рабочем столе и в меню приложений.
Дождитесь завершения процесса:
На вкладке приведён список программ, для которых доступны скрипты автоматизации, но сами программы отсутствуют в свободном доступе.
Чтобы установить приложение вручную:
Выберите программу в списке.
Укажите путь к локальному установочному файлу.
Нажмите кнопку Установить <имя_приложения>:
Дальнейший процесс полностью аналогичен автоматическому режиму.
На вкладке отображаются все приложения, установленные через
WineHelper. Здесь также можно:
На вкладке можно:
создавать, редактировать и управлять собственными префиксами;
устанавливать дополнительные компоненты (библиотеки, шрифты);
настраивать ассоциации файлов;
устанавливать собственные приложения и создавать для них ярлыки;
выполнять тонкие настройки Wine.
45.7.2. Работа с WineHelper в консоли
Список доступных приложений:
$ winehelper install list
или сокращённая команда:
$ winehelper -i
Установка приложений:
Автоматическая установка:
$ winehelper install <имя_приложения>
Например:
$ winehelper install ved-info
Установка из локального файла:
$ winehelper install is-record-station "/путь/до/установочного_файла"
При первом запуске WineHelper проверяет и при необходимости устанавливает дополнительные зависимости (запрашиваются права root).
Процесс установки:
Вывод и подтверждение лицензионного соглашения (для продолжения введите y и нажмите Enter).
Автоматическое выполнение этапов (аналогично графическому режиму).
Если устанавливаемое приложение требует дополнительных действий пользователя (ввод лицензии, дополнительные настройки), это будет явно указано в терминале.
Удаление префикса:
$ winehelper remove-prefix [имя_префикса]
Если имя префикса не указано, будет выведен список существующих префиксов:
0 - Отмена
1 - Префикс1
2 - Префикс2
Выберите префикс (0-2):
Укажите номер и нажмите
Enter. Затем подтвердите удаление, введя
y.
При удалении префикса удаляются:
Создание резервной копии префикса:
$ winehelper backup-prefix [имя_префикса]
Если имя префикса не указано, будет выведен список существующих префиксов:
0 - Отмена
1 - Префикс1
2 - Префикс2
Выберите префикс (0-2):
После подтверждения:
создаётся архив префикса;
внутри префикса сохраняется используемая версия Wine;
копируются иконки и информация о ярлыках.
Резервная копия сохраняется на рабочем столе в формате:
backup_<имя_префикса>_<дата_создания>.whpack.
Восстановление префикса из резервной копии:
$ winehelper restore-prefix "путь/до/файла.whpack"
Запуск стороннего .exe-файла:
Способ 1 — выполнить команду:
$ winehelper "путь/до/файла.exe"
0 - Отмена
1 - Префикс1
2 - Префикс2
Выберите префикс (0-2):
Файл будет запущен в выбранном префиксе.
Способ 2 — через файловый менеджер Wine:
$ winehelper winefile
0 - Отмена
1 - Префикс1
2 - Префикс2
Выберите префикс (0-2):
Выберите префикс, затем найдите и запустите нужный .exe-файл.
Справка о команде
winehelper:
$ winehelper help
Qrca — графическое приложение для сканирования и создания QR-кодов и штрихкодов.
Основные возможности
Qrca:
распознавание QR-кодов и штрихкодов с помощью подключённой веб-камеры;
считывание кодов из готовых графических файлов, сохранённых на диске;
генерация собственных QR-кодов из произвольного текста, ссылок и структурированных данных;
сохранение созданных изображений QR-кодов на диск.
Для запуска приложения
Qrca можно:
в выбрать пункт меню → ;
выполнить команду qrca.
В открывшемся окне доступны три вкладки:
сканировать — режим распознавания кодов с веб-камеры или из файла изображения;
создать — генератор QR-кодов из введённых данных;
о программе — информация о программе.
45.8.1. Сканирование QR-кодов и штрихкодов
Qrca позволяет считать код двумя способами: через веб-камеру или из сохранённого изображения.
Сканирование с помощью веб-камеры:
Перейти на вкладку Сканировать.
Разместить QR-код или штрихкод в области видоискателя.
Сканирование из изображения:
На вкладке Сканировать нажать кнопку Открыть изображение.
В диалоге выбора файла указать изображение с QR-кодом и нажать Открыть.
После распознавания кода отобразится окно с расшифрованным содержимым и доступными действиями в зависимости от типа:
веб-ссылки, доступны кнопка
Открыть для перехода по URL-адресу в браузере и кнопка
Скопировать в буфер обмена:
параметры сети Wi-Fi, приложение распознаёт имя сети (SSID) и пароль, позволяя подключиться к сети кнопкой
Подключиться или скопировать полную строку конфигурации в буфер обмена кнопкой
Скопировать в буфер обмена:
контактные данные, кнопка
Сохранить контакт, чтобы добавить визитную карточку в хранилище контактов пользователя (~/.local/share/kpeoplevcard/), или сохранить исходные данные в буфер обмена кнопкой
Скопировать в буфер обмена:
произвольный текст, сохранить данные в буфер обмена кнопкой
Скопировать в буфер обмена:
Если при первой попытке сохранения контактной карточки файл .vcf не создаётся, необходимо убедиться, что в домашнем каталоге пользователя существует директория
~/.local/share/kpeoplevcard/. При отсутствии каталога необходимо создать её командой:
$ mkdir -p ~/.local/share/kpeoplevcard
45.8.2. Создание QR-кодов
Для генерации QR-кода:
Открыть вкладку Создать.
Ввести необходимую информацию в поле ввода. Изображение QR-кода в области предпросмотра сформируется автоматически.
Отсканировать код с экрана или нажать кнопку Сохранить, чтобы записать изображение в файл.
Примеры форматов данных для генерации QR-кода:
произвольный текст;
веб-ссылка, указывается полный адрес с протоколом, например: https://basealt.ru;
подключение к сети Wi-Fi, используется шаблон:
WIFI:T:WPA;S:<имя сети>P:<пароль>;;
Для открытой сети без пароля указывается T:nopass, а поле P: остается пустым;
номер телефона и адрес электронной почты (для сканирования мобильными устройствами). Указываются с префиксами tel: или mailto:, например: tel:+71234567890, mailto:user@example.ru;
визитная карточка, вводится многострочный блок в формате стандарта vCard 3.0:
BEGIN:VCARD
VERSION:3.0
N:<фамилия>;<имя>
FN:<полное имя>
TEL:<телефон>
EMAIL:<e-mail>
END:VCARD
Audex — программа для извлечения звуковых дорожек с Audio CD.
Audex позволяет переносить музыку с Audio CD на компьютер: извлекать дорожки с коррекцией ошибок чтения, автоматически загружать сведения об альбоме и обложки из баз данных CDDB. Доступные профили:
FLAC;
MP3;
MP4;
Ogg Vorbis;
Opus;
WAVE.
Для копирования диска в Audex необходимо вставить Audio CD в привод, дождаться автоматического определения списка дорожек, выбрать нужный формат в списке профилей и нажать кнопку Копировать.
Дополнительные параметры (каталог сохранения, профили кодирования, шаблоны имён файлов и настройки CDDB) доступны в меню Настройка.
Часть VI. Настройка системы
Глава 46. Центр управления системой
Для управления настройками установленной системы вы можете воспользоваться Центром управления системой. Центр управления системой представляет собой удобный интерфейс для выполнения наиболее востребованных административных задач: добавление и удаление пользователей, настройка сетевых подключений, просмотр информации о состоянии системы и т.п.
Центр управления системой состоит из нескольких независимых диалогов-модулей. Каждый модуль отвечает за настройку определённой функции или свойства системы.
46.2. Применение центра управления системой
Вы можете использовать центр управления системой для разных целей, например (в скобках указаны имена соответствующих модулей):
Управления выключением и перезагрузкой компьютера (
ahttpd-power, доступно только в веб-интерфейсе);
Управления
Системными службами (
services);
Просмотра
Системных журналов (
logs);
Конфигурирования
Сетевых интерфейсов (
net-eth);
Изменения пароля
Администратора системы (root) (
root);
Создания, удаления и редактирования учётных записей
Пользователей (
users);
Настройки ограничения
Использования диска (квоты) (
quota).
Вы всегда можете воспользоваться кнопкой Справка. Все модули ЦУС имеют справочную информацию.
46.3. Запуск Центра управления системой в графической среде
Центр управления системой можно запустить следующими способами:
При запуске необходимо ввести пароль администратора системы (root).
После успешного входа можно приступать к настройке системы.
Кнопка
Режим эксперта позволяет выбрать один из режимов:
Выбор режима влияет на количество отображаемых модулей. В режиме эксперта отображаются все модули, а в основном режиме только наиболее используемые.
46.4. Использование веб-ориентированного центра управления системой
Центр управления системой (ЦУС) имеет веб-ориентированный интерфейс, позволяющий управлять данным компьютером с любого другого компьютера сети.
Для запуска веб-ориентированного интерфейса, должен быть установлен пакет
alterator-fbi:
# apt-get install alterator-fbi
И запущен сервис ahttpd:
# systemctl enable --now ahttpd
Работа с центром управления системой происходит из любого веб-браузера. Для начала работы необходимо перейти по адресу https://ip-адрес:8080/.
Например, вы задали для сервера IP-адрес 192.168.0.16. В таком случае интерфейс управления доступен по адресу: https://192.168.0.16:8080/
IP-адрес компьютера можно узнать, введя команду:
$ ip addr
IP-адрес будет указан после слова
inet:
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:00:27:46:dd:91 brd ff:ff:ff:ff:ff:ff
inet 192.168.0.16/24 brd 192.168.0.255 scope global noprefixroute eth0
valid_lft forever preferred_lft forever
inet6 fe80::a00:27ff:fe46:dd91/64 scope link
valid_lft forever preferred_lft forever
Например, тут мы видим, что на интерфейсе eth0 задан IP-адрес 192.168.0.16.
При запуске центра управления системой необходимо ввести в соответствующие поля имя пользователя (root) и пароль пользователя:
После этого будут доступны все возможности ЦУС на той машине, к которой было произведено подключение через веб-интерфейс.
Веб-интерфейс ЦУС можно настроить (кнопка
Настройка), выбрав один из режимов:
основной режим;
режим эксперта.
Выбор режима влияет на количество отображаемых модулей. В режиме эксперта отображаются все модули, а в основном режиме только наиболее используемые.
Центр управления системой содержит справочную информацию по всем включённым в него модулям. Об использовании самого интерфейса системы управления можно прочитать, нажав на кнопку Справка на начальной странице центра управления системой.
После работы с центром управления системой, в целях безопасности, не оставляйте открытым браузер. Обязательно выйдите, нажав на кнопку Выйти.
Глава 47. Информация о системе
KInfoCenter предоставляет информацию о системе. KInfoCenter имеет модульную структуру. Каждый модуль является отдельным приложением.
Для запуска
KInfoCenter выберите → → , либо в нажмите кнопку
Вы можете запустить
KInfoCenter через командную строку, для этого выполните команду:
$ kinfocenter
В модуле показывается краткая сводка о системе. Она состоит из сведений о программах (дистрибутив, версия KDE Plasma, версия ядра и архитектура) и оборудовании (процессоры и память). Информация на этой странице может понадобиться при обращении в службу технической поддержки.
Раздел предназначен для просмотра устройств. В нём показаны все устройства, присутствующие на ПК. Чтобы посмотреть сведения об устройстве, выберите соответствующий модуль, сведения об устройствах будут показаны в панели сведений.
Модуль показывает информацию о сетевых интерфейсах, установленных на компьютере.
Глава 48. Управление графическими сессиями
48.1. Работа с удаленными графическими сессиями
48.1.1. Настройка VNC-сервера
Krfb — VNC-сервер среды KDE для организации совместного доступа к рабочему столу.
Для запуска Krfb выберите → → .
В открывшемся окне можно включить доступ к компьютеру и установить пароль для доступа с подтверждением (в разделе Подробности соединения):
При подключении клиента будет появляться уведомление о попытке соединения:
Можно разрешить удалённому пользователю подключаться без дополнительного подтверждения. Для этого в разделе Доступ без подтверждения следует отметить пункт Разрешить доступ без подтверждения и установить пароль для доступа без подтверждения (кнопка Сменить пароль доступа).
По умолчанию используется порт 5900, изменить его можно в настройках Krfb ( → ):
48.1.2. Подключение к удаленному рабочему столу
KRDC (Remote Desktop Connection) — клиентское приложение, которое позволяет просматривать и управлять сеансом на другом компьютере, где выполняется совместимый VNC или RDP-сервер.
Для запуска KRDC выберите → → .
KRDC имеет простой интерфейс:
KRDC — клиентское приложение, и его необходимо использовать с совместимыми серверами. Для подключения к серверу, достаточно выбрать в выпадающем списке протокол (vnc или rdp) и ввести имя сервера (или IP-адрес) в поле Подключиться к:
При необходимости, можно также указать порт, например, 192.168.0.153:5901.
Перед подключением убедитесь, что целевой компьютер (VNC-сервер) доступен в сети и, при необходимости, его межсетевой экран правильно настроен или отключен.
Далее можно указать параметры подключения и нажать кнопку OK:
Ввести пароль для доступа к удаленной системе:
KRDC по умолчанию сохраняет пароли подключения в бумажник (KWallet). Поэтому при повторном подключении пароль запрашиваться не будет.
Krfb может использовать два пароля: для доступа с подтверждением и для доступа без подтверждения.
Если пользователь подключался к удалённому рабочему столу, используя пароль для доступа с подтверждением, и этот пароль был сохранён в бумажник, то для того чтобы использовать пароль доступа без подтверждения, необходимо предварительно удалить сохранённый пароль в приложении
Управление бумажниками:
После подключения к удалённому рабочему столу можно использовать KRDC для наблюдения или управления удаленным рабочим столом:
Подключившись к удаленному серверу, можно использовать клавиатуру и мышь для управления окнами и приложениями на этом удаленном компьютере.
48.2. Работа с вложенными графическими сессиями (Alt-App-Starter)
Alt-App-Starter — инструмент для быстрого запуска программ. Alt-App-Starter позволяет запустить приложение с правами другого пользователя, например, с правами администратора.
Alt-App-Starter можно запустить, выбрав в пункт → .
Для того чтобы запустить команду от имени другого пользователя, необходимо ввести команду, отметить пункт Запустить от имени другого пользователя, выбрать в выпадающем списке Пользователь имя пользователя и ввести пароль пользователя, от имени которого нужно запустить программу:
Для того чтобы запустить команду с другим приоритетом, необходимо отметить пункт Запустить команду с другим приоритетом и указать приоритет:
По умолчанию все процессы запускаются с базовым приоритетом, равным 0. Суперпользователь (root) имеет право установить для любого процесса любое значение приоритета.
Пользователь может понизить приоритет. При выборе пользователем более высокого приоритета, команда будет запущена с максимально возможным для данного пользователя приоритетом (ulimit -e).
Если команду необходимо выполнить в терминале, следует отметить пункт Выполнить в терминале:
После нажатия кнопки Запустить программа запустится от имени указанного пользователя. Закончив работу с программой, просто закройте её.
Запустить приложение с правами другого пользователя, можно, выбрав в контекстном меню главного меню пункт :
Будет запущена программа
Alt-App-Starter:
48.3. Работа с отдельными графическими сессиями
Для того чтобы переключить пользователя в графическом режиме, следует в выбрать пункт → :
Будет показано стандартное окно входа в систему, в котором необходимо выбрать имя пользователя, ввести пароль, затем нажать
Enter или щелкнуть на кнопке
(
Войти). После непродолжительного времени ожидания запустится графическая оболочка операционной системы.
Переключаться между сеансами можно по одновременному нажатию клавиш Ctrl+Alt+F1, Ctrl+Alt+F2 и т.д.
KDE Connect — это приложение, которое позволяет интегрировать смартфон с системой Альт Рабочая станция K. Оно обеспечивает двустороннее взаимодействие между устройствами, включая обмен данными, синхронизацию и удалённое управление.
Основные возможности
KDE Connect:
отображение уведомлений с телефона на компьютере и наоборот;
передача файлов между устройствами;
синхронизация буфера обмена;
использование телефона как тачпада, клавиатуры или пульта ДУ;
управление медиапроигрывателями на ПК;
отправка пользовательских команд с телефона на компьютер;
все данные передаются по защищённому шифрованному каналу.
Для работы
KDE Connect требуется:
установленное приложение KDE Connect на смартфоне;
компьютер и телефон должны находиться в одной локальной сети (подключены к одному Wi-Fi или роутеру);
установленное приложение KDE Connect на компьютере, к которому планируется подключение.
49.1. Сопряжение с телефоном
Для подключения телефона к компьютеру:
На телефоне запустите приложение KDE Connect, в списке доступных устройств выберите ваш компьютер и нажмите кнопку Запросить сопряжение.
На компьютере появится уведомление с запросом на подключение, который необходимо принять:
После успешного сопряжения устройство появится в списке подключённых, и станут доступны все функции KDE Connect.
49.2. Работа с KDE Connect
После сопряжения можно управлять взаимодействием с устройством через интерфейс KDE Connect:
Часть функционала доступна в системном лотке панели KDE:
Некоторые функции требуют разрешений на стороне Android (например, доступ к уведомлениям, контактам, файлам). Разрешения настраиваются как в приложении KDE Connect на телефоне, так и в настройках KDE Connect на ПК.
Открыть настройки
KDE Connect можно:
через окно KDE Connect из системного лотка — кнопка
.
через терминал:
$ kdeconnect-settings
В настройках KDE Connect доступно подключение различных модулей для каждого подключённого устройства. В зависимости от выбранных модулей, будут меняться доступные функции на сопряженном устройстве.
Для некоторых модулей доступны отдельные настройки, например,
Буфер обмена:
Глава 50. Запуск программ на дискретной видеокарте
При наличии нескольких видеокарт (встроенной Intel и дискретной Nvidia), можно выбрать на какой из них будет запускаться приложение.
Для запуска приложения на дискретной видеокарте, следует в контекстном меню приложения в меню запуска приложений выбрать пункт :
Глава 51. Выбор программ, запускаемых автоматически при входе в систему
Для более удобной работы с системой можно выбрать определенные программы, которые будут запущены автоматически при входе пользователя в систему.
51.1. Автозапуск программ
В модуле
Параметров системы можно добавить программы или сценарии, которые будут автоматически запускаться во время запуска или завершения сеанса Plasma.
Приложения можно запускать только при запуске сеанса. Скрипты (сценарии) могут быть запущены при входе в систему или при выходе из неё:
Для добавления новой автоматически запускаемой программы, следует выполнить следующие шаги:
51.2. Управление сеансами
Модуль
Управление сеансами (
Параметры системы, панель управления ) служит для настройки параметров диспетчера сеансов. Менеджер сеанса может запомнить какие приложения были запущены при выходе из системы и автоматически запустить их при входе в систему.
Для того чтобы это происходило каждый раз при выходе из системы, следует в разделе отметить пункт Перед последним выходом из системы:
При выборе пункта При сохранении сеанса вручную при начале сессии будет восстановлено сохранённое вручную состояние, а не состояние при выходе из последнего сеанса. Если этот флажок установлен, в меню запуска приложений появится дополнительный пункт → :
Глава 52. Использование сменных носителей
52.1. Виджет Диски и устройства
Подключить носитель — значит сделать его файловую систему доступной. При подключении носителя его файловая система присоединяется к вашей файловой системе в виде подкаталога.
Виджет Диски и устройства используется для управления подключаемыми устройствами, такими как USB-накопители, цифровые камеры, внешние жёсткие диски USB и так далее.
Для подключения носителя, достаточно вставить его в подходящее устройство. При подсоединении внешнего устройства появляется всплывающее окно Диски и устройства.
По умолчанию в Альт Рабочая станция K автоматически монтируются только те носители, которые были ранее смонтированы вручную. Поэтому при первом подключении носителя его необходимо подключить (смонтировать), нажав кнопку Подключить и открыть:
При этом в окне диспетчера файлов появится содержимое носителя:
После того, как носитель информации будет смонтирован хотя бы один раз, доступ к его содержимому при следующем подключении будет предоставлен автоматически.
Щелчок по области устройства во всплывающем окне Диски и устройства, открывает список возможных действий, зависящих от типа устройства:
Если в уведомлениях Диски и устройства не отображается информация о вставленном USB-накопителе, следует убедиться, что на USB-накопитель не установлено ПО для защиты конфиденциальных данных, например, SecureDrive.
По умолчанию USB-накопители подключаются индивидуально для каждого пользователя (точка монтирования /run/media/<имя_пользователя>/).
Для извлечения носителя необходимо сначала отключить его. Например, для извлечения USB-накопителя нужно выполнить следующие шаги:
Закрыть все окна диспетчера файлов, окна терминала и любые другие окна, осуществляющие доступ к USB-накопителю.
В виджете Диски и устройства или в контекстном меню носителя (в окне диспетчера файлов) выбрать пункт .
Подождать, пока не исчезнет значок носителя, затем извлечь носитель.
52.2. Модуль Автоматическое монтирование
Действия, автоматически выполняемые при подключении внешних носителей информации можно настраивать в диалоговом окне
Автоматическое монтирование:
Автоматическое монтирование можно включить/отключить как для всех устройств, так и индивидуально для каждого носителя информации.
Здесь же можно включить автоматическое монтирование новых носителей (тех, которые не были ранее смонтированы вручную).
Глава 53. Настройка загрузчика GRUB2
53.1. Модуль настройки загрузчика GRUB2
Модуль настройки загрузчика GRUB2 позволяет в графическом режиме настраивать загрузчик ОС.
Модуль поддерживает множество параметров конфигурации GRUB2, в частности:
управление загружаемой конфигурацией по умолчанию;
управление временем ожидания загрузки;
управление загрузочными разрешениями;
управление цветами меню загрузки;
управление темой меню загрузки;
управление параметрами ядра;
выбор источника ввода данных при загрузке;
выбор терминала для вывода информации.
Чтобы запустить модуль настройки загрузчика GRUB2 нужно в
Параметрах системы выбрать панель управления и затем раздел .
Можно запустить модуль настройки загрузчика GRUB2 из командной строки, выполнив команду:
$ kcmshell6 kcm_grub2
Для запуска модуля потребуется ввести пароль администратора:
Для сохранения изменений также запрашивается авторизация.
На вкладке Основное настраивается конфигурация, загружаемая по умолчанию, и время ожидания выбора конфигурации.
Меню GRUB2 можно «скрыть» так, что оно появится на экране только при нажатии клавиши Esc до истечения времени ожидания, для этого следует отметить пункт Скрывать меню в течение и указать время ожидания.
Для того чтобы настроить время ожидания загрузки после показа меню, следует отметить пункт Автоматически загружать запись по умолчанию после показа меню и указать время таймаута. Запись по умолчанию выбирается в соответствующем списке:
В секции
Генерируемые записи можно управлять включением/отключением пунктов меню:
Сгенерировать записи для восстановления системы — позволяет отключить отображения пунктов меню recovery;
Сгенерировать записи для проверки оперативной памяти — позволяет скрыть пункты меню, содержащие memtest;
Проверка наличия операционных систем — позволяет отключить проверку наличия ОС на других разделах дискового пространства.
На вкладке Внешний вид можно менять способы отображения GRUB и внешний вид меню:
В секции Разрешения экрана можно задать режим экрана для самого загрузчика, и отдельно режим, который будет использоваться ядром Linux при загрузке. Вместо жесткого указания конкретного режима, выбрать значение Авто, и в этом случае режим будет выбран автоматически, исходя из предпочтений BIOS видеокарты и предпочтительного режима монитора. Обычно Авто соответствует максимальному из штатных режимов монитора, но в некоторых случаях нужный режим приходится выставлять вручную.
В секции Цвета можно задать цвета меню: общие цвета текста/фона и цвета текста/фона выделенной строки.
В секции Фон можно изменить тему, отображаемую во время загрузки. Тема включает в себя файл описания theme.txt, и фоновое изображение.
При выборе фонового изображения следует обратить внимание на параметры изображения, чтобы меню было контрастным и выделялось на фоне изображения, и было легко читаемым.
На вкладке Дополнительно в секции Параметры ядра Linux можно отредактировать параметры ядра, передаваемые непосредственно при загрузке ядра. В поле Обычные записи задаются параметры ядра Linux, добавляемые только в пункты меню, сгенерированные без «recovery». В поле Все записи задаются параметры ядра Linux, добавляемые во все пункты меню. Параметры можно задать, вписав их в соответствующее поле, или отметив пункт в выпадающем меню :
В секции Терминал устанавливаются, соответственно, значения параметров настройки последовательного терминала (как ввода, так и вывода), только терминала ввода и только терминала вывода.
В секции Другое можно задать команду настройки последовательного порта при использовании последовательной консоли, указать имя файла со звуковым сигналом, воспроизводимым при запуске.
Нажатие на кнопку
Установить/восстановить загрузчик приводит к открытию окна, в котором можно установить раздел для установки/восстановления GRUB:
Глава 54. Просмотр системных событий
54.1. Чтение журналов с помощью KSystemLog
KSystemLog — это мощный и удобный инструмент для анализа системных журналов в KDE. Приложение позволяет просматривать:
системный журнал (по умолчанию);
журнал сообщений ядра;
журнал Xorg;
дополнительные журналы (Apache, Samba, CUPS и др.).
Возможности
KSystemLog:
поддержка различных типов файлов журнала;
режим вкладок, для одновременного просмотра нескольких журналов;
чтение одного журнала из нескольких источников;
выделение цветом записей разных уровней важности;
фильтрация записей и поиск по ключевым словам;
записи обновляются в реальном времени, что позволяет отслеживать текущие события;
возможность настройки отображаемых столбцов;
выбор источника ввода данных при загрузке;
выбор терминала для вывода информации.
Для запуска KSystemLog выберите → → . При запуске будет запрошен пароль администратора системы (root):
Можно запустить
KSystemLog из командной строки, выполнив команду:
$ ksystemlog
При запуске KSystemLog из командной строки, не будут отображаться журнал ядра и журналы некоторых служб (которые самостоятельно ведут журнализацию событий). Аналогичное поведение будет, если при запуске KSystemLog из меню, в окне запроса пароля администратора системы нажать кнопку Пропустить. В обоих случаях KSystemLog будет запущен с правами текущего пользователя.
По умолчанию после запуска открывается системный журнал (журнал journald):
Для сортировки строк журнала достаточно щелкнуть по заголовку нужного столбца. Повторный щелчок отсортирует строки в обратном порядке. Для того чтобы вернуться к изначальному виду списка следует нажать кнопку Перезагрузить или клавишу F5.
Чтобы отфильтровать записи по определенному критерию можно воспользоваться панелью фильтра:
KSystemLog позволяет использовать сразу несколько режимов журнала, путем открытия соответствующего количества вкладок. Открыть новую вкладку можно, выбрав в меню → (Ctrl+T).
Чтобы просмотреть определенный системный журнал, можно нажать кнопку с названием этого журнала на панели журналов, или выбрать нужный журнал в меню (в меню имеются журналы, которые не отображаются на панели журналов).
В KSystemLog имеются различные настройки. Окно настроек KSystemLog можно открыть, выбрав в меню → :
54.2. Просмотр журналов в ЦУС
54.3. Настройка ротации журналов
Ротация журналов — это процесс архивирования и очистки старых лог-файлов для предотвращения их чрезмерного роста.
Утилита logrotate предназначена для автоматизации обработки журналов. Она может выполнять необходимые действия в зависимости от определенных условий и правил соответствия.
Все основные настройки программы находятся в файле /etc/logrotate.conf. Для дополнительных настроек используются файлы из каталога /etc/logrotate.d. В этих файлах содержатся правила обработки отдельных журналов.
Настройки по умолчанию (файл
/etc/logrotate.conf):
weekly — ротация осуществляется еженедельно;
rotate 4 — хранить четыре архивные копии логов (если количество равно нулю, прежние версии удаляются, а не ротируются);
create — создать новый файл журнала после ротации. Здесь же можно указать режим, владельца и группу файла (по умолчанию используются атрибуты исходного файла журнала);
compress — сжимать старые файлы журнала;
notifempty — не ротировать, если файл журнала пуст.
Для ознакомления с прочими возможностями, читайте руководство по logrotate. Для этого используйте команду man logrotate.
Пример настройки ротации журнала для службы
usbguard. Создать файл
/etc/logrotate.d/usbguard:
/var/log/usbguard/*log {
daily # Ротация ежедневно
missingok # Пропустить, если файл отсутствует
notifempty # Не ротировать, если файл пуст
rotate 7 # Хранить 7 архивов
compress # Сжимать архивы
create 0600 root root # Создать новый файл с указанными правами
delaycompress # Отложить сжатие до следующей ротации
}
После настройки какого-либо файла конфигурации
logrotate следует проверить его корректность, запустив утилиту
logrotate с опцией
-d, например:
# logrotate -d /etc/logrotate.d/usbguard
Для выполнения logrotate по расписанию можно использовать планировщик заданий KCron.
Настройка выполнения
logrotate по расписанию:
Запустить планировщик заданий
KCron, выбрав в
Параметрах системы панель управления и затем раздел или выполнив команду:
$ kcmshell6 kcm_cron
В поле Показывать выбрать Расписание системы и нажать кнопку Добавить…:
В окне
Планировщик заданий выполнить следующие настройки:
в поле
Команда указать команду для запуска ротации логов
usbguard:
/usr/sbin/logrotate /etc/logrotate.d/usbguard
или команду для запуска ротации всех логов:
/usr/sbin/logrotate /etc/logrotate.conf
в поле Пользователь выбрать root;
активировать задание, установив отметку в поле Активировать это задание:
установить расписание (например, каждый день в 18:10):
Нажать кнопку Создать задание. Созданное задание появится в планировщике заданий:
Сохранить изменения, нажав кнопку Ок или Применить. Так как задание будет записано в системный файл crontab, будет запрошен пароль администратора системы (root):
Системный файл crontab (
/etc/crontab) доступен для чтения только системному администратору. Для того чтобы системные задания отображались в
KCron, необходимо добавить права на чтение этого файла всем пользователям, например, выполнив команду (потребуется ввести пароль root):
$ su -l -c 'chmod a+r /etc/crontab'
Глава 55. Автоматическое брендирование рабочего стола
55.1. Утилита для изменения брендинга
Утилита для изменения брендинга позволяет в графическом режиме изменить оформление меню загрузчика ОС, оформление экрана прогресса загрузки, фон рабочего стола.
Должен быть установлен пакет
alt-customize-branding:
# apt-get install alt-customize-branding
Чтобы запустить утилиту, следует в выбрать → .
Можно запустить утилиту для настройки брендинга из командной строки, выполнив команду:
$ alt-customize-branding
Для настройки своего брендинга необходимо:
Указать путь до изображения брендинга в поле
Изображение или выбрать файл изображения, нажав на кнопку
Выбрать, и нажать кнопку
Добавить:
При выборе фонового изображения следует обратить внимание на параметры изображения, чтобы меню загрузки было контрастным, выделялось на фоне изображения и было легко читаемым.
Указать путь до файла логотипа в поле
Логотип или выбрать файл изображения, нажав на кнопку
Выбрать, и нажать кнопку
Добавить:
Установить логотип в нужном месте, перемещая его мышью.
Нажать кнопку Применить.
Для применения настроек потребуется ввести пароль администратора:
Настройка брендинга займёт какое-то время, в результате будет показано окно о завершении процесса:
После перезагрузки, ОС будет загружаться с настроенным брендингом:
Глава 56. Запуск тяжёлых приложений в ограниченном окружении
56.1. Модуль Ограничение ресурсов
Модуль
Ограничение ресурсов Параметров системы позволяет запускать приложения в специальном ограниченном по памяти окружении.
Для того чтобы добавить приложение в список ограниченных, необходимо:
Выбрать приложение, нажав кнопку
Выбрать приложение (можно также указать полный путь к бинарному файлу в поле
Приложение):
Указать размер ограничения в мегабайтах и нажать кнопку
Добавить:
Нажать кнопку
Применить для применения ограничений:
Глава 57. Настройка сети
Для управления настройками сети в Альт Рабочая станция K используется программа NetworkManager.
NetworkManager позволяет подключаться к различным типам сетей: проводным, беспроводным, мобильным, VPN и DSL, а также сохранять эти подключения для быстрого доступа к сети. Например, если вы подключались к сети в каком-либо месте, можно сохранить настройки этого подключения и при следующем посещении подключиться автоматически.
Значок виджета Управление сетью располагается в системном лотке.
При нажатии левой кнопки мыши на значок Управление сетью откроется меню, в котором отображается информация о текущих соединениях. Здесь также можно выбрать одну из доступных Wi-Fi-сетей и подключиться к ней, или отключить активное Wi-Fi-соединение.
Для настройки соединений следует нажать кнопку
или выбрать пункт
Настроить сетевые соединения… в меню, вызываемом при нажатии
правой кнопки мыши на значке
Управление сетью:
В открывшемся окне будет показан список соединений, сгруппированных по типам:
При нажатии кнопки
в строке соединения отобразится общая информация о данном соединении:
Для настройки соединения следует нажать кнопку
Настроить…. В открывшемся окне
Wi-Fi и сеть приложения
Параметры системы, можно посмотреть или изменить настройки интерфейса:
NetworkManager под именем
System enp0s3 или
System eth0 показывает системное Ethernet-соединение, создаваемое Etcnet. Изменить его в диалоге
Сеть невозможно. Это соединение можно изменить в ЦУС, там же можно выбрать, какой именно интерфейс, какой подсистемой обслуживается (подробнее о выборе сетевой подсистемы рассказано в разделе
Конфигурирование сетевых интерфейсов).
57.1.2. Подключение к беспроводной сети
Для подключения к беспроводной сети необходимо нажать кнопку
Подключить напротив нужной Wi-Fi сети или нажать кнопку
для подключения к сети с помощью QR-кода в приложении
Qrca (подробнее см. раздел
Qrca):
При подключении к беспроводной сети в первый раз может понадобиться указать некоторые сведения о защите сети (например, указать аутентификационные данные):
При нажатии кнопки
в строке соединения отобразится общая информация о данном соединении:
Для настройки соединения следует нажать кнопку
Настроить…. В открывшемся окне
Wi-Fi и сеть приложения
Параметры системы, можно посмотреть или изменить настройки интерфейса:
Если требуется установить приоритет автоматического подключения, необходимо на вкладке установить отметку в пункте Подключаться автоматически с приоритетом и указать нужный приоритет.
Если установить отметку в поле Все пользователи могут подключаться к этой сети, данное подключение будет доступно на экране входа в систему для всех пользователей.
На вкладках и можно указать статический IP, шлюз, DNS и другие параметры, если это необходимо.
На вкладке можно изменить пароль подключения и сохранить его для всех пользователей.
На вкладке можно вручную задать имя и другие параметры Wi-Fi сети.
Если для беспроводного соединения установлена отметка Все пользователи могут подключаться к этой сети, оно становится системным соединением. Для изменения настроек системного соединения потребуется ввод пароля администратора системы:
57.1.3. Настройка VPN-подключения по протоколу OpenVPN
Для настройки VPN-подключения по протоколу OpenVPN в
NetworkManager следует выполнить следующие действия:
Добавить новое сетевое соединение (кнопка Добавить новое соединение):
В списке выбора типа соединения выбрать пункт OpenVPN и нажать кнопку Создать:
Если имеется файл конфигурации клиента, в списке выбора типа соединения можно выбрать пункт Импортировать VPN-соединение… и указать этот файл, параметры соединения будут настроены согласно этому файлу.
В открывшемся окне на вкладке указать IP-адрес сервера OpenVPN, сертификат центра сертификации (ЦС), приватный ключ и сертификат пользователя:
Нажать кнопку Дополнительно…, чтобы настроить параметры подключения. Настройки соединения находятся на разных вкладках, например, на вкладке можно указать порт и тип виртуального устройства:
Сохранить сделанные изменения, нажав кнопку ОК, и затем Сохранить.
Для изменения настроек системного соединения (если на вкладке отмечен пункт Все пользователи могут подключаться к этой сети), потребуется ввод пароля администратора системы:
Для того чтобы VPN-соединение было доступно на экране входа в систему, в настройках соответствующего подключения необходимо установить отметку в поле Все пользователи могут подключаться к этой сети:
Для подключения к VPN необходимо в меню нажать кнопку Подключить в строке VPN-соединения:
После успешного подключения к VPN на значке сетевого виджета появляется значок замка
.
Настройку сети можно выполнить в
Центре управления системой в разделе → . Здесь можно задать как глобальные параметры сети (адрес сервера DNS, имя компьютера), так и настройки конкретного сетевого интерфейса:
Глава 58. Изменение пароля пользователя
Пароли пользователей в ОС Альт Рабочая станция K первоначально определяет администратор системы при создании учетных записей пользователей. В дальнейшем пользователи могут самостоятельно изменять свои пароли.
Порядок действий:
Выберите учётную запись.
Нажмите кнопку Изменить пароль.
В появившемся окне дважды введите новый пароль:
Нажмите кнопку Задать пароль.
Введите текущий пароль:
При смене пароля текущего пользователя запрашивается его текущий пароль. При смене пароля другой учётной записи запрашивается пароль пользователя root.
Нажмите кнопку Ок.
При изменении пароля пользователя в приложении
Параметры системы будет предложено изменить пароль бумажника KDE (KWallet):
Для смены пароля нажмите кнопку Изменить пароль бумажника (хранителя паролей). Если менять пароль бумажника не требуется, нажмите кнопку Оставить без изменения.
Если пароль не изменять, при запуске приложений, использующих его для хранения паролей, система будет запрашивать пароль для открытия бумажника:
Чтобы восстановить автоматическое открытие бумажника, необходимо вручную изменить его пароль так, чтобы он совпадал с новым паролем входа в систему. Это можно сделать с помощью приложения
Управление бумажниками (KWalletManager).
Для автоматического открытия бумажника его пароль должен совпадать с паролем входа в систему либо быть пустым.
Глава 59. Установка принтера в Альт Рабочая станция K
Перед началом установки необходимо убедиться в том, что в случае локального подключения принтер присоединён к соответствующему порту компьютера и включён, а в случае сетевого подключения принтер корректно сконфигурирован для работы в сети.
59.1. Установка принтера в веб-интерфейсе CUPS
Настраивать службу печати CUPS и отслеживать её состояние можно через веб-интерфейс, который доступен по адресу http://localhost:631. Веб-интерфейс можно использовать для выполнения любых задач управления принтером.
Запустить веб-интерфейс CUPS можно, выбрав пункт → → .
Если вы получаете ошибку
Ошибка соединения с узлом localhost: Отказано в соединении., то запустите терминал, и выполните команду
# systemctl restart cups
от имени
системного администратора root.
Для добавления принтера следует перейти во вкладку . На запрос авторизации следует ввести имя и пароль пользователя, входящего в группу wheel.
Для запуска мастера установки принтера необходимо во вкладке нажать кнопку Добавить принтер:
В открывшемся окне будут перечислены найденные локальные и сетевые принтеры. Необходимо выбрать из списка требуемый принтер и нажать кнопку Продолжить:
В следующем окне можно задать название принтера и его описание. Для того чтобы принтер был доступен с других компьютеров в сети, необходимо отметить пункт Разрешить совместный доступ к этому принтеру:
В следующем окне необходимо выбрать драйвер для принтера и нажать кнопку Добавить принтер:
На следующем шаге настраиваются параметры принтера, если они у него есть (например, двусторонняя печать).
Для изменения параметров существующих принтеров следует перейти на вкладку и выбрать принтер для изменения.
На вкладке можно просматривать список заданий и их статус (выводится название принтера с номером задания, название документа, имя пользователя, размер документа и количество страниц).
59.2. Инструмент для управления заданиями печати и принтерами
Если вы получаете ошибку
Служба печати недоступна, то запустите терминал, и выполните команду
# systemctl restart cups
от имени
системного администратора root.
Для добавления принтера необходимо нажать кнопку Добавить…:
В открывшемся окне выберите принтер, который необходимо подключить и нажмите кнопку Выбрать рекомендуемый драйвер или кнопку Выбрать драйвер, если рекомендуемый драйвер не найден:
Утилита начнет поиск подходящего драйвера. Можно выбрать рекомендуемый, или выбрать драйвер из списка самостоятельно:
В следующем окне можно задать описание принтера:
После нажатия Добавить принтер станет доступным для печати:
Изменить настройки добавленного принтера вы можете в любой момент, выбрав в программе нужный принтер и нажав кнопку Настроить… в окне описания принтера.
В окне настроек можно изменить дополнительные параметры принтера: разрешение, размер используемой по умолчанию бумаги, правила и разрешения:
Глава 60. Настройка сканера подключенного к USB-порту
В Альт Рабочая станция K доступ к сканерам обеспечивается программой SANE (Scanner Access Now Easy). Система SANE состоит из двух частей: аппаратной поддержки (backend, libsane) и программной поддержки (frontend). Первая часть обеспечивает собственно доступ к сканеру, вторая — графический интерфейс для сканирования.
Подключите сканер к компьютеру и проверьте доступность сканера:
$ lsusb
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 002 Device 004: ID 03f0:012a HP, Inc HP LaserJet M1536dnf MFP
Bus 002 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 2.0 root hub
В примере сканер определен на шине USB 002 как устройство 004.
При помощи команды
sane-find-scanner можно проверить поддержку сканера системой SANE:
$ sane-find-scanner -q
could not open USB device 0x1d6b/0x0002 at 001:001: Access denied (insufficient permissions)
found USB scanner (vendor=0x03f0 [Hewlett-Packard], product=0x012a [HP LaserJet M1536dnf MFP]) at libusb:002:004
could not open USB device 0x80ee/0x0021 at 002:002: Access denied (insufficient permissions)
could not open USB device 0x1d6b/0x0001 at 002:001: Access denied (insufficient permissions)
В выводе должны присутствовать интерфейс сканера и имя используемого устройства. В данном случае сканер был распознан на шине 002 как устройство 004.
Если бы доступ к сканеру также был запрещен (как и доступ к другим USB-устройствам), необходимо рассмотреть разрешения на шину USB:
# ls -l /dev/bus/usb/002/
итого 0
crw-rw-r-- 1 root root 189, 128 окт 28 12:00 001
crw-rw-r-- 1 root root 189, 129 окт 28 12:00 002
crw-rw-r--+ 1 root lp 189, 130 окт 28 12:42 003
И добавить пользователя в нужную группу (в данном случае в группу lp):
# gpasswd -a user lp
Далее необходимо ОБЯЗАТЕЛЬНО перезапустить сеанс пользователя.
Теперь необходимо убедиться, что сканер опознан программой графического интерфейса. В состав системы SANE входит утилита
scanimage, позволяющая работать со сканером из командной строки (опция
-L используется для показа информации о сканере):
$ scanimage -L
device `hpaio:/usb/HP_LaserJet_M1536dnf_MFP?serial=00CND9D8YC9C' is a Hewlett-Packard HP_LaserJet_M1536dnf_MFP all-in-one
В контексте локального USB-устройства, доступ к которому имеет обычный пользователь, положительный ответ указывает, что SANE поддерживает этот сканер.
Проверка работы сканера:
$ scanimage -T -d 'hpaio:/usb/HP_LaserJet_M1536dnf_MFP?serial=00CND9D8YC9C'
scanimage: scanning image of size 637x876 pixels at 1 bits/pixel
scanimage: acquiring gray frame, 1 bits/sample
scanimage: reading one scanline, 80 bytes... PASS
scanimage: reading one byte... PASS
scanimage: stepped read, 2 bytes... PASS
scanimage: stepped read, 4 bytes... PASS
scanimage: stepped read, 8 bytes... PASS
scanimage: stepped read, 16 bytes... PASS
scanimage: stepped read, 32 bytes... PASS
scanimage: stepped read, 64 bytes... PASS
scanimage: stepped read, 128 bytes... PASS
scanimage: stepped read, 127 bytes... PASS
scanimage: stepped read, 63 bytes... PASS
scanimage: stepped read, 31 bytes... PASS
scanimage: stepped read, 15 bytes... PASS
scanimage: stepped read, 7 bytes... PASS
scanimage: stepped read, 3 bytes... PASS
где 'hpaio:/usb/HP_LaserJet_M1536dnf_MFP?serial=00CND9D8YC9C' — актуальное имя подключенного устройства, которое можно взять из вывода предыдущей команды.
Для некоторых устройств Hewlett-Packard требуется установить актуальный плагин с сервера HP. Для установки плагина необходимо выполнить команду (должен быть установлен пакет
hplip):
$ hp-plugin -i
…
Enter option (d=download*, p=specify path, q=quit) ? d
…
Do you accept the license terms for the plug-in (y=yes*, n=no, q=quit) ? y
Please enter the root/superuser password:
При установке плагина потребуется ввести пароль суперпользователя.
Для работы со сканерами Epson необходимо установить пакеты
epsonscan2,
imagescan-sane,
iscan-free,
iscan-data и
firmware-iscan из репозитория:
# apt-get install epsonscan2 imagescan-sane iscan-free iscan-data firmware-iscan
Также для работы со сканерами Epson может потребоваться скачать и установить пакет
epsonscan2-non-free-plugin с официального сайта
Epson.
60.2. Интерфейсы для сканирования (frontend)
Интерфейс — это программа, которая взаимодействует с SANE для получения отсканированного вывода в желаемом формате. SANE был разработан для взаимодействия с любым SANE-совместимым интерфейсом, командной строкой или на основе графического интерфейса пользователя:
Альт Домен — программный комплекс для централизованного управления пользователями и компьютерами в корпоративной сети на базе Linux и Windows. Обеспечивает единый центр аутентификации и авторизации, хранение данных о пользователях и устройствах, а также их администрирование. Поддерживает интеграцию с MS Active Directory и Samba DC, включая управление настройками и политиками безопасности.
В данном разделе приведена краткая инструкция разворачивания
Альт Домен. Подробную инструкцию можно найти по ссылке
Альт Домен.
Поддерживаются следующие базовые возможности
Active Directory:
аутентификация рабочих станций Windows и Linux и служб;
авторизация и предоставление ресурсов;
групповые политики (
GPO);
перемещаемые профили (Roaming Profiles);
поддержка инструментов Microsoft для управления серверами (Remote Server Administration Tools) с компьютеров под управлением Windows;
поддержка протоколов
SMB2 и
SMB3 (в том числе с поддержкой шифрования).
61.1. Создание нового домена
Имя домена, назначаемое разворачиваемому контроллеру домена (
DC), должно состоять как минимум из двух компонентов, разделённых точкой.
Необходимо избегать суффиксов .local. При указании домена, имеющего суффикс .local, на сервере и подключаемых компьютерах под управлением Linux потребуется отключить службу avahi-daemon.
Для корректной работы сервера должны соблюдаться следующие условия:
для сервера должно быть задано полное доменное имя (FQDN);
IP-адрес сервера не должен изменяться;
в настройках сетевого интерфейса должен быть указан IP-адрес 127.0.0.1 в качестве первичного DNS.
До развёртывания контроллера домена (на этапе установки пакетов и первичной настройки системы) допускается временно указать внешний DNS-сервер в /etc/resolv.conf для обеспечения доступа к репозиториям и внешним ресурсам.
После разворачивания домена внешний DNS-сервер необходимо удалить из конфигурации. В качестве DNS-сервера должен быть указан собственный IP-адрес контроллера домена (либо 127.0.0.1).
61.1.1. Установка пакетов
Для Samba DC на базе Heimdal Kerberos необходимо установить пакет
task-samba-dc, который установит все необходимое:
# apt-get install task-samba-dc
61.1.2. Остановка конфликтующих служб
Так как Samba в режиме контроллера домена (Domain Controller, DC) использует свой сервер LDAP, свой центр распределения ключей Kerberos и свой сервер DNS (если не включен плагин BIND9_DLZ), перед установкой необходимо остановить конфликтующие службы
krb5kdc и
slapd, а также
bind:
# for service in smb nmb krb5kdc slapd bind; do systemctl disable $service; systemctl stop $service; done
Выключить автозагрузку служб и отключить службы можно в
ЦУС ( → ).
61.1.3. Восстановление к начальному состоянию Samba
Необходимо очистить базы и конфигурацию
Samba (домен, если он создавался до этого, будет удалён):
# rm -f /etc/samba/smb.conf
# rm -rf /var/lib/samba
# rm -rf /var/cache/samba
# mkdir -p /var/lib/samba/sysvol
Обязательно удаляйте /etc/samba/smb.conf перед созданием домена: rm -f /etc/samba/smb.conf
61.1.4. Установка имени контроллера домена
Имя домена, для разворачиваемого
DC, должно состоять минимум из двух компонентов, разделённых точкой.
Необходимо избегать суффиксов .local. При указании домена, имеющего суффикс .local, на сервере и подключаемых компьютерах под управлением Linux потребуется отключить службу avahi-daemon.
Для установки имени узла и домена следует выполнить команды:
# hostnamectl set-hostname <имя узла>
# domainname <имя домена>
Например:
# hostnamectl set-hostname dc1.test.alt
# domainname test.alt
После изменения имени компьютера могут перестать запускаться приложения. Для решения этой проблемы необходимо перезагрузить систему.
61.1.5. Создание домена одной командой
Создание контроллера домена test.alt:
# samba-tool domain provision --realm=test.alt --domain test --adminpass='Pa$$word' --dns-backend=SAMBA_INTERNAL --option="dns forwarder=8.8.8.8" --server-role=dc
где
--realm — область Kerberos (
LDAP), и
DNS имя домена;
--domain — имя домена (имя рабочей группы);
--adminpass — пароль основного администратора домена;
dns forwarder — внешний DNS-сервер;
--server-role — тип серверной роли.
Пароль администратора должен быть не менее 7 символов и содержать символы как минимум трёх групп из четырёх возможных: латинских букв в верхнем и нижнем регистрах, чисел и других небуквенно-цифровых символов. Пароль не полностью соответствующий требованиям это одна из причин завершения развертывания домена ошибкой.
Параметр
--use-rfc2307 позволяют поддерживать расширенные атрибуты типа
UID и
GID в схеме
LDAP и
ACL на файловой системе Linux.
61.1.6. Интерактивное создание домена
У Samba свой собственный DNS-сервер. В DNS forwarder IP address нужно указать внешний DNS-сервер, чтобы DC мог разрешать внешние доменные имена.
Для интерактивного развертывания запустите
samba-tool domain provision, это запустит утилиту развертывания, которая будет задавать различные вопросы о требованиях к установке. В примере показано создание домена test.alt:
# samba-tool domain provision
Realm [TEST.ALT]:
Domain [TEST]:
Server Role (dc, member, standalone) [dc]:
DNS backend (SAMBA_INTERNAL, BIND9_FLATFILE, BIND9_DLZ, NONE) [SAMBA_INTERNAL]:
DNS forwarder IP address (write 'none' to disable forwarding) [127.0.0.1]: 8.8.8.8
Administrator password:
Retype password:
Looking up IPv4 addresses
Looking up IPv6 addresses
Setting up share.ldb
Setting up secrets.ldb
Setting up the registry
Setting up the privileges database
Setting up idmap db
Setting up SAM db
Setting up sam.ldb partitions and settings
Setting up sam.ldb rootDSE
Pre-loading the Samba 4 and AD schema
Adding DomainDN: DC=test,DC=alt
Adding configuration container
Setting up sam.ldb schema
Setting up sam.ldb configuration data
Setting up display specifiers
Modifying display specifiers
Adding users container
Modifying users container
Adding computers container
Modifying computers container
Setting up sam.ldb data
Setting up well known security principals
Setting up sam.ldb users and groups
Setting up self join
Adding DNS accounts
Creating CN=MicrosoftDNS,CN=System,DC=test,DC=alt
Creating DomainDnsZones and ForestDnsZones partitions
Populating DomainDnsZones and ForestDnsZones partitions
Setting up sam.ldb rootDSE marking as synchronized
Fixing provision GUIDs
A Kerberos configuration suitable for Samba AD has been generated at /var/lib/samba/private/krb5.conf
Merge the contents of this file with your system krb5.conf or replace it with this one. Do not create a symlink!
Once the above files are installed, your Samba AD server will be ready to use
Server Role: active directory domain controller
Hostname: dc1
NetBIOS Domain: TEST
DNS Domain: test.alt
DOMAIN SID: S-1-5-21-80639820-2350372464-3293631772
При запросе ввода нажимайте Enter за исключением запроса пароля администратора («Administrator password:» и «Retype password:»).
Пароль администратора должен быть не менее 7 символов и содержать символы как минимум трёх групп из четырёх возможных: латинских букв в верхнем и нижнем регистрах, чисел и других небуквенно-цифровых символов. Пароль не полностью соответствующий требованиям это одна из причин завершения развертывания домена ошибкой.
61.2. Настройка файла /etc/resolvconf.conf
Для корректного распознавания всех локальных DNS-запросов в файле
/etc/resolvconf.conf должна присутствовать строка:
name_servers=127.0.0.1
Если этой строки в файле
/etc/resolvconf.conf нет, то в конец этого файла следует добавить строку:
name_servers=127.0.0.1
и перезапустить сервис resolvconf:
# resolvconf -u
61.3. Запуск службы samba
Установить службу samba запускаемой по умолчанию и запустить её:
# systemctl enable --now samba
61.4. Настройка Kerberos
Внести изменения в файл
/etc/krb5.conf. Следует раскомментировать строку
default_realm и содержимое разделов
realms и
domain_realm и указать название домена (обратите внимание на регистр символов), в строке
dns_lookup_realm должно быть установлено значение false:
includedir /etc/krb5.conf.d/
[logging]
# default = FILE:/var/log/krb5libs.log
# kdc = FILE:/var/log/krb5kdc.log
# admin_server = FILE:/var/log/kadmind.log
[libdefaults]
dns_lookup_kdc = true
dns_lookup_realm = false
ticket_lifetime = 24h
renew_lifetime = 7d
forwardable = true
rdns = false
default_realm = TEST.ALT
# default_ccache_name = KEYRING:persistent:%{uid}
[realms]
TEST.ALT = {
default_domain = test.alt
}
[domain_realm]
dc = TEST.ALT
В момент создания домена Samba конфигурирует шаблон файла
krb5.conf для домена в каталоге
/var/lib/samba/private/. Можно просто заменить этим файлом файл, находящийся в каталоге
/etc/:
# cp /var/lib/samba/private/krb5.conf /etc/krb5.conf
61.5. Проверка работоспособности
Просмотр общей информации о домене:
# samba-tool domain info 127.0.0.1
Forest : test.alt
Domain : test.alt
Netbios domain : TEST
DC name : dc1.test.alt
DC netbios name : DC1
Server site : Default-First-Site-Name
Client site : Default-First-Site-Name
Просмотр предоставляемых служб:
# smbclient -L localhost -Uadministrator
Enter TEST\administrator's password:
Sharename Type Comment
--------- ---- -------
sysvol Disk
netlogon Disk
IPC$ IPC IPC Service (Samba 4.21.9-alt1)
SMB1 disabled -- no workgroup available
Общие ресурсы netlogon и sysvol создаваемые по умолчанию нужны для функционирования сервера AD и создаются в
smb.conf в процессе развертывания/модернизации.
Проверка конфигурации
DNS:
Убедитесь в наличии nameserver 127.0.0.1 в
/etc/resolv.conf:
# cat /etc/resolv.conf
# Generated by resolvconf
# Do not edit manually, use
# /etc/net/ifaces/<interface>/resolv.conf instead.
search test.alt
nameserver 127.0.0.1
# host test.alt
test.alt has address 192.168.0.132
test.alt has IPv6 address fd47:d11e:43c1:0:a00:27ff:fed9:6998
Проверьте имена хостов:
# host -t SRV _kerberos._udp.test.alt.
_kerberos._udp.test.alt has SRV record 0 100 88 dc1.test.alt.
# host -t SRV _ldap._tcp.test.alt.
_ldap._tcp.test.alt has SRV record 0 100 389 dc1.test.alt.
# host -t A dc1.test.alt.
dc1.test.alt has address 192.168.0.132
Если имена не находятся, проверьте выключение службы
named.
Проверка Kerberos (имя домена должно быть в верхнем регистре):
# kinit administrator@TEST.ALT
Password for administrator@TEST.ALT:
Просмотр полученного билета:
# klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: administrator@TEST.ALT
Valid starting Expires Service principal
09.03.2025 19:44:49 10.03.2025 05:44:49 krbtgt/TEST.ALT@TEST.ALT
renew until 10.03.2025 19:44:46
61.6. Управление пользователями
Создать пользователя с паролем:
# samba-tool user create имя пользователя
# samba-tool user setexpiry имя пользователя
Удалить пользователя:
# samba-tool user delete имя пользователя
Отключить пользователя:
# samba-tool user disable имя пользователя
Включить пользователя:
# samba-tool user enable имя пользователя
Изменить пароль пользователя:
# samba-tool user setpassword имя пользователя
Просмотреть доступных пользователей:
# samba-tool user list
Например, создать и разблокировать пользователя ivanov:
# samba-tool user create ivanov --given-name='Иван Иванов' --mail-address='ivanov@test.alt'
# samba-tool user setexpiry ivanov --noexpiry
Не допускайте одинаковых имён для пользователя и компьютера, это может привести к коллизиям (например, такого пользователя нельзя добавить в группу). Если компьютер с таким именем заведён, удалить его можно командой: pdbedit -x -m имя
61.7. Настройка файловых ресурсов на контроллере доменов
Создать каталог и настроить права:
# mkdir /srv/share
# chmod 777 /srv/share
В конец файла
/etc/samba/smb.conf добавить ресурс:
[share]
path = /srv/share
public = no
writable = yes
read only = no
guest ok = no
valid users = "@TEST\Domain Users" "@TEST\Domain Admins"
create mask = 0666
directory mask = 0777
force create mode = 0666
force directory mode = 0777
inherit owner = yes
где TEST — имя домена, Domain Users и Domain Admins — группы пользователей, которым разрешен доступ к каталогу.
Перезапустить samba:
# systemctl restart samba
Глава 62. Ввод рабочей станции в Альт Домен
Инструкция по вводу рабочей станции под управлением Альт Рабочая станция K в Альт Домен. Параметры домена:
TEST.ALT — имя домена;
TEST — рабочая группа;
HOST-15 — имя компьютера в Netbios;
Administrator — имя пользователя-администратора;
Pa$$word — пароль администратора.
Для ввода компьютера в Альт Домен потребуется установить пакет
task-auth-ad-sssd и все его зависимости (если он еще не установлен):
# apt-get install task-auth-ad-sssd
Синхронизация времени с контроллером домена производится автоматически.
Для ввода компьютера в домен на нём должен быть доступен сервер DNS, содержащий записи о контроллере домена. Ниже приведен пример настройки сетевого интерфейса со статическим IP-адресом. При получении IP-адреса по DHCP данные о сервере DNS также должны быть получены от сервера DHCP.
Настройку сети можно выполнить как в графическом интерфейсе, так и в консоли:
В
Центре управления системой в разделе → задать имя компьютера, указать в поле
DNS-серверы DNS-сервер домена и в поле
Домены поиска — домен для поиска:
В консоли:
задать имя компьютера:
# hostnamectl set-hostname host-15.test.alt
в качестве первичного DNS должен быть указан DNS-сервер домена. Для этого необходимо создать файл
/etc/net/ifaces/eth0/resolv.conf со следующим содержимым:
nameserver 192.168.0.132
где 192.168.0.132 — IP-адрес DNS-сервера домена.
указать службе resolvconf использовать DNS контроллера домена и домен для поиска. Для этого в файле
/etc/resolvconf.conf добавить/отредактировать следующие параметры:
interface_order='lo lo[0-9]* lo.* eth0'
search_domains=test.alt
где eth0 — интерфейс, на котором доступен контроллер домена, test.alt — домен.
обновить DNS адреса:
# resolvconf -u
После изменения имени компьютера может потребоваться перезагрузка системы, так как некоторые приложения могут перестать запускаться.
В результате выполненных действий в файле
/etc/resolv.conf должны появиться строки:
search test.alt
nameserver 192.168.0.132
Ввод в домен можно осуществить следующими способами:
В командной строке:
# system-auth write ad test.alt host-15 test 'administrator' 'Pa$$word'
Joined 'HOST-15' to dns domain 'test.alt'
В Центре управления системой:
Для ввода рабочей станции в домен необходимо запустить Центр управления системой: → → . В Центре управления системой перейти в раздел → .
В окне модуля выбрать пункт Active Directory или Альт Домен, заполнить поля и нажать кнопку Применить:
В открывшемся окне необходимо ввести имя пользователя, имеющего право вводить машины в домен, и его пароль и нажать кнопку ОК:
При успешном подключении к домену отобразится соответствующее сообщение:
После этого необходимо перезагрузить рабочую станцию.
# getent passwd ivanov
ivanov:*:1187401105:1187400513:Иван Иванов:/home/TEST.ALT/ivanov:/bin/bash
# net ads info
LDAP server: 192.168.0.132
LDAP server name: dc1.test.alt
Workgroup: TEST
Realm: TEST.ALT
Bind Path: dc=TEST,dc=ALT
LDAP port: 389
Server time: Чт, 12 фев 2026 15:53:41 EET
KDC server: 192.168.0.132
Server time offset: 1
Last machine account password change: Чт, 12 фев 2026 15:18:20 EET
# net ads testjoin
Join is OK
Вы не увидите пользователей из AD с помощью команды:
# getent passwd
на клиентской рабочей станции. Этот функционал отключен по умолчанию, для того чтобы сократить нагрузку на серверы AD. Поэтому для проверки необходимо точно указать имя пользователя:
# getent passwd <имя_пользователя>
Список пользователей можно посмотреть на сервере AD командой:
# samba-tool user list
В окне входа в систему необходимо ввести имя учетной записи пользователя домена и нажать
Enter или щелкнуть на кнопке
:
В следующем окне ввести пароль, соответствующий этой учетной записи и нажать
Enter или щелкнуть на кнопке
:
В случае использования в окне логина символов верхнего регистра (например, Irina.Soboleva вместо irina.soboleva) или лишних символов (не используемых в стандартных правилах формирования имён в Linux) может наблюдаться некорректное поведение системы (например, не выставляются переменные окружения XDG_RUNTIME_DIR и DBUS_SESSION_BUS_ADDRESS).
Для возможности использовать для входа привычные способы написания логина (с доменным суффиксом, точками, символами верхнего регистра) необходимо выполнить команду:
# control pam_canonicalize_user enabled
или в файле
/etc/pam.d/system-auth-common раскомментировать строку:
auth required pam_canonicalize_user.so
62.5. Отображение глобальных групп на локальные
При вводе машины в домен создаются следующие локальные роли:
роль пользователей (users);
роль пользователей с расширенными правами (powerusers);
роль локальных администраторов (localadmins).
Локальные роли users и localadmins назначаются для глобальных групп в домене.
Список назначенных ролей и привилегий:
# rolelst
users:vmusers,usershares,cdwriter,cdrom,audio,video,proc,radio,camera,floppy,xgrp,scanner,uucp,vboxusers,fuse,vboxadd
domain admins:localadmins
localadmins:wheel,vboxadd,vboxusers
powerusers:remote,vboxadd,vboxusers
vboxadd:vboxsf
# id ivanov
uid=1187401105(ivanov) gid=1187400513(domain users) группы=1187400513(domain users),1187401110(uds)
Если необходимо предоставить права администраторов пользователям, которые не являются администраторами домена (Domain Admins), то нужно на контроллере домена завести новую группу в AD (например, PC Admins):
# samba-tool group add 'PC Admins'
Added group PC Admins
Добавить туда необходимых пользователей (например, пользователя ivanov):
# samba-tool group addmembers 'PC Admins' ivanov
Added members to group PC Admins
Затем на рабочей станции, введённой в домен, добавить роль для данной группы:
# roleadd 'PC Admins' localadmins
# rolelst
users:vmusers,usershares,cdwriter,cdrom,audio,video,proc,radio,camera,floppy,xgrp,scanner,uucp,vboxusers,fuse,vboxadd
domain admins:localadmins
pc admins:localadmins
localadmins:wheel,vboxadd,vboxusers
powerusers:remote,vboxadd,vboxusers
vboxadd:vboxsf
После этого пользователь, входящий в группу PC Admins, сможет
получать права администратора.
62.6. Подключение файловых ресурсов
Рассматриваемый способ позволяет подключать файловые ресурсы (file shares) для доменного пользователя без повторного ввода пароля (SSO, Single Sign-On).
Для настройки автоматического подключения сетевых файловых ресурсов Windows (Samba) при входе пользователя в систему необходимо:
Установить пакет
kde-autofs-shares:
# apt-get install kde-autofs-shares
Добавить в
/etc/auto.master строку:
/mnt/samba /etc/auto.smb -t 34567
Здесь /mnt/samba — каталог в котором будут подключаться сетевые файловые системы, /etc/auto.smb — файл конфигурации или скрипт, 34567 — таймаут подключения при отсутствии обращения.
Включить и запустить сервис
autofs:
# systemctl enable --now autofs
В диспетчере файлов Dolphin в разделе → найти нужный ресурс Windows (Samba).
В контекстном меню подключаемого ресурса в разделе выбрать пункт :
Данный ресурс будет подключаться автоматически при входе в систему:
Список ресурсов для подключения хранится в файле ~/.autofs.shares.
Способ работает только для ресурсов с гостевым доступом или ресурсов с авторизацией Kerberos.
Глава 63. Групповые политики
Групповые политики — это набор правил и настроек для серверов и рабочих станций, реализуемых в корпоративных решениях. В соответствии с групповыми политиками производится настройка рабочей среды относительно локальных политик, действующих по умолчанию. В данном разделе рассматривается реализация поддержки групповых политик Active Directory в решениях на базе дистрибутивов ALT.
В дистрибутивах ALT для применения групповых политик используется инструмент gpupdate. Он предназначен для работы на машине, введённой в домен Samba.
Интеграция с инфраструктурой LDAP-объектов Active Directory позволяет осуществлять привязку настроек управляемых конфигураций к объектам в дереве каталогов. Помимо глобальных настроек в рамках домена, возможна привязка к следующим группам объектов:
подразделения (OU) — пользователи и компьютеры, хранящиеся в соответствующей части дерева объектов;
сайты — группы компьютеров в заданной подсети в рамках одного домена;
конкретные пользователи и компьютеры.
Кроме того, в самих объектах групповых политик могут быть заданы дополнительные условия, фильтры и ограничения, на основании которых принимается решение о том, как применять данную групповую политику.
Политики подразделяются на политики для компьютеров (Machine) и политики для пользователей (User). Политики для компьютеров применяются на хосте в момент загрузки, а также в момент явного или регулярного запроса планировщиком (раз в час). Пользовательские политики применяются в момент входа в систему.
Групповые политики можно использовать для разных целей, например:
управления интернет-браузерами Firefox, Chromium и Yandex Browser (при использовании ADMX-файлов admx-firefox, admx-chromium, admx-yandex-browser соответственно);
управления почтовым клиентом Mozilla Thunderbird (пакет admx-thunderbird);
запрета подключения внешних носителей;
управления политиками control (широкий набор настроек; реализовано через ADMX-файлы ALT);
включения или выключения служб systemd (реализовано через ADMX-файлы ALT);
настройки удаленного доступа к рабочему столу (VNC) и настройки графической среды MATE (реализовано через ADMX-файлы ALT);
настройки графической среды GNOME (реализовано через ADMX-файлы ALT);
настройки среды рабочего стола KDE Plasma (экспериментальная политика; реализовано через ADMX-файлы ALT);
управления настройками службы Polkit (широкий набор настроек; реализовано через ADMX-файлы ALT);
подключения сетевых дисков;
управления переменными среды;
управления общими каталогами (экспериментальная политика);
создания, удаления и замены ярлыков;
создания каталогов;
управления файлами (экспериментальная политика);
выполнения скриптов при старте/завершении работы компьютера или входе/выходе пользователя (экспериментальная политика);
установки и удаления пакетов (экспериментальная политика).
Модули (настройки), помеченные как экспериментальные, необходимо включать вручную через ADMX-файлы ALT в разделе Групповые политики.
63.1. Развертывание групповых политик
Процесс развёртывания групповых политик:
На сервере Samba AD DC установить административные шаблоны:
установить пакеты политик и утилиту
admx-msi-setup:
# apt-get install admx-basealt admx-chromium admx-firefox admx-yandex-browser admx-thunderbird admx-msi-setup
скачать и установить ADMX-файлы от Microsoft:
# admx-msi-setup
По умолчанию
admx-msi-setup устанавливает последнюю версию ADMX от Microsoft (сейчас это Microsoft Group Policy — Windows 10 October 2020 Update (20H2)). С помощью параметров можно указать другой источник:
# admx-msi-setup -h
admx-msi-setup - download msi files and extract them in <destination-directory> default value is /usr/share/PolicyDefinitions/.
Usage: admx-msi-setup [-d <destination-directory>] [-s <admx-msi-source>]
Removing admx-msi-setup temporary files...
после установки файлы политик будут находиться в каталоге
/usr/share/PolicyDefinitions. Необходимо скопировать локальные ADMX-файлы в сетевой каталог sysvol (
/var/lib/samba/sysvol/<DOMAIN>/Policies/):
# samba-tool gpo admxload -U Administrator
На рабочей станции должен быть установлен пакет
alterator-gpupdate:
# apt-get install alterator-gpupdate
Для автоматического включения групповых политик при вводе в домен в окне ввода имени и пароля пользователя, имеющего право вводить машины в домен, необходимо отметить пункт Включить групповые политики:
Политики будут включены после ввода машины в домен и перезагрузки системы.
Если машина уже введена в домен, включить групповые политики можно вручную с помощью модуля ЦУС . Для этого в
Центре управления системой в разделе → следует выбрать шаблон локальной политики (
Сервер,
Рабочая станция или
Контроллер домена) и установить отметку в пункте
Управление групповыми политиками:
На машине, введённой в домен, установить административные инструменты: модуль удаленного управления базой данных конфигурации (ADMC) и модуль редактирования настроек клиентской конфигурации (GPUI):
# apt-get install admc gpui
В настоящее время GPUI не умеет читать файлы ADMX с контроллера домена. Для корректной работы необходимо установить пакеты admx и файлы ADMX от Microsoft:
# apt-get install admx-basealt admx-chromium admx-firefox admx-yandex-browser admx-msi-setup
# admx-msi-setup
Настроить, если это необходимо, RSAT на машине с ОС Windows:
ввести машину с ОС Windows в домен (управление сервером Samba с помощью RSAT поддерживается из сред Windows до версии Windows Server 2012 R2);
включить компоненты удаленного администрирования (этот шаг можно пропустить, если административные шаблоны были установлены на контроллере домена). Для задания конфигурации с помощью RSAT необходимо установить административные шаблоны (файлы ADMX) и зависящие от языка файлы ADML из репозитория
http://git.altlinux.org/gears/a/admx-basealt.git (
https://github.com/altlinux/admx-basealt) и разместить их в каталоге
\\<DOMAIN>\SYSVOL\<DOMAIN>\Policies\PolicyDefinitions.
корректно установленные административные шаблоны будут отображены на машине Windows в оснастке в разделе → → → :
63.2. Пример создания групповой политики
Для создания групповой политики на машине, введённой в домен, необходимо выполнить следующие шаги:
Добавить доменные устройства (компьютеры/пользователи) в подразделение (OU) (инструмент ADMC или оснастка AD «Пользователи и компьютеры»);
Создать политику и назначить её на OU (инструмент ADMC или оснастка AD «Управление групповой политикой»);
Отредактировать параметры политики (инструмент GPUI или оснастка AD «Редактор управления групповыми политиками»).
В качестве примера создадим политику, разрешающую запускать команду ping только суперпользователю (root).
Запустить
ADMC можно из меню ( → → ) или командой
admc:
$ admc
В окне аутентификации Kerberos указать имя Kerberos-принципала пользователя и его пароль:
Интерфейс ADMC:
Подготовка объектов для применения GPO:
Создать новое подразделение:
в контекстном меню домена выбрать пункт → :
в открывшемся окне ввести название подразделения (например, OU) и нажать кнопку ОК:
Переместить компьютеры и пользователей домена в созданное подразделение:
в контекстном меню пользователя/компьютера выбрать пункт ;
в открывшемся диалоговом окне Выбор контейнера – ADMC выбрать контейнер, в который следует переместить учетную запись пользователя.
Создание политики для подразделения:
В контекстном меню подразделения (в разделе Объекты групповой политики) выбрать пункт :
В открывшемся окне ввести название политики и нажать кнопку ОК:
Редактирование настроек групповой политики:
В контекстном меню созданной политики выбрать пункт :
Откроется окно редактирования групповых политик (GPUI):
Перейти в раздел → → . Здесь есть несколько разделов, соответствующих категориям control. Выбрать раздел Сетевые приложения, в правом окне редактора отобразится список политик:
Щёлкнуть левой кнопкой мыши по политике Разрешения для /usr/bin/ping. Откроется диалоговое окно настройки политики. Выбрать параметр Включено, в выпадающем списке Кому разрешено выполнять выбрать пункт и нажать кнопку ОК:
После обновления политики на клиенте, выполнять команду
ping сможет только суперпользователь (root):
$ ping localhost
bash: ping: команда не найдена
$ /usr/bin/ping localhost
bash: /usr/bin/ping: Отказано в доступе
# control ping
restricted
Пример создания групповой политики на машине с ОС Windows:
На машине с установленным RSAT открыть оснастку (gpmc.msc).
Создать новый объект групповой политики (GPO) и связать его с подразделением (OU), в который входят машины или учетные записи пользователей.
В контекстном меню GPO, выбрать пункт . Откроется редактор GPO.
Перейти в → → → . Здесь есть несколько разделов, соответствующих категориям control. Выбрать раздел Сетевые приложения, в правом окне редактора отобразится список политик:
Дважды щелкнуть левой кнопкой мыши на политике Разрешения для /usr/bin/ping. Откроется диалоговое окно настройки политики. Выбрать параметр Включить, в выпадающем списке Кому разрешено выполнять выбрать пункт и нажать кнопку Применить:
Для диагностики механизмов применения групповых политик на клиенте можно выполнить команду:
# gpoa --loglevel 0
В выводе команды будут фигурировать полученные групповые объекты. В частности, соответствующий уникальный код (GUID) объекта.
FreeIPA — это комплексное решение по управлению безопасностью Linux-систем,
389 Directory Server,
MIT Kerberos,
NTP,
DNS,
Dogtag, состоит из веб-интерфейса и интерфейса командной строки.
FreeIPA является интегрированной системой проверки подлинности и авторизации в сетевой среде Linux, FreeIPA сервер обеспечивает централизованную проверку подлинности, авторизацию и контроль за аккаунтами пользователей сохраняя сведения о пользователе, группах, узлах и других объектах необходимых для обеспечения сетевой безопасности.
64.1. Установка сервера FreeIPA
В качестве примера показана установка сервера
FreeIPA со встроенным
DNS сервером и доменом EXAMPLE.TEST в локальной сети 192.168.0.0/24. В примере для установки сервера используется узел: ipa.example.test (192.168.0.113).
Для корректной работы сервера должны соблюдаться следующие условия:
для сервера должно быть задано полное доменное имя (FQDN);
IP-адрес сервера не должен изменяться;
в настройках сетевого интерфейса должен быть указан собственный IP-адрес в качестве первичного DNS.
Во избежание конфликтов с разворачиваемым tomcat необходимо отключить ahttpd, работающий на порту 8080, а также отключить HTTPS в Apache2:
# systemctl stop ahttpd
# a2dissite 000-default_https
# a2disport https
# systemctl condreload httpd2
Установить необходимые пакеты:
# apt-get install freeipa-server freeipa-server-dns
Задать имя сервера:
# hostnamectl set-hostname ipa.example.test
Запустить скрипт настройки сервера. В пакетном режиме:
# ipa-server-install -U --hostname=$(hostname) -r EXAMPLE.TEST -n example.test -p 12345678 -a 12345678 --setup-dns --forwarder 8.8.8.8 --auto-reverse
Для пакетной установки необходимо указать следующие параметры:
-r REALM_NAME — имя области Kerberos для сервера FreeIPA;
-n DOMAIN_NAME — доменное имя;
-p DM_PASSWORD — пароль, который будет использоваться сервером каталогов для менеджера каталогов (DM);
-a ADMIN_PASSWORD — пароль пользователя admin, администратора FreeIPA;
-U — позволить процессу установки выбрать параметры по умолчанию, не запрашивая у пользователя информацию;
--hostname=HOST_NAME — полное DNS-имя этого сервера.
Чтобы установить сервер со встроенным DNS, должны также быть добавлены следующие параметры:
--setup-dns — создать зону DNS, если она еще не существует, и настроить DNS-сервер;
--forwarder или --no-forwarders — в зависимости от того, нужно ли настроить серверы пересылки DNS или нет;
--auto-reverse или --no-reverse — в зависимости от того, нужно ли настроить автоматическое обнаружение обратных зон DNS, которые должны быть созданы в FreeIPA DNS, или отключить автоматическое определение обратных зон.
Для запуска интерактивной установки следует выполнить команду:
# ipa-server-install
На первый вопрос, нужно ли сконфигурировать DNS-сервер BIND, следует ответить утвердительно:
Do you want to configure integrated DNS (BIND)? [no]: yes
Остальные вопросы можно выбрать по умолчанию (просто нажать
Enter). При установке также потребуется ввести пароль администратора системы и пароль администратора каталогов (пароли должны быть не менее 8 символов).
Перед началом конфигуририрования система выведет информацию о конфигурации и попросит ее подтвердить:
The IPA Master Server will be configured with:
Hostname: ipa.example.test
IP address(es): 192.168.0.113, fd47:d11e:43c1:0:a00:27ff:fe3d:be24
Domain name: example.test
Realm name: EXAMPLE.TEST
The CA will be configured with:
Subject DN: CN=Certificate Authority,O=EXAMPLE.TEST
Subject base: O=EXAMPLE.TEST
Chaining: self-signed
BIND DNS server will be configured to serve IPA domain with:
Forwarders: 192.168.0.1, 8.8.8.8
Forward policy: only
Reverse zone(s): 0.168.192.in-addr.arpa., 0.0.0.0.1.c.3.4.e.1.1.d.7.4.d.f.ip6.arpa.
Continue to configure the system with these values? [no]: yes
Далее начнётся процесс конфигурации. После его завершения будет выведена подсказка со следующими шагами.
Для возможности управлять
FreeIPA сервером из командной строки необходимо получить билет Kerberos:
# kinit admin
Добавить в
DNS запись о сервере времени:
# ipa dnsrecord-add example.test _ntp._udp --srv-priority=0 --srv-weight=100 --srv-port=123 --srv-target=ipa.example.test.
Веб-интерфейс доступен по адресу https://ipa.example.test/ipa/ui/.
В случае сбоя установки сервера FreeIPA некоторые файлы конфигурации могут быть уже сконфигурированы. В этом случае дополнительные попытки установить сервер FreeIPA завершатся неудачно. Чтобы решить эту проблему, перед повторной попыткой запуска процесса установки, следует удалить частичную конфигурацию сервера FreeIPA:
# ipa-server-install --uninstall
Если ошибки при установке сервера FreeIPA остаются, следует переустановить ОС. Одним из требований для установки сервера FreeIPA является чистая система без каких-либо настроек.
64.2. Добавление новых пользователей домена
Для добавления новых пользователей можно воспользоваться веб-интерфейсом FreeIPA. Для этого необходимо открыть в веб-браузере адрес https://ipa.example.test/ipa/ui и ввести данные администратора для входа в систему:
Язык интерфейса выбирается автоматически по настройкам веб-браузера.
После успешной авторизации можно создать нового пользователя домена. Для этого на странице → → необходимо нажать кнопку Добавить:
В открывшемся окне необходимо ввести данные пользователя и нажать кнопку Добавить:
Созданный пользователь появится в списке пользователей:
Глава 65. Ввод рабочей станции в домен FreeIPA
Инструкция по вводу рабочей станции под управлением Альт Рабочая станция K в домен FreeIPA.
65.1. Установка FreeIPA клиента
Установить необходимые пакеты:
# apt-get install freeipa-client libsss_sudo krb5-kinit bind-utils libbind zip task-auth-freeipa
Клиентские компьютеры должны быть настроены на использование DNS-сервера, который был сконфигурирован на сервере FreeIPA во время его установки. При получении IP-адреса по DHCP параметры DNS также должны передаваться сервером DHCP. Ниже приведен пример настройки сетевого интерфейса со статическим IP-адресом.
В сетевых настройках необходимо указать использование сервера FreeIPA для разрешения имен. Эти настройки можно выполнить как в графическом интерфейсе, так и в консоли:
В
Центре управления системой в разделе → задать имя компьютера, указать в поле
DNS-серверы IP-адрес FreeIPA сервера и в поле
Домены поиска — домен для поиска:
В консоли:
задать имя компьютера:
# hostnamectl set-hostname comp01.example.test
добавить DNS сервер, для этого создать файл
/etc/net/ifaces/eth0/resolv.conf со следующим содержимым:
nameserver 192.168.0.113
где 192.168.0.113 — IP-адрес FreeIPA сервера;
указать службе resolvconf использовать DNS-сервер FreeIPA и домен для поиска. Для этого в файле
/etc/resolvconf.conf добавить или отредактировать следующие параметры:
interface_order='lo lo[0-9]* lo.* eth0'
search_domains=example.test
где eth0 — интерфейс, на котором доступен сервер FreeIPA, example.test — домен;
обновить параметры DNS:
# resolvconf -u
После изменения имени компьютера может потребоваться перезагрузка системы, так как некоторые приложения могут перестать запускаться.
В результате выполненных действий в файле
/etc/resolv.conf должны появиться строки:
search example.test
nameserver 192.168.0.113
65.2. Подключение к серверу в ЦУС
В окне модуля выбрать пункт FreeIPA или ALD Pro, заполнить поля (Домен, Имя компьютера) и нажать кнопку Применить:
В открывшемся окне необходимо ввести имя пользователя, имеющего право вводить машины в домен, и его пароль, затем нажать кнопку ОК.
При успешном подключении к домену отобразится соответствующее сообщение:
После этого необходимо перезагрузить рабочую станцию.
65.3. Подключение к серверу в консоли
Запустить скрипт настройки клиента в пакетном режиме:
# ipa-client-install -U -p admin -w 12345678
или в интерактивном режиме:
# ipa-client-install
Если все настроено верно, скрипт выведет сообщение:
Discovery was successful!
Client hostname: comp01.example.test
Realm: EXAMPLE.TEST
DNS Domain: example.test
IPA Server: ipa.example.test
BaseDN: dc=example,dc=test
Continue to configure the system with these values? [no]:
Необходимо ответить
yes, затем ввести имя пользователя, имеющего право вводить машины в домен, и его пароль.
Если при вводе в домен возникает ошибка:
Hostname (comp01.example.test) does not have A/AAAA record.
Failed to update DNS records.
Необходимо проверить IP-адрес DNS-сервера домена в файле
/etc/resolv.conf.
В случае возникновения ошибки перед повторной установкой необходимо выполнить удаление клиента:
# ipa-client-install -U --uninstall
В окне входа в систему необходимо ввести имя пользователя доменной учётной записи и нажать
Enter или щелкнуть на кнопке
:
В следующем окне необходимо ввести пароль, соответствующий данной учетной записи, и нажать
Enter или щелкнуть на кнопке
:
При первом входе вновь созданного пользователя будет запрошен текущий пароль (установленный администратором):
Затем пользователю будет предложено задать новый пароль:
и подтвердить его:
Если машина ранее была включена в другие домены или возникают проблемы со входом пользователей, рекомендуется очистить кэш sssd:
# systemctl stop sssd
# rm -f /var/lib/sss/db/*
# rm -f /var/lib/sss/mc/*
# systemctl start sssd
65.5. Удаление клиента FreeIPA
При удалении клиент исключается из домена FreeIPA вместе с конфигурацией соответствующих системных служб.
Для удаления клиента FreeIPA необходимо:
На клиенте выполнить команду:
# ipa-client-install --uninstall
…
Client uninstall complete.
The original nsswitch.conf configuration has been restored.
You may need to restart services or reboot the machine.
Do you want to reboot the machine? [no]: yes
The ipa-client-install command was successful
На клиенте удалить (при наличии) старые принципалы Kerberos (кроме
/etc/krb5.keytab):
# ipa-rmkeytab -k /path/to/keytab -r EXAMPLE.TEST
На сервере FreeIPA удалить DNS-записи клиентского узла:
# ipa dnsrecord-del
Имя записи: comp01
Имя зоны: example.test
Возможность удаления определённой записи не предусмотрена.
Удалить все? Yes/No (default No): yes
-----------------------
Удалена запись "comp01"
-----------------------
На сервере FreeIPA удалить запись узла из LDAP (при этом будут удалены все службы и отозваны все сертификаты, выданные для этого узла):
# ipa host-del comp01.example.test
---------------------------------
Удалён узел "comp01.example.test"
---------------------------------
Часть VII. Средства удаленного администрирования
Дальнейшие разделы описывают некоторые возможности использования Альт Рабочая станция K, настраиваемые в ЦУС.
Эта и последующие главы рекомендуются к прочтению опытным пользователям и системным администраторам.
Глава 66. Вход в систему
Глава 67. Обслуживание компьютера под управлением Альт Рабочая станция K
67.1. Мониторинг состояния системы
Для обеспечения бесперебойной работы ОС крайне важно производить постоянный мониторинг его состояния. Все события, происходящие с ОС, записываются в журналы, анализ которых помогает избежать сбоев в работе ОС и предоставляет возможность разобраться в причинах некорректной работы ОС.
Для просмотра журналов предназначен модуль ЦУС из раздела (пакет alterator-logs). Интерфейс позволяет просмотреть различные типы журналов с возможностью перехода к более старым или более новым записям.
Доступны следующие виды журналов:
— отображаются события безопасности, связанные с работой межсетевого экрана ОС;
— отображаются события процессов ядра и пользовательской области. У каждого сообщения в этом журнале есть приоритет, который используется для пометки важности сообщений. Сообщения в зависимости от уровня приоритета подсвечиваются цветом.
Каждый журнал может содержать довольно большое количество сообщений. Уменьшить либо увеличить количество выводимых строк можно, выбрав нужное значение в списке Показывать.
Для изменения состояния служб можно использовать модуль ЦУС (пакет alterator-services) из раздела . Интерфейс позволяет изменять текущее состояние службы и, если необходимо, применить опцию запуска службы при загрузке системы.
После выбора названия службы из списка отображается описание данной службы, а также текущее состояние: Работает/Остановлена/Неизвестно.
67.3. Системные ограничения
Средствами модуля (пакет alterator-control) из раздела определяются несколько заранее заданных режимов доступа к тому или иному файлу. Администратор системы может установить один из этих режимов — он будет гарантированно сохранён при обновлении системы.
Также модуль может использоваться как простой конфигуратор, позволяющий переключать многие системные службы между заранее определёнными состояниями.
Политики для команды fusermount:
Для переключения состояния следует выбрать режим и нажать кнопку Сохранить.
67.4. Обновление систем, не имеющих выхода в Интернет
Для систем, не имеющих прямого выхода в Интернет, рекомендуется установка отдельного сервера обновлений (например, на базе ОС Альт Сервер или Альт Рабочая станция K), находящегося вне защищенного контура и организация ограниченного доступа к этому серверу.
Модуль ЦУС (пакет alterator-mirror) из раздела предназначен для зеркалирования репозиториев и публикации их для обновлений рабочих станций и серверов.
Сервер обновлений — технология, позволяющая настроить автоматическое обновление программного обеспечения, установленного на клиентских машинах (рабочих местах), работающих под управлением Альт Рабочая станция K.
На странице модуля можно выбрать, как часто выполнять закачку пакетов, можно выставить время, когда начинать зеркалирование.
Здесь также можно выбрать репозитории, локальные срезы которых необходимы. При нажатии на название репозитория, появляются настройки этого репозитория. Необходимо выбрать источник (сайт, откуда будет скачиваться репозиторий), архитектуру процессора (если их несколько, то стоит выбрать соответствующие).
При выборе любой архитектуры также будет добавлен источник с noarch.
Сервер обновлений предоставляет возможность автоматически настроить обновление клиентских машин в нужном режиме:
Локальное зеркало репозитория
В этом режиме на сервере создаётся копия удалённого репозитория. Загрузка ПО клиентскими машинами может производиться с локального сервера по протоколам HTTP, HTTPS, FTP, rsync (для каждого протокола нужно настроить соответствующие службы, ниже приведён пример настройки HTTP- и FTP-сервера). Наличие на локальной машине зеркала репозитория при большом количестве машин в сети позволяет существенно сэкономить трафик.
Зеркалирование потребует наличия большого количества места на диске.
Уменьшить размер скачиваемых файлов и занимаемое репозиторием место на диске можно, указав имена каталогов и файлов, которые будут исключены из синхронизации. Например, не скачивать пакеты с исходным кодом и пакеты с отладочной информацией:
SRPMS
*-debuginfo-*
Шаблоны указываются по одному в отдельной строке. Символ «*» используется для подстановки любого количества символов.
Публикация репозитория
В этом случае публикуется или URL внешнего сервера, содержащего репозиторий, или, если включено локальное зеркало репозитория, адрес этого сервера обновлений. Такая публикация позволяет клиентским машинам автоматически настроить свои менеджеры пакетов на использование внешнего или локального репозитория.
Со стороны клиентских машин, в этом случае, необходимо настроить модуль (пакет alterator-updates), отметив в нём Обновление системы управляемое сервером.
Настройка локального репозитория заканчивается нажатием на кнопку Применить.
По умолчанию локальное зеркало репозитория находится в
/srv/public/mirror. Для того чтобы зеркалирование происходило в другую папку, необходимо эту папку примонтировать в папку
/srv/public/mirror. Для этого в файл
/etc/fstab следует вписать строку:
/media/disk/localrepo /srv/public/mirror none rw,bind,auto 0 0
где
/media/disk/localrepo — папка-хранилище локального репозитория.
Если в каталогах /srv/public/mirror/<репозиторий>/branch/<архитектура>/base/. нет файлов pkglist.* значит зеркалирование не закончено (т.е. не все файлы загружены на ваш сервер обновлений).
67.4.1. Настройка веб-сервера
Установить веб-сервер apache:
# apt-get install apache2
Привести файл
/etc/httpd2/conf/include/Directory_html_default.conf к виду:
Options Indexes FollowSymLinks MultiViews
AllowOverride None
Order allow,deny
allow from all
Require all granted
Запустить apache и добавить его в автозагрузку:
# systemctl enable --now httpd2
Перейти в каталог веб-сервера
/var/www/html:
# cd /var/www/html
Создать здесь символическую ссылку на репозиторий:
# ln -s /srv/public/mirror mirror
На клиентских машинах необходимо настроить репозитории, выполнив команды:
# apt-repo rm all
# apt-repo add http://<ip сервера>/mirror/p11/branch
Проверить правильность настройки репозиториев:
# apt-repo
rpm http://192.168.0.185/mirror p11/branch/x86_64 classic
rpm http://192.168.0.185/mirror p11/branch/noarch classic
67.4.2. Настройка FTP-сервера
Установить, настроить и запустить сервер
FTP.
Создать каталог
/var/ftp/mirror:
# mkdir -p /var/ftp/mirror
Примонтировать каталог
/srv/public/mirror в
/var/ftp/mirror с опцией
--bind:
# mount --bind /srv/public/mirror /var/ftp/mirror
Для автоматического монтирования каталога
/srv/public/mirror при загрузке системы необходимо добавить следующую строку в файл
/etc/fstab:
/srv/public/mirror /var/ftp/mirror none defaults,bind 0 0
На клиентских машинах необходимо настроить репозитории:
# apt-repo rm all
# apt-repo add ftp://<ip сервера>/mirror/p11/branch
# apt-repo
rpm ftp://192.168.0.185/mirror p11/branch/x86_64 classic
rpm ftp://192.168.0.185/mirror p11/branch/noarch classic
67.5. Локальные учётные записи
Модуль (пакет alterator-users) из раздела предназначен для администрирования системных пользователей.
Для создания новой учётной записи необходимо ввести имя новой учётной записи и нажать кнопку Создать, после чего имя отобразится в списке слева.
Для дополнительных настроек необходимо выделить добавленное имя, либо, если необходимо изменить существующую учётную запись, выбрать её из списка.
67.6. Администратор системы
В модуле (пакет alterator-root) из раздела можно изменить пароль суперпользователя (root), заданный при начальной настройке системы.
В данном модуле (только в веб-интерфейсе) можно добавить публичную часть ключа RSA или DSA для доступа к системе по протоколу SSH.
В модуле (пакет alterator-datetime) из раздела можно изменить дату и время в системе, сменить часовой пояс, а также настроить автоматическую синхронизацию часов по протоколу NTP и предоставление точного времени по этому протоколу для других рабочих станций локальной сети.
Системное время зависит от следующих факторов:
часы в BIOS — часы, встроенные в компьютер. Они работают, даже если он выключен;
системное время — часы в ядре операционной системы. Во время работы системы все процессы пользуются именно этими часами;
часовые пояса — регионы Земли, в каждом из которых принято единое местное время.
При запуске системы происходит активация системных часов и их синхронизация с аппаратными, кроме того, в определённых случаях учитывается значение часового пояса. При завершении работы системы происходит обратный процесс.
Если настроена синхронизация времени с NTP-сервером, то компьютер сможет сам работать как сервер точного времени. Для этого достаточно отметить соответствующий пункт Работать как NTP-сервер.
Выбор источника сигналов времени (источника тактовой частоты) доступен в режиме эксперта.
67.8. Настройка прокси-сервера
Модуль (пакет alterator-sysconfig) в разделе позволяет настроить параметры прокси-сервера, используемого для выхода в Интернет.
Данный модуль позволяет настроить:
IP-адрес и порт используемого прокси-сервера;
Логин и пароль для доступа, если прокси-сервер требует аутентификацию.
После нажатия кнопки
Применить все параметры запишутся в файл
/etc/sysconfig/network в следующем виде:
HTTP_PROXY=http://username:password@address:port
HTTPS_PROXY=http://username:password@address:port
FTP_PROXY=http://username:password@address:port
NO_PROXY=""
Указанный прокси-сервер будет использоваться ПО для доступа в сеть Интернет.
Для применения настроек прокси-сервера необходимо перезагрузить систему.
67.9. Ограничение использования диска
Модуль (пакет alterator-quota) в разделе позволяет ограничить использование дискового пространства пользователями, заведёнными в системе в модуле .
Модуль позволяет задать ограничения (квоты) для пользователя при использовании определённого раздела диска. Ограничить можно как суммарное количество килобайт, занятых файлами пользователя, так и количество этих файлов.
Для управления квотами файловая система должна быть подключена с параметрами
usrquota,
grpquota. Для этого следует выбрать нужный раздел в списке
Файловая система и установить отметку в поле
Включено:
Для того чтобы задать ограничения для пользователя, необходимо выбрать пользователя в списке Пользователь, установить ограничения и нажать кнопку Применить.
При задании ограничений различают жёсткие и мягкие ограничения:
Мягкое ограничение: нижняя граница ограничения, которая может быть временно превышена. Временное ограничение — одна неделя.
Жёсткое ограничение: использование диска, которое не может быть превышено ни при каких условиях.
Значение 0 при задании ограничений означает отсутствие ограничений.
67.10. Выключение и перезагрузка компьютера
Иногда, в целях обслуживания или по организационным причинам необходимо корректно выключить или перезагрузить компьютер. Для этого можно воспользоваться модулем ЦУС в разделе .
Возможна настройка ежедневного применения данных действий в заданное время.
Так как выключение и перезагрузка — критичные для функционирования компьютера операции, то по умолчанию настройка выставлена в значение Продолжить работу. Для выключения, перезагрузки или перехода в энергосберегающие режимы нужно отметить соответствующий пункт и нажать Применить.
Для ежедневного автоматического выключения компьютера, перезагрузки, а также перехода в энергосберегающие режимы необходимо отметить соответствующий пункт и задать желаемое время. Например, для выключения компьютера следует отметить пункт Выключать компьютер каждый день в, задать время выключения в поле ввода слева от этого флажка и нажать кнопку Применить.
Для возможности настройки оповещений на e-mail, должен быть установлен пакет
state-change-notify-postfix:
# apt-get install state-change-notify-postfix
Для настройки оповещений необходимо отметить пункт При изменении состояния системы отправлять электронное письмо по адресу, ввести e-mail адрес и нажать кнопку Применить:
По указанному адресу, при изменении состоянии системы будут приходить электронные письма. Например, при включении компьютера, содержание письма будет следующее:
Mon Mar 10 11:02:43 EET 2025: The comp01.example.test is about to start.
При выключении:
Mon Mar 10 12:02:28 EET 2025: The comp01.example.test is about to shutdown.
Кнопка Сбросить возвращает сделанный выбор к безопасному значению по умолчанию: Продолжить работу, перечитывает расписания и выставляет отметки для ежедневного автоматического действия в соответствие с прочитанным.
Глава 68. Конфигурирование сетевых интерфейсов
Альт Рабочая станция K поддерживает самые разные способы подключения к сети Интернет:
Ethernet;
PPTP;
PPPoЕ;
и т.д.
Для настройки подключения воспользуйтесь одним из разделов ЦУС .
Доступные разделы:
PPTP-соединения;
PPPoE-соединения;
Конфигурирование сетевых интерфейсов осуществляется в модуле ЦУС (пакет alterator-net-eth) из раздела :
В модуле можно заполнить следующие поля:
Имя компьютера — указать сетевое имя машины в поле для ввода имени компьютера (это общий сетевой параметр, не привязанный к конкретному интерфейсу);
Интерфейсы — выбрать доступный сетевой интерфейс, для которого будут выполняться настройки;
Версия протокола IP — выбрать в выпадающем списке версию используемого протокола IP (IPv4, IPv6) и убедиться, что пункт Включить, активирующий поддержку выбранного протокола, отмечен;
Конфигурация — выбрать способ назначения IP-адреса (службы DHCP, Zeroconf, вручную);
IP-адреса — список назначенных IP-адресов из поля IP. Ненужные адреса можно удалить нажатием кнопки Удалить;
Добавить ↑ IP — ввести IP-адрес вручную, выбрать в выпадающем списке маску сети и нажать кнопку Добавить, чтобы перенести адрес в пул IP-адреса;
Шлюз по умолчанию — ввести IP-адрес шлюза, который будет использоваться по умолчанию;
DNS-серверы — указать список предпочтительных DNS-серверов, используемых для разрешения доменных имён, маршрутизации почты и управления обслуживающими узлами;
Домены поиска — указать список доменов, в которых будет выполняться поиск. Если в этом поле перечислить часто используемые домены (например, domain), можно обращаться к узлам по коротким именам (например, computer вместо computer.domain).
Параметры IP-адрес и Маска сети являются обязательными для каждого узла IP-сети. Первый параметр — это уникальный идентификатор машины, от второго напрямую зависит, к каким устройствам локальной сети данная машина сможет получить доступ. Если требуется выход во внешнюю сеть, то необходимо также указать параметр Шлюз по умолчанию.
Если в сети присутствует DHCP-сервер, все вышеперечисленные параметры можно получить автоматически, выбрав в списке Конфигурация пункт Использовать DHCP:
Для каждого интерфейса можно также настроить сетевую подсистему (NetworkManager, Etcnet) и указать, должен ли интерфейс запускаться при загрузке системы:
В списке Сетевая подсистема доступны следующие режимы:
Etcnet
В этом режиме настройки берутся исключительно из файлов, расположенных в каталоге настраиваемого интерфейса
/etc/net/ifaces/<интерфейс>. Изменения можно внести либо через ЦУС, либо вручную, редактируя эти файлы.
NetworkManager (etcnet)
В этом режиме
NetworkManager инициирует соединение, используя параметры из конфигурации Etcnet. Изменения возможны как через ЦУС, так и путём редактирования файлов
/etc/net/ifaces/<интерфейс>. В этом режиме можно просматривать текущие параметры, например, IP-адрес, полученный по DHCP, через графический интерфейс через графический интерфейс
NetworkManager.
NetworkManager (native)
В этом режиме управление настройками интерфейса полностью передаётся
NetworkManager и не зависит от Etcnet. Управление осуществляется через графический интерфейс
NetworkManager, а файлы конфигурации хранятся в каталоге
/etc/NetworkManager/system-connections. Этот режим особенно полезен на клиентских системах, где IP-адрес должен назначаться динамически (по DHCP), но DNS-сервер необходимо задать вручную. Настроить такие параметры через ЦУС невозможно, так как при включении DHCP ручные параметры становятся недоступны.
Не контролируется
В этом режиме интерфейс находится в состоянии DOWN (отключён).
Глава 69. Сетевая установка операционной системы на рабочие места
Одной из удобных возможностей Альт Рабочая станция K при разворачивании инфраструктуры является сетевая установка. При помощи сетевой установки можно производить установку Альт Рабочая станция K не с установочного диска, а загрузив инсталлятор по сети.
69.1. Подготовка сервера сетевых установок
Перед началом установки рабочих станций следует произвести предварительную настройку сервера сетевых установок:
задать имя сервера (модуль в
ЦУС), включить DHCP-сервер, задать, если необходимо, имя домена.
При сетевой установке с сервера сетевых установок будут переняты настройки домена и включена централизованная аутентификация. Если вы устанавливаете Альт Рабочая станция K с DVD-диска, то настройку домена и аутентификации надо будет производить отдельно на каждой рабочей стации.
Каталог /var/lib/tftpboot должен быть доступен клиенту через TFTP, каталог /srv/public/netinst должен быть доступен клиенту через NFS.
Настройка TFTP:
Включить TFTP-сервер, установив в файле
/etc/xinetd.d/tftp значение:
disable = no
Удалить или закомментировать следующую строку в файле
/etc/xinetd.conf:
only_from = 127.0.0.1
Перезапустить сервис xinetd:
# systemctl restart xinetd
Настройка NFS-сервера:
В файл
/etc/exports добавить строку:
/srv/public -ro,insecure,no_subtree_check,fsid=1 *
Экспортировать каталоги:
# exportfs -r
Разрешить rpcbind прослушивать входящие соединения из сети:
# control rpcbind server
Запустить и добавить в автозагрузку NFS-сервер:
# systemctl enable --now nfs-server
В настоящий момент модуль не позволяет настроить установку в EFI-режиме для PXE-установки.
Локальный файл должен быть доступен для nobody и должен находиться на сервере сетевых установок, где запущен alterator-netinst.
В разделе (пакет alterator-netinst) укажите, откуда импортировать новый образ, и нажмите кнопку Добавить.
Процесс добавления образа занимает какое-то время. Пожалуйста, дождитесь окончания этого процесса.
После добавления образ появится в списке Доступные образы дисков. Необходимо выбрать из списка один из образов и нажать кнопку Выбрать.
На этом подготовка сервера к сетевой установке рабочих станций завершена.
Дополнительно данный модуль позволяет выбрать вариант загрузки (например, непосредственно загружать ОС некоторых Live-версий дистрибутивов):
Для включения режима автоматической установки (см.
Автоматическая установка системы (autoinstall) ) необходимо выбрать образ, выбрать вариант загрузки , установить отметку в поле
Автоматическая установка, в поле
Метаданные указать каталог с установочными файлами и сохранить настройки, нажав кнопку
Применить:
Если отмечен пункт Включить установку по VNC, то далее следует выбрать направление соединения. Удалённый доступ к компьютеру может быть двух видов:
Со стороны клиента. Во время установки администратор может с помощью VNC-клиента подключиться к компьютеру, на которой производится установка, зная его IP-адрес и заданный пароль.
Со стороны сервера сетевых установок. Во время установки с каждого компьютера инициируется подключение к запущенному на заданном компьютере VNC-клиенту. Компьютер-приёмник соединений задаётся IP-адресом или именем.
В случае, когда работа с аппаратной подсистемой ввода-вывода невозможна (например, если клавиатура, мышь или монитор отсутствуют), можно использовать вариант Только по VNC.
Если необходимо управлять установкой удалённо, отметьте пункт Включить установку по VNC и пункт Подключение со стороны VNC сервера раздела и укажите в поле IP-адрес или имя компьютера, с которого будет происходить управление. Для приёма подключения можно запустить, например, vncviewer -listen.
Не забудьте отключить сетевую установку по окончании процесса установки ОС на рабочих станциях. Это можно сделать, выбрав в списке Доступные образы дисков пункт и подтвердив действие нажатием кнопки Выбрать.
За дополнительной информацией по настройке обращайтесь к встроенной справке соответствующих модулей Центра управления системой.
69.2. Подготовка рабочих станций
Для сетевой установки следует обеспечить возможность загрузки по сети рабочих станций, на которых будет производиться установка ОС.
Большинство современных материнских плат имеют возможность загрузки по сети, однако она по умолчанию может быть отключена в BIOS. Различные производители материнских плат дают разные названия данной возможности, например: «Boot Option ROM» или «Boot From Onboard LAN».
Некоторые материнские платы позволяют выбрать источник загрузки во время включения компьютера. Эта возможность может называться, например, «Select boot device» или «Boot menu».
Последовательность установки при установке с DVD-диска и при сетевой установке не отличаются друг от друга. Обратитесь к разделу руководства
Последовательность установки.
Глава 70. Соединение удалённых офисов (OpenVPN-сервер)
Альт Рабочая станция K предоставляет возможность безопасного соединения удалённых офисов, используя технологию
VPN (англ. Virtual Private Network — виртуальная частная сеть), позволяющую организовать безопасные шифрованные соединения через публичные сети (например, Интернет) между удалёнными офисами или локальной сетью и удалёнными пользователями. Таким образом, можно связать различные офисы организации, что делает работу с документами, расположенными в сети удалённого офиса, более удобной.
Помимо соединения целых офисов, также существует возможность организовать доступ в офисную сеть для работы в ней извне. Это означает, например, что сотрудник может работать в своём привычном окружении, даже находясь в командировке или просто из дома.
70.1. Настройка OpenVPN-сервера
Для организации VPN-соединения на стороне сервера предусмотрен модуль ЦУС (пакет alterator-openvpn-server) из раздела .
С помощью модуля можно:
включить или отключить OpenVPN-сервер;
настроить параметры сервера: тип подключения, сети сервера, использование сжатия и т.д.;
управлять сертификатами сервера;
настроить сети клиентов.
При планировании и настройке подключений особое внимание следует обратить на используемые сети. Сети сервера и клиентов не должны пересекаться.
Для создания VPN-соединения необходимо установить отметку в поле Включить службу OpenVPN, выбрать тип подключения: маршрутизируемое (используется TUN) или с использованием моста (используется TAP), а также проверить сеть, доступную через VPN-соединение. Обычно это локальная сеть, заданная IP-адресом и маской подсети.
Помимо этого нужно подписать ключ openvpn в модуле (пакет alterator-ca) из раздела .
Для создания сертификата и ключа SSL необходимо нажать кнопку Сертификат и ключ SSL…. Откроется окно модуля (пакет alterator-sslkey):
В открывшемся окне необходимо заполнить поля Общее имя (CN) и Страна (С) (прописными буквами), отметить пункт (Пере)создать ключ и запрос на подпись и нажать кнопку Подтвердить. После этого станет активной кнопка Забрать запрос на подпись:
При нажатии кнопки Забрать запрос на подпись, запрос на подпись (файл openvpn-server.csr) будет загружен в каталог загрузок.
В модуле появится новый ключ openvpn-server (Нет сертификата):
Чтобы подписать сертификат, необходимо перейти в модуль → , нажать кнопку Выберите файл/Обзор, указать путь до полученного файла openvpn-server.csr и нажать кнопку Загрузить запрос:
В результате на экране отобразится запрос на подпись. Далее необходимо нажать кнопку Подписать, подписанный сертификат (файл output.pem) будет загружен в каталог загрузок.
Подписанный сертификат (файл output.pem) необходимо добавить к соответствующему ключу. Для этого в разделе нужно выделить ключ openvpn-server (Нет сертификата) и нажать кнопку Изменить. В появившемся окне в поле Положить сертификат, подписанный УЦ необходимо нажать кнопку Выберите файл/Обзор, указать путь к файлу output.pem и нажать кнопку Положить:
В модуле название ключа изменится на openvpn-server (истекает: <дата>). Это означает, что сертификат был создан и подписан.
Получить сертификат УЦ можно в модуле на вкладке Управление УЦ. Для этого необходимо нажать ссылку Сертификат: ca-root.pem:
В модуле необходимо установить сертификат УЦ. Для этого в поле Положить сертификат УЦ следует нажать кнопку Выберите файл/Обзор, указать путь к файлу сертификата УЦ (ca-root.pem) и нажать кнопку Положить:
После этого появится сообщение:
Сертификат УЦ успешно загружен
Для включения OpenVPN необходимо отметить пункт Включить службу OpenVPN и нажать кнопку Применить.
70.2. Настройка клиентов
На стороне клиента соединение настраивается в модуле (пакет alterator-net-openvpn) из раздела . Доступ к настроенной приватной сети могут получить пользователи, ключи которых подписаны и сертификаты которых получены в удостоверяющем центре на том же сервере.
Предварительно необходимо создать ключ (например, openvpn) в модуле и подписать его в модуле на сервере. С сервера также необходимо забрать сертификат ca-root.pem.
Для создания нового соединения необходимо отметить пункт Сетевой туннель (TUN) или Виртуальное Ethernet устройство (TAP) и нажать кнопку Создать соединение.
Необходимо учитывать, что на стороне клиента должен быть выбран тот же тип виртуального устройства, что и на стороне сервера. В большинстве случаев подходит маршрутизируемое подключение.
В результате станут доступны настройки соединения.
В поле Положить сертификат УЦ необходимо, нажав кнопку Выберите файл указать путь к файлу ca-root.pem и нажать кнопку Положить.
Если при загрузке сертификата удостоверяющего центра возникает ошибка:
можно вручную скопировать его:
# cat /home/user/ca-root.pem > /etc/net/ifaces/tun0/ovpnca
где:
Далее в модуле
OpenVPN-соединение необходимо указать:
Для применения настроек следует нажать кнопку Применить.
Состояние соединения Выключено должно измениться на Включено.
Для проверки появления соединения с сервером необходимо выполнить команду:
ip addr
В результате должно появиться новое виртуальное устройство tun0. При обычных настройках вывод может выглядеть следующим образом:
tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN group default qlen 500
link/none
inet 10.8.0.6 peer 10.8.0.5/32 scope global tun0
valid_lft forever preferred_lft forever
Глава 71. Настройки межсетевого экрана
ОС предоставляет возможность организовать внешний доступ к своим службам. Например, можно предоставить доступ к корпоративному веб-сайту из сети Интернет. Для этого необходимо разрешить входящие соединения на внешних интерфейсах. По умолчанию такие соединения блокируются.
Для управления внешним доступом предусмотрен раздел ЦУС .
В списке Разрешить входящие соединения на внешних интерфейсах модуля (пакет alterator-net-iptables) перечислены наиболее часто используемые службы. Установка отметки напротив службы разрешает входящие соединения к ней через внешние сетевые интерфейсы. Если необходимо предоставить доступ к службе, отсутствующей в списке, нужно задать используемые этой службой порты в соответствующих полях.
В модуле можно выбрать один из следующих режимов работы сети:
Роутер — перенаправление пакетов между сетевыми интерфейсами происходит без трансляции сетевых адресов;
Шлюз (NAT) — в этом режиме настраивается трансляция сетевых адресов (NAT) при перенаправлении пакетов на внешние интерфейсы. Этот режим имеет смысл использовать, если на компьютере настроены как минимум один внешний и один внутренний интерфейс;
Хост (Рабочая станция)» — в этом режиме можно открыть или закрыть порты для всех интерфейсов. К внешним автоматически относятся все интерфейсы, кроме lo и интерфейсов, имена которых соответствуют специальным исключениям (virbr*, docker*).
В любом режиме включено только перенаправление пакетов с внутренних интерфейсов. Перенаправление пакетов с внешних интерфейсов всегда выключено.
Все внутренние интерфейсы открыты для любых входящих соединений.
За дополнительной информацией по настройке обращайтесь к встроенной справке модуля ЦУС.
71.2. Список блокируемых хостов
Модуль ЦУС (пакет alterator-net-iptables) предназначен для блокирования любого трафика с указанными узлами. Данный модуль позволяет блокировать любой сетевой трафик с указанными в списке узлов (входящий, исходящий и пересылаемый).
Блокирование трафика с указанных в списке узлов начинается после установки флажка Использовать чёрный список.
Для добавления блокируемого узла необходимо ввести IP-адрес в поле Добавить IP адрес сети или хоста и нажать кнопку Добавить.
Для удаления узла из списка выберите его и нажмите кнопку Удалить.
Глава 72. Настройка ограничений на использование USB-устройств
Модуль ЦУС (пакет alterator-usbguard) из раздела предназначен для настройки ограничений на использование USB-устройств. Модуль работает на основе функционала USBGuard, позволяет вести чёрный и белый списки ограничений и предоставляет два типа действий — allow/block.
Модуль предоставляет следующие возможности:
сканирование подключенных устройств;
выбор и добавление устройств в набор правил из списка подключенных устройств;
создание предустановленных правил для распространённых сценариев;
создание правил по дескрипторам интерфейса: CC:SS:PP;
создание правил по свойствам USB-устройства: PID, VID;
создание правил с использованием хеша устройства, вычисленного на основе его атрибутов и данных USB-дескриптора;
создание сложных правил с дополнительными условиями;
загрузка правил из CSV-файла;
редактирование значений в созданных правилах;
просмотр журнала событий подключения и отключения USB-устройств.
72.1. Информационное поле
В информационном поле отображаются:
текущее состояние службы usbguard;
список пользователей и групп, которые могут редактировать правила;
сообщения об ошибках и предупреждения.
Добавить или удалить пользователя или группу, которые могут редактировать правила, можно в командной строке, например:
дать пользователю user полный доступ к разделам «devices» и «exceptions», также user будет иметь возможность просматривать и изменять текущую политику:
# usbguard add-user -u user --devices ALL --policy modify,list --exceptions ALL
удалить права у пользователя user:
# usbguard remove-user -u user
Дополнительную информацию смотрите в соответствующей справке, например:
$ usbguard add-user -h
Для включения контроля за USB-устройствами необходимо:
Установить отметку в пункте Активировать контроль портов.
Нажать кнопку Проверить.
Нажать кнопку Применить.
Служба USBGuard будет запущена и добавлена в автозагрузку:
По умолчанию будет установлен режим Белый список: Заблокировать все, кроме подключенных устройств, поэтому все подключенные устройства будут добавлены в список разрешённых, а все новые USB-устройства будут блокироваться.
Изменить поведение по умолчанию можно, установив нужный режим перед запуском службы USBGuard (см.
Предустановки).
Для отключения контроля за USB-устройствами необходимо:
Снять отметку с пункта Активировать контроль портов.
Нажать кнопку Проверить.
Нажать кнопку Применить.
Перезагрузить систему.
72.2. Список USB-устройств
Если служба USBGuard запущена, в веб-интерфейсе отображается список текущих подключённых USB-устройств:
В столбце
Статус отображается текущее состояние USB-устройства:
Для редактирования состояния USB-устройства необходимо выделить строку с нужным USB-устройством и нажать кнопку Разблокировать или Заблокировать. При этом соответствующее правило будет добавлено в таблицу Хеш.
Если активен Белый список, для устройства со статусом block будет активна кнопка Разблокировать, если активен Чёрный список, для устройства со статусом allow будет активна кнопка Заблокировать.
Кнопка Сканировать устройства позволяет обновить список подключённых USB-устройств.
Правила могут работать в режиме белого или чёрного списка. После установки режима Чёрный список, будут заблокированы только перечисленные в данном списке USB-устройства. После установки режима Белый список, будут заблокированы все USB-устройства, кроме перечисленных в данном списке.
Существует возможность предварительной настройки правил списков. Для предварительной настройки правил необходимо:
Выбрать соответствующий пункт:
Белый список:
Заблокировать все, кроме подключенных устройств — в правила (таблица Хеш) с действием allow добавляются все подключенные устройства. Все новые USB-устройства будут блокироваться — отображаться в таблице Список устройств со статусом block;
Заблокировать все, кроме подключенных и HID/HUB устройств — в правила с действием allow добавляются все подключенные устройства (таблица Хеш) и все устройства с интерфейсами 03:*:* и 09:*:* (таблица Маски CC:SS:PP). Все новые USB-устройства кроме HID/HUB-устройств (клавиатуры, мыши, джойстики, USB-концентраторы) будут блокироваться — отображаться в таблице Список устройств со статусом block;
Ручной режим — позволяет установить свои правила.
Чёрный список:
Блокировать устройства по классам дескриптора интерфейса: 06 Image и 08 Mass Storage — в правила (таблица Маски CC:SS:PP) с действием block добавляются все устройства с интерфейсами 08:*:* и 06:*:*. Все USB-устройства Mass Storage Device (USB-накопитель, карта памяти, кардридер, цифровая фотокамера) и Image (веб-камера, сканер) будут блокироваться — отображаться в таблице Список устройств со статусом block;
Блокировать устройства по списку известных PID:VID, использующих Аndroid Debug Bus — в правила (таблица Маски VID:PID) с действием block добавляются известные Android-устройства. Все Android-устройства будут блокироваться — отображаться в таблице Список устройств со статусом block;
Ручной режим — позволяет установить свои правила.
Нажать кнопку Проверить. Будут показаны планируемые изменения:
Если изменения корректные, нажать кнопку Применить.
Для отмены изменений, до нажатия кнопки Применить, следует выбрать пункт Ручной режим и нажать кнопку Проверить, а затем Применить.
Для добавления нового правила необходимо выбрать пункт Ручной режим в белом или чёрном списках. Если Ручной режим выбран в белом списке, правило добавляется с действием allow, если в чёрном — с действием block.
72.4.1. Правила по классу интерфейса
Назначение USB-устройств может определяться классом его интерфейса. которые сообщаются USB-узлу для загрузки необходимых драйверов. Класс интерфейса используется хостом для определения функционального назначения интерфейса и выбора соответствующего драйвера. USB-устройство может иметь один или несколько интерфейсов, каждый из которых может относиться к определенному классу. Например, к классу Human Interface Device (HID) относятся мыши, клавиатуры, игровые манипуляторы и другие устройства ввода, а к классу Mass Storage — USB-накопители, устройства чтения карт памяти и другие устройства хранения данных.
Маска класса интерфейса задается в виде трех 8-битных чисел в шестнадцатеричном формате, разделенных двоеточием (CC:SS:PP). Числа обозначают класс интерфейса (CC), подкласс (SS) и протокол (PP). Вместо номера подкласса и протокола можно использовать символ *, чтобы соответствовать всем подклассам или протоколам. Сопоставление определенного класса с произвольным подклассом и определенным протоколом не допускается: если в качестве номера подкласса используется *, для протокола также необходимо использовать *.
Для добавления правила по маске необходимо:
Под таблицей Маски CC:SS:PP нажать кнопку Добавить.
В поле CC:SS:PP вписать маску, например 09:*:* для всех устройств с интерфейсами класса 09:
Нажать кнопку Проверить. Корректное правило выделяется зелёным цветом, некорректное — красным:
Исправить или удалить некорректное правило и повторно нажать кнопку Проверить.
Нажать кнопку Применить для активации правила.
Некоторые USB-устройства могут иметь несколько HID-интерфейсов. В этом случае маска 03:*:* может не соответствовать устройству. Например, для устройства с двумя HID-интерфейсами в поле
CC:SS:PP следует указать:
{ 03:*:* 03:*:* }
Для устройств с тремя HID-интерфейсами:
{ 03:*:* 03:*:* 03:*:*}
Если необходимо разрешить любые устройства, содержащие хотя бы один HID-интерфейс, рекомендуется использовать правило one-of, создаваемое непосредственно в конфигурации USBGuard.
72.4.2. Правила по VID&PID
Каждое USB-устройство содержит атрибуты, в число которых входят идентификатор производителя (VID) и идентификатор продукта (PID). Хост использует эти идентификаторы для идентификации устройства и выбора соответствующего драйвера.
VID и PID — это 16-битные числа в шестнадцатеричной системе счисления. В правиле можно также использовать символ *:
для соответствия любому VID и PID — *:*
для соответствия любому PID конкретного производителя, например, 090c:*
Добавление правила по VID&PID:
Под таблицей Маски VID:PID нажать кнопку Добавить.
В поле VID ввести идентификатор производителя устройства (VID), а в поле PID — идентификатор продукта (PID):
Нажать кнопку Проверить. Корректное правило выделяется зелёным цветом, некорректное — красным.
Исправить или удалить некорректное правило и повторно нажать кнопку Проверить.
Нажать кнопку Применить для активации правила.
Для USB-устройства USBGuard может вычислять хеш на основе его атрибутов, включая VID, PID и серийный номер (PID+VID+SN).
Добавление правила по хешу:
Под таблицей Хеш нажать кнопку Добавить.
В поле Хеш ввести хеш устройства:
Нажать кнопку Проверить. Корректное правило выделяется зелёным цветом, некорректное — красным.
Исправить или удалить некорректное правило и повторно нажать кнопку Проверить.
Нажать кнопку Применить для активации правила.
Модуль позволяет создавать сложные правила с дополнительными условиями.
Добавление правила:
Под таблицей Другие правила нажать кнопку Добавить.
В поле Правило ввести правило:
Например, правило, разрешающее подключение принтера только через определённый порт:
allow id 04a9:177a name "Canon E400" serial "F572EC" via-port "1-2" hash "eql9yA8m+5VVMmhXOvbUzwNPDGCAPq+fxIQHvbptlsY="
Нажать кнопку Проверить. Корректное правило выделяется зелёным цветом, некорректное — красным.
Исправить или удалить некорректное правило и повторно нажать кнопку Проверить.
Нажать кнопку Применить для активации правила.
72.4.5. Загрузка правил из файла
Для использования правил из файла необходимо добавить их в CSV-файл, по одному правилу в строке. Строка должна иметь вид:
allow/block,Interface,PID:VID,Hash
Например:
allow,,090c:1000,"2dfdMHZxF5olAaNbsh68G4fpzD3iQLPL3+M7KHnSRjE="
allow,00:00:*,,
allow,,1000:*,
allow,,,"eql9yA8m+5VVMmhXOvbUzwNPDGCAPq+fxIQHvbptlsY="
Файл не должен содержать конфликтные правила — все правила в файле должны иметь одно и то же действие allow или block.
Для загрузки правил из файла необходимо:
Нажать кнопку Выберите файл/Обзор (под таблицей Хеш) и выбрать файл с правилами.
Нажать кнопку Загрузить из файла.
Нажать кнопку Проверить. Корректные правила выделяются зелёным цветом, некорректные — красным.
Нажать кнопку Применить для активации правил.
При загрузке правил из файла политика также выбирается на основании содержимого файла. Если политика, указанная в файле, отличается от текущей, все существующие правила удаляются.
Пример удаления правила по маске:
В таблице Маски CC:SS:PP установить отметку в поле с соответствующим правилом.
Нажать кнопку Удалить. Правило будет подготовлено к удалению:
Нажать кнопку Проверить.
Нажать кнопку Применить для удаления правила.
Правила из других таблиц удаляются аналогичным способом.
72.6. Просмотр журнала аудита
Для просмотра журнала событий подключения и отключения USB-устройств (журнала аудита) необходимо нажать кнопку Журнал, расположенную в левом нижнем углу интерфейса модуля. Откроется журнал аудита:
Для фильтрации записей используется специальное поле.
Фильтрация по логу USBGuard — строгая, регистрозависимая.
Для перехода к более старым или более новым записям используются кнопки Назад и Вперед.
Чтобы скрыть панель журнала, необходимо нажать кнопку Свернуть.
Глава 73. Настройка ограничения доступа к файловой системе USB-устройства
Модуль ЦУС (пакет alterator-usbmount) из раздела позволяет ограничить доступ к файловой системе USB-устройств по идентификаторам UID/GID. В модуле также предусмотрена возможность просмотра журнала событий подключения и отключения USB-устройств.
Особенности работы модуля:
если для устройства не создано правило, служба не вмешивается в логику монтирования USB-устройства;
если для устройства создано правило, служба монтирует блочное устройство, соответствующее назначенному USB-устройству в каталог /media/alt-usb-mount/$user_$group или /media/alt-usb-mount/root_$group, если пользователь не указан;
служба назначает ACL для указанного пользователя и группы на каталог, в котором создается точка монтирования блочного устройства;
в правилах можно указать только существующего локального пользователя и пользовательскую группу;
доступ к USB-устройству, назначенному пользователю и группе, предоставляется с правами на чтение и запись (rw);
любой пользователь может отмонтировать устройство через стандартные средства ОС;
служба не изменяет права доступа, заданные в файловой системе блочного устройства;
рекомендуемой файловой системой для переносных носителей является exFAT.
Особенности работы модуля с файловыми системами:
EXT2/3/4, XFS, BTRFS поддерживают права доступа. Доступ к файловой системе также определяется правами доступа, заданными в самой файловой системе;
FAT16/FAT32/exFAT не поддерживают права доступа. Доступ полностью определяется правами, заданными через точку монтирования в USBMount;
ISO9660/UDF поддерживает только режим чтения. Доступ предоставляется только для чтения;
NTFS поддерживает права доступа, но ее использование не рекомендуется. Если NTFS-носитель ранее был извлечен небезопасно, он будет смонтирован только для чтения.
73.1. Запуск и остановка службы
В модуле отображается текущее состояние службы USBMount:
Для включения контроля за устройствами необходимо перевести переключатель Служба USBMount остановлена и нажать кнопку Сохранить. Служба USBMount будет запущена и добавлена в автозагрузку. Ее состояние изменится на «Служба USBMount активна».
Для отключения контроля за устройствами необходимо перевести переключатель Служба USBMount активна и нажать кнопку Сохранить.
Если служба USBMount запущена, в веб-интерфейсе подраздела отображается список текущих подключённых устройств:
В столбце
Статус отображается текущее состояние устройства:
Если для устройства назначен владелец и оно смонтировано, текущая точка монтирования отображается в столбце Точка монтирования.
Кнопка Обновить список блочных устройств позволяет обновить список подключённых устройств.
73.3. Добавление/удаление правил
Чтобы назначить права для подключенного блочного устройства, необходимо выполнить следующие действия:
Выделить строку с нужным устройством в таблице Список устройств и нажать кнопку Назначить владельца (или дважды щелкнуть мышью по строке с устройством):
Правило будет добавлено в таблицу Список владельцев:
В столбце Пользователь выбрать пользователя, в столбце Группа — группу, которой назначаются права на блочное устройство:
Нажать кнопку Сохранить. Статус устройства в таблице Список устройств изменится на owned:
При создании и редактировании правила некорректные значения выделяются красным цветом, корректные — зелёным.
Чтобы создать правило для устройства, которое в данный момент не подключено, необходимо:
Нажать кнопку Добавить, расположенную под таблицей Список владельцев. В таблицу будет добавлена пустая строка:
В соответствующих столбцах указать значения VID, PID и Серийный номер устройства:
В столбце Пользователь выбрать пользователя, в столбце Группа — группу владельца блочного устройства:
Для назначения прав определенной группе пользователей, в столбце Пользователь следует выбрать прочерк (-).
Нажать кнопку Сохранить.
Редактирование правила:
Дважды щелкнуть мышью по строке с правилом в таблице Список владельцев (или выделить строку в таблице Список владельцев и нажать кнопку Изменить).
Внести изменения.
Нажать кнопку Сохранить.
Удаление правила:
Выделить строку(и) с правилом в таблице Список владельцев.
Нажать кнопку Удалить:
Нажать кнопку Сохранить.
Для отмены внесённых изменений, до нажатия кнопки Сохранить, следует нажать кнопку Сбросить.
73.4. Просмотр журнала аудита
Для просмотра журнала событий подключения/отключения USB-устройств необходимо нажать кнопку Журнал, расположенную в левом нижнем углу интерфейса модуля. Откроется журнал аудита:
Для перехода к более старым или более новым записям используются кнопки Назад и Вперед.
Чтобы скрыть панель журнала, необходимо нажать кнопку Свернуть.
Глава 74. Прочие возможности ЦУС
Возможности ЦУС Альт Рабочая станция K не ограничиваются только теми, что были описаны выше. Вы всегда можете поискать другие модули, предоставляющие прочие возможности для настройки системы в веб-интерфейсе.
Установленные пакеты, которые относятся к ЦУС, можно посмотреть, выполнив команду:
rpm -qa | grep alterator*
Прочие пакеты для ЦУС можно найти, выполнив команду:
apt-cache search alterator*
Модули можно дополнительно загружать и удалять как обычные программы:
# apt-get install alterator-net-openvpn
# apt-get remove alterator-net-openvpn
После установки модуля, у которого есть веб-интерфейс, для того чтобы он отобразился в веб-интерфейсе, необходимо перезапустить сервис ahttpd:
# systemctl restart ahttpd
Глава 75. Права доступа к модулям
Администратор системы (root) имеет доступ ко всем модулям, установленным в системе, и может назначать права доступа для пользователей к определенным модулям.
Для разрешения доступа пользователю к конкретному модулю, администратору в веб-интерфейсе ЦУС необходимо выбрать нужный модуль и нажать ссылку Параметры доступа к модулю, расположенную в нижней части окна модуля:
В открывшемся окне, в списке Новый пользователь необходимо выбрать пользователя, который получит доступ к данному модулю, и нажать кнопку Добавить.
Для сохранения настроек необходимо перезапустить HTTP-сервер, для этого достаточно нажать кнопку Перезапустить HTTP-сервер.
Для удаления доступа пользователя к определенному модулю, администратору, в окне этого модуля необходимо нажать ссылку Параметры доступа к модулю, в открывшемся окне в списке пользователей которым разрешен доступ, выбрать пользователя, нажать кнопку Удалить и перезапустить HTTP-сервер.
Системный пользователь, пройдя процедуру аутентификации, может просматривать и вызывать модули, к которым он имеет доступ.
Часть VIII. Функционал операционной системы
Глава 76. ГОСТ в OpenSSL
76.1. Поддержка шифрования по ГОСТ в OpenSSL
Для включения поддержки шифрования ГОСТ в OpenSSL необходимо выполнить следующие действия:
Установить пакет
openssl-gost-engine:
# apt-get install openssl-gost-engine
Изменить конфигурационный файл OpenSSL, выполнив команду:
# control openssl-gost all
Проверить, доступны ли шифры ГОСТ для OpenSSL:
$ openssl ciphers|tr ':' '\n'|grep GOST
GOST2012-MAGMA-MAGMAOMAC
GOST2012-KUZNYECHIK-KUZNYECHIKOMAC
LEGACY-GOST2012-GOST8912-GOST8912
IANA-GOST2012-GOST8912-GOST8912
GOST2001-GOST89-GOST89
Пример генерации закрытого ключа с алгоритмом ГОСТ-2012:
$ openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:TCA -out ca.key
Пример создания сертификата на 365 дней (
ca.cer):
$ openssl req -new -x509 -md_gost12_256 -days 365 -key ca.key -out ca.cer \
-subj "/C=RU/ST=Russia/L=Moscow/O=SuperPlat/OU=SuperPlat CA/CN=SuperPlat CA Root"
Проверка сертификата (
ca.cer):
$ openssl x509 -in ca.cer -text -noout
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
37:f7:cb:d7:3c:f5:39:db:d4:64:e0:28:b1:d0:8d:3e:b4:01:f5:55
Signature Algorithm: GOST R 34.10-2012 with GOST R 34.11-2012 (256 bit)
Issuer: C=RU, ST=Russia, L=Moscow, O=SuperPlat, OU=SuperPlat CA, CN=SuperPlat CA Root
Validity
Not Before: Mar 5 13:25:55 2025 GMT
Not After : Mar 5 13:25:55 2026 GMT
Subject: C=RU, ST=Russia, L=Moscow, O=SuperPlat, OU=SuperPlat CA, CN=SuperPlat CA Root
Subject Public Key Info:
Public Key Algorithm: GOST R 34.10-2012 with 256 bit modulus
Public key:
X:F922D11D9D3BE18A9F1866AA5993C9B5C83A6EB2A8E328B3ED550D95B3E7F5F3
Y:3F70442C79850BA0EEF4C57337E113037085528989B4726A96D7C20B72BE08B0
Parameter set: GOST R 34.10-2012 (256 bit) ParamSet A
X509v3 extensions:
X509v3 Subject Key Identifier:
73:95:F0:1C:00:CB:E8:04:92:06:48:5D:97:27:DD:8C:18:34:CC:9D
X509v3 Authority Key Identifier:
73:95:F0:1C:00:CB:E8:04:92:06:48:5D:97:27:DD:8C:18:34:CC:9D
X509v3 Basic Constraints:
CA:TRUE
Signature Algorithm: GOST R 34.10-2012 with GOST R 34.11-2012 (256 bit)
Signature Value:
0d:bd:a3:8a:a1:df:c2:d6:25:e7:09:55:04:4c:0e:2a:11:01:
fe:3d:93:4d:d0:75:72:3b:1c:cc:dc:da:3a:50:3f:6b:9d:45:
d9:a3:b6:da:80:db:2e:b4:7d:a6:08:29:20:3c:2e:6e:2f:10:
b0:47:9e:fb:a0:7c:6f:4c:6b:45
Глава 77. Задание хешей паролей в соответствии с ГОСТ Р 34.11-2012
В ОС Альт Рабочая станция K реализована возможность хранения аутентификационной информации пользователей с использованием хеш-функций по стандарту ГОСТ Р 34.11-2012.
77.1. Настройка через ЦУС
В открывшемся окне следует отметить пункт Включить хеширование паролей пользователей по алгоритму ГОСТ Р 34.11-2012 и нажать кнопку Применить:
Проверить настройку можно, установив новый пароль пользователю:
# passwd <имя пользователя>
# passwd -S <имя пользователя>
Password set, gost-yescrypt encryption.
77.2. Настройка через консоль
Должен быть установлен пакет
tcb-hash-prefix-control:
# apt-get install tcb-hash-prefix-control
Просмотреть текущий алгоритм хеширования:
# passwd -S <имя>
Пример:
# passwd -S root
Password set, yescrypt encryption.
Установка алгоритма gost-yescrypt:
# control tcb-hash-prefix gost_yescrypt
Можно указать параметр сложности (
count):
# control tcb-hash-prefix gost_yescrypt 10
Применение и проверка:
Установить пароль пользователю:
# passwd user
Проверка:
# passwd -S user
Ожидаемый вывод:
Password set, gost-yescrypt encryption.
Список возможных хеш-функций можно вывести, выполнив команду:
# control tcb-hash-prefix help
bcrypt_2b: prefix=$2b$ count=8 (4 - 31 limit)
bcrypt_2y: prefix=$2y$ count=8 (4 - 31 limit)
bcrypt_2a: prefix=$2a$ count=8 (4 - 31 limit)
yescrypt: prefix=$y$ count=8 (0 - 11 limit)
scrypt: prefix=$7$ count=8 (0 - 11 limit)
gost_yescrypt: prefix=$gy$ count=8 (0 - 11 limit)
sha256: prefix=$5$ count=10000 (1000 - 100000 limit)
sha512: prefix=$6$ count=10000 (1000 - 100000 limit)
default: hash prefix managed by libcrypt
Пояснения:
prefix — префикс, используемый в хеше пароля (определяет алгоритм хеширования);
count — параметр сложности (число итераций/стоимость вычислений);
limit — допустимый диапазон значений параметра count.
Текущее значение хеш-функции:
# control tcb-hash-prefix
gost_yescrypt
Возврат к настройкам по умолчанию:
# control tcb-hash-prefix default
Глава 78. Копидел — средство тиражирования установленной системы
Модуль Копидел предоставляет пользователю простой интерфейс для копирования настроенной рабочей системы на другие компьютеры.
Модуль позволяет:
создать разливочный образ ОС (в формате img), записать образ напрямую на внешний накопитель для быстрой установки целевой ОС, аналогичной исходной;
указать каталоги, которые следует исключить из копирования;
выбрать каталог или внешний накопитель для сохранения образа;
включить режим OEM — при первой загрузке целевой системы пользователь сможет выполнить персональные настройки (выбор имени, языка, пароля и т.д.);
сжать скопированную файловую систему с помощью xz.
Для работы
Копидел должен быть установлен пакет
alterator-kopidel:
# apt-get install alterator-kopidel
Исходная система — система, с которой создается образ. Целевая система — система, на которую будет установлен образ.
Для создания образа необходимо достаточное свободное место:
при создании RAW-образа требуется место, равное примерно размеру копируемой системы;
при использовании сжатия xz требуется место до двукратного размера системы, так как итоговый размер сжатого образа заранее предсказать невозможно.
При создании образа формируется файл vm-profile.scm, содержащий разметку диска исходной системы. Эта разметка будет применена на целевой машине.
Тип образа выбирается с помощью радиокнопок:
Разливочный образ — создаётся файл образа системы в формате .img;
Разливочный внешний накопитель — образ записывается напрямую на выбранный внешний носитель (например, USB-флешку или неразмеченный раздел диска).
При выборе опции
Разливочный образ отображается поле
Рабочий каталог со списком разделов, подходящих для создания образа. Ограничения для выбора раздела:
выбираются только разделы, на которых достаточно места;
раздел должен быть примонтирован;
рабочий каталог не может находиться на файловых системах, смонтированных с флагами ro (только для чтения) или nodev.
Для обновления списка каталогов можно нажать кнопку Обновить список возможных рабочих каталогов (полезно, например, если изменился список игнорируемых файлов).
В выбранном разделе будет создан каталог alterator-kopidel-workdir, внутри которого формируется файл образа razlivochniy.img.
При выборе варианта Разливочный внешний накопитель отображается поле Внешний накопитель со списком устройств, подходящих для создания образа.
Для обновления списка носителей можно нажать кнопку Обновить список возможных внешних накопителей.
Дополнительные настройки:
Использовать стандартный список файлов, игнорируемых при копировании — в качестве источника игнорируемых файлов используется файл
/usr/share/alterator-kopidel/default-ignored-files.txt. В нём перечислены пути (по одному на строке), которые не копируются на целевую систему. Содержимое файла исключений по умолчанию:
/dev
/proc
/sys
/tmp
/run
/mnt
/media
/lost+found
/home/[^/]+/.bash_history
Путь к списку файлов, исключаемых при копировании — файл со списком исключаемых файлов и каталогов (файлы и каталоги должны быть указаны по одному на каждой строке).
Если изменяется путь к списку исключаемых файлов, рядом появляется кнопка для обновления списка:
Установка в режиме OEM — включение режима OEM. В этом режиме при первой загрузке целевой системы запускается мастер первоначальной настройки, включающий по умолчанию следующие шаги:
Выбор основного языка системы
Лицензионное соглашение
Дата и время
Установка пароля учетной записи администратора (root)
Создание учётной записи системного пользователя
Завершение настройки
При установке в режиме OEM будут удалены все пользователи исходной ОС.
Мастер настройки можно изменить с помощью файла /etc/alterator-setup/steps (например, можно добавить шаг настройки сети net-eth, или удалить шаг создания учётной записи системного пользователя users).
Установить GRUB с флагом --removable — включает режим совместимой установки загрузчика:
в UEFI режимах загрузчик размещается в стандартном пути (/EFI/BOOT/BOOTX64.EFI), чтобы система могла загружаться даже без записи загрузочной записи в NVRAM;
в Legacy BIOS режимах загрузчик устанавливается в загрузочный сектор корневого раздела (где расположена система).
Этот режим полезен для создания гибридных образов, совместимых с загрузкой как в BIOS, так и в UEFI.
Сжать копируемую файловую систему с помощью xz — включает максимальное сжатие создаваемого образа. Экономит место, но увеличивает время копирования.
Кнопка Создать разливочный образ — запускает процесс создания разливочного образа.
Кнопка Прекратить создание разливочного образа — становится активной после старта процесса и позволяет прервать его.
Во время работы отображаются два индикатора (progress bar):
78.2. Инструмент командной строки kopidel
Создать разливочный образ можно и в командной строке.
Синтаксис команды
kopidel:
# kopidel [опции] workdir
# kopidel [опции] /dev/external_drive
где:
workdir — путь к рабочему каталогу (например, /alterator-kopidel-workdir);
/dev/external_drive — устройство, на которое будет записан образ.
Доступные опции:
-X, --ignored-from — путь к файлу со списком игнорируемых файлов (по умолчанию используется файл /usr/share/alterator-kopidel/default-ignored-files.txt);
--xz — сжать скопированную файловую систему с помощью xz;
-O, --oem-mode — включить режим OEM;
-s, --step — запустить отдельный шаг процесса;
--list-workdirs — показать список возможных рабочих каталогов;
--list-exdrives — показать список возможных внешних накопителей;
--grub-efi-removable — установить GRUB с флагом --removable;
-v, --version — показать версию и выйти;
-h, --help — показать справку и выйти.
Возможные шаги при создании загрузочного образа:
prepare_workdir — подготовка рабочего каталога;
create_copied_fs — копирование файловой системы;
create_disk_partition_info — создание информации о разбивке диска (alterator-kopidel-workdir/image/Metadata/vm-profile.scm);
create_install_scripts — создание установочных скриптов (alterator-kopidel-workdir/image/Metadata/install-scripts.tar);
create_razlivochniy_mountpoint — создание разделов и точек монтирования;
save_ready_to_use_image — перемещение готовых к использованию файлов в образ;
use_ready_to_use_image — перемещение готовых к использованию файлов в примонтированный образ;
install_grub — установка GRUB;
umount_razlivochniy — размонтирование образа.
Примеры использования:
просмотр возможных рабочих каталогов:
# kopidel --list-workdirs
Список возможных рабочих каталогов:
/alterator-kopidel-workdir /dev/sda3[/@]
/home/alterator-kopidel-workdir /dev/sda3[/@home]
просмотр возможных внешних накопителей:
# kopidel --list-exdrives
Список возможных внешних накопителей:
/dev/sdc StoreJet SAMSUNG HM321HI 299Gi
создание образа в каталоге
/alterator-kopidel-workdir:
# kopidel /alterator-kopidel-workdir
Проверка окружения сборки пройдена.
[Чт 12 ноя 2026 10:43:52 MSK] Шаг 1/7: Создание разделов и точек монтирования.
██████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 10:45:15 MSK] Шаг 2/7: Подготовка рабочего каталога.
██████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 10:51:46 MSK] Шаг 3/7: Копирование файловой системы.
██████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 10:57:56 MSK] Шаг 4/7: Создание информации о разбивке диска.
██████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 10:58:01 MSK] Шаг 5/7: Создание установочных скриптов.
██████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 10:58:01 MSK] Шаг 6/7: Установка GRUB.
██████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 10:58:04 MSK] Шаг 7/7: Размонтирование образа.
██████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 10:58:04 MSK] Создание разливочного образа успешно завершено.
выполнение отдельного шага (например, создание информации о разметке):
# kopidel -s create_disk_partition_info /alterator-kopidel-workdir
Проверка окружения сборки пройдена.
[Чт 12 ноя 2026 10:40:04 MSK] Шаг 1/1: Создание информации о разбивке диска.
██████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 10:41:27 MSK] Шаг был успешно выполнен.
Результат (файл
vm-profile.scm):
# cat /alterator-kopidel-workdir/image/Metadata/vm-profile.scm
((kopidel
(title . "Setup for kopidel")
(action . trivial)
(actiondata
("swap" (size 262144 . 262144 ) (fsim . "SWAPFS") (methods plain) )
("/boot/efi" (size 1046528 . 1046528 ) (fsim . "FAT32") (methods plain) )
("" (size 32701712 . 103544832 ) (fsim . "BtrFS") (methods plain) (subvols ("@" . "/") ("@home" . "/home")))
)))
запись образа на внешний накопитель:
# kopidel /dev/sdb
Проверка окружения сборки пройдена.
[Чт 12 ноя 2026 11:32:26 MSK] Шаг 1/7: Создание разделов и точек монтирования.
███████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 11:32:28 MSK] Шаг 2/7: Подготовка рабочего каталога.
███████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 11:40:40 MSK] Шаг 3/7: Копирование файловой системы.
███████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 11:44:36 MSK] Шаг 4/7: Создание информации о разбивке диска.
███████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 11:44:46 MSK] Шаг 5/7: Создание установочных скриптов.
███████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 11:44:46 MSK] Шаг 6/7: Установка GRUB.
███████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 11:44:47 MSK] Шаг 7/7: Размонтирование образа.
███████████████████████████████████████████████████████████████████████████████████████████████████ 100%
[Чт 12 ноя 2026 11:44:48 MSK] Создание разливочного образа успешно завершено.
создать разливочный образ в каталоге
/home/alterator-kopidel-workdir, использовать OEM-режим, установить загрузчик в специальный раздел «EFI» (для режима EFI):
# kopidel -O -g efi /home/alterator-kopidel-workdir
78.3. Создание и разливка разливочного образа
На целевой системе будут удалены все существующие данные.
Процедура создания разливочного образа и разливки его на целевую систему состоит из следующих шагов:
Установить систему на исходный ПК, разметив диск так, как он будет размечен на целевых машинах.
Установить модуль Копидел.
Произвести настройку исходной ОС (установить пакеты, настроить ПО и т.д.).
Обеспечить наличие достаточного места для создания разливочного образа.
Создать разливочный образ в командной строке, выполнив команду kopidel, или в ЦУС (в модуле Копидел выбрать необходимые опции и нажать кнопку Создать разливочный образ):
После запуска процесса создания разливочного образа верхний индикатор прогресса (progress bar) будет отображать выполняемую задачу, нижний — процент выполнения данной задачи:
Дождаться создания образа ОС (создание образа может занять довольно продолжительное время).
Если разливочный образ создается в ЦУС, создание образа будет завершено, когда на верхнем индикаторе выполнения появится появится сообщение Создание разливочного образа успешно завершено:
Если образ ОС создавался в каталоге, перенести его из рабочего каталога на загрузочное устройство.
Произвести загрузку с разливочного образа на целевом ПК:
Программа перенесёт копию исходной ОС на целевой ПК (процедура переноса может занять довольно продолжительное время). На экране будет отображаться процесс переноса:
Отключить загрузочное устройство.
Загрузится с целевой системы.
На целевом ПК размер и количество дисков должны совпадать с размером диска на исходной машине. Если размер дисков не совпадает, установка будет невозможна, на экране будет отображаться ошибка:
Глава 79. Подпись и проверка ЭЦП ГОСТ
79.1. Сургуч (подписание и проверка электронной подписи документов)
Сургуч — приложение для работы с электронными документами, позволяющее просматривать, подписывать и проверять электронные подписи (ЭП) в соответствии с требованиями российского законодательства.
Приложение работает в двух режимах:
режим PDF — предназначен для работы с визуальными документами, в которых электронная подпись встраивается непосредственно в PDF-документ;
режим Файл — предназначен для работы с произвольными файлами и архивами подписей, без отображения содержимого документа в виде страниц.
Общие возможности приложения:
проверка корректности подписи и просмотр ее свойств в форматах CAdES-BES, CAdES-T, CAdES-XLT1 и PKCS#7;
проверка цепочки сертификатов и просмотр информации о каждом сертификате;
отправка запросов к OCSP-серверу для проверки статуса отзыва сертификатов, использованных в цепочке;
создание ЭП в форматах CAdES-BES, CAdES-T и CAdES-XLT1;
сохранение настроек подписи в виде профилей для повторного использования;
В режиме
PDF приложение предоставляет следующие возможности:
открытие PDF-документов и просмотр их содержимого;
изменение масштаба и ориентации страниц;
поиск по содержимому документа;
отображение электронных подписей, содержащихся в документе;
встраивание ЭП в PDF-документ и сохранение нового подписанного файла;
создание и встраивание в PDF-документ штампа подписи в соответствии с требованиями Федерального закона № 63-ФЗ;
добавление меток с текстом или изображением, например Одобрено, Совершенно секретно, Копия верна;
создание и редактирование шаблонов меток с настройкой текста, цвета, прозрачности, ссылок и изображений;
печать документа.
В режиме
Файл приложение предоставляет следующие возможности:
открытие файлов и просмотр списка файлов и подписей;
проверка и просмотр машиночитаемых доверенностей (МЧД);
сопоставление МЧД с подписями и файлами;
отображение содержимого архивов в виде дерева;
отображение структуры присоединенных подписей в виде дерева;
открытие отдельных файлов из структуры дерева;
подписание добавленных файлов и сохранение полученных архивов в соответствии с настройками профиля.
Для работы приложения
Сургуч должны быть установлены пакеты
surguch и
newt52:
# apt-get install surguch newt52
Для работы приложения должно быть установлено программное обеспечение КриптоПро CSP 5.0, у пользователя должен быть доступ к контейнеру закрытого ключа, связанному с сертификатом (в локальном считывателе или на токене).
Для корректной проверки подписи должны быть установлены корневые и промежуточные сертификаты цепочки сертификации подписанта документа.
Для подписания документов необходимо импортировать сертификаты. Сертификаты должны находиться в хранилище umy. Проверить наличие сертификатов в хранилище можно с помощью команды:
$ certmgr -list -store umy
Запустить приложение
Сургуч можно следующими способами:
из меню рабочей среды: → → ;
из контекстного меню PDF-файла в файловом менеджере Dolphin ( → ):
из меню LibreOffice ( → ):
из командной строки:
$ surguch [PDF-файл]
При запуске Сургуч из контекстного меню PDF-файла или с помощью команды surguch <PDF-файл> приложение запускается в режиме PDF.
79.1.2. Интерфейс приложения
79.1.2.1. Открытие документа
Окно приложения Сургуч после запуска:
Открыть PDF-документ в режиме
PDF можно следующими способами:
запустить приложение Сургуч из контекстного меню PDF-файла;
перетащить PDF-документ в левую часть стартового окна — в поле PDF Drag&Drop или в другую область этой части окна;
нажать кнопку PDF на панели инструментов или элемент PDF Drag&Drop, выбрать документ в диалоговом окне и нажать Открыть либо дважды щёлкнуть по имени файла;
перетащить PDF-документ в окно приложения Сургуч, если приложение уже работает в режиме PDF.
При открытии другого PDF-документа текущий документ закрывается.
Открыть файл в режиме «Файл» можно следующими способами:
перетащить файл в правую часть стартового окна — в поле Файл Drag&Drop или в другую область этой части окна;
нажать кнопку Файл на панели инструментов или элемент Файл Drag&Drop, выбрать один или несколько файлов в диалоговом окне и нажать Открыть либо дважды щёлкнуть по имени файла;
перетащить файл в окно приложения Сургуч, если приложение уже работает в режиме Файл.
Чтобы закрыть отдельный файл, нужно щёлкнуть по значку
в строке этого файла, чтобы закрыть все файлы — по такому же значку в заголовке таблицы.
В режиме
PDF пользовательский интерфейс состоит из четырёх панелей:
1 — панель управления;
2 — панель инструментов для работы с PDF-документом;
3 — левая боковая панель;
4 — правая боковая панель.
На панели управления (1) доступны следующие элементы:
PDF — открывает диалоговое окно выбора PDF-документа. При открытии нового документа ранее открытый документ закрывается;
Файл — открывает диалоговое окно выбора файла. После открытия файла приложение переключается в режим Файл;
Показать в папке — открывает каталог, в котором находится текущий документ. Элемент доступен только в режиме PDF;
Сохранить как — позволяет сохранить документ под другим именем. Элемент доступен только в режиме PDF;
Даже если документ не изменялся, сохраненный файл может побитово отличаться от исходного (например, может иметь другую контрольную сумму SHA-1).
Настройка профиля — отображает настройки текущего профиля на правой панели. Если профиль не выбран, открывается форма создания профиля;
Профиль — позволяет выбрать профиль подписи. Настройки выбранного профиля отображаются на правой боковой панели;
Подписать — апускает процедуру подписания документа с использованием текущего профиля. В режиме PDF) при этом создается визуальный штамп ЭП. Если профиль не выбран, открывается список профилей для выбора;
О программе — открывает справочную информацию о программе.
На панели инструментов (2) доступны следующие элементы:
Миниатюры — включает или отключает отображение миниатюр страниц на левой боковой панели;
Подписи — отображает список электронных подписей на левой боковой панели, если документ содержит подписи;
Печать — открывает диалоговое окно печати текущего документа;
Следующая страница — переходит к следующей странице;
Предыдущая страница — переходит к предыдущей странице;
Перейти к странице — позволяет перейти к странице по её номеру;
Номер текущей страницы и общее количество страниц в документе — отображает номер текущей страницы и общее количество страниц;
Повернуть влево — поворачивает все страницы против часовой стрелки;
Повернуть вправо — поворачивает все страницы по часовой стрелке;
Уменьшить масштаб — уменьшает масштаб отображения документа;
Увеличить масштаб — увеличивает масштаб отображения документа;
Установить масштаб — позволяет выбрать режим масштабирования;
Метка — добавляет графическую метку в соответствии с выбранным шаблоном;
Выбрать метку — позволяет выбрать, создать или отредактировать шаблон метки;
Поиск — открывает окно поиска текста в документе.
На левой боковой панели (3) могут отображаться:
На правой боковой панели (4) отображаются:
В режиме
Файл интерфейс состоит из трех областей:
1 — панель управления (см. описание для режима
PDF);
2 — область файлов;
3 — правая боковая панель (см. описание для режима
PDF).
В области файлов отображается список открытых файлов. Для каждого файла отображаются:
имя файла, размер и дата изменения;
значки статуса электронной подписи и машиночитаемой доверенности (если файл подписан или связан с МЧД).
Таблица 79.1. Описание значков в столбце Подпись
|
Объект
|
Значок
|
Описание
|
|
Файл
|
|
Для файла найдены файлы подписей; все подписи недействительны
|
|
Файл
|
|
Для файла найдены файлы подписей; все подписи действительны
|
|
Файл
|
|
Для файла найдены файлы подписей; среди них есть как действительные, так и недействительные подписи
|
|
Подпись
|
|
Файл содержит одну подпись, которая недействительна.
|
|
Подпись
|
|
Файл содержит одну действительную подпись
|
|
Подпись
|
|
Файл содержит подпись, но соответствующий подписанный файл не удалось определить (например, файл не найден по названию или найдено несколько файлов, и для всех подпись неверна)
|
Таблица 79.2. Описание значков в столбце МЧД
|
Объект
|
Значок
|
Описание
|
|
Файл
|
|
Для файла найдены МЧД; все они действительны. Количество найденных подписей совпадает с количеством найденных МЧД
|
|
Файл
|
|
Для файла найдены МЧД, но количество действительных МЧД не совпадает с количеством подписей
|
|
МЧД
|
|
Файл распознан как МЧД и соответствует схеме. Подписи для этого файла найдены и признаны действительными
|
|
МЧД
|
|
Файл распознан как МЧД и соответствует схеме. Подписи найдены и признаны действительными, но срок действия МЧД истёк
|
|
МЧД
|
|
Файл распознан как МЧД и соответствует схеме, но для него не найдена подпись
|
79.1.3. Работа с приложением
79.1.3.1. Профиль подписи
Профили — это наборы настроек подписи, позволяющие быстро подписывать документы с использованием заранее заданных параметров.
79.1.3.1.1. Формат электронной подписи
Приложение поддерживает три формата электронной подписи:
CADES_BES — базовый формат электронной подписи с проверкой подлинности и целостности данных;
CADES_T — формат электронной подписи, содержащий метку времени (CADES_BES и метка времени);
CADES_XLT1 — усовершенствованный формат электронной подписи, предназначенный для долгосрочного хранения и последующей проверки подписи.
Формат усовершенствованной подписи предусматривает включение в электронную подпись метки времени, полученной от службы штампов времени (TSP) и о статусе сертификата электронной подписи (OCSP) в момент подписания (действителен или отозван). Время создания электронной подписи удостоверяется электронной подписью специального сервера точного времени. Для этого при создании подписи приложение обращается к соответствующей службе, получает метку времени и сохраняет её в составе подписи.
Правовой статус сертификата электронной подписи на момент подписи обеспечивается электронной квитанцией удостоверяющего центра, полученной в момент подписи посредством OCSP. Документ содержит статус запрашиваемого сертификата, на который также ставится штамп времени, подтверждающий их целостность в момент проверки. Статус также сохраняется в электронной подписи.
79.1.3.1.2. Создание и редактирование профиля подписи
Для создания профиля необходимо выполнить следующие действия:
В раскрывающемся списке выбрать пункт :
На правой боковой панели настроить параметры профиля:
Название профиля — название профиля (пробелы в названии профиля не допускаются);
Сертификат — сертификат, используемый для создания подписи. Для выбора доступны личные сертификаты, связанные с закрытым ключом;
Использовать по умолчанию — при включении параметра профиль автоматически выбирается при запуске приложения;
Тип CADES:
CAdES_BES — классическая подпись без метки времени;
CAdES_T — подпись с меткой времени;
CAdES_XLT1 — усовершенствованная подпись;
При выборе форматов
CAdES_T и
CAdES_XLT1 необходимо заполнить поле
Адрес службы TSP.
Адрес службы TSP — адрес службы штампов времени. Услуги службы штампов времени могут предоставлять удостоверяющие центры (например, http://pki.tax.gov.ru/tsp/tsp.srf). Поле доступно при выборе форматов CAdES_T или CAdES_XLT1.
Для штампа в PDF:
Вид штампа — шаблон графического штампа;
Логотип компании — изображение, отображаемое в штампе (опционально).
Для подписи файла:
Вид подписи — способ сохранения электронной подписи:
Кодировка файла сертификата — формат представления файла электронной подписи: DER (двоичный формат, по умолчанию) или PEM (текстовый формат с кодированием Base64);
Расширение файла подписи — расширение файла электронной подписи. Возможные значения: .sig (по умолчанию), .sign, .sgn, .p7s, .bin;
Создание архива после подписи — способ сохранения подписанных файлов:
Не использовать — файлы и подписи сохраняются в каталоге без архивации;
Общий ZIP-файл — все файлы и подписи упаковываются в один архив;
Отдельный ZIP-файл — для каждого подписываемого файла и его подписи создаётся отдельный ZIP-архив, содержащий файл и его подпись.
Нажать кнопку Сохранить профиль.
Можно создать разные профили для режимов PDF и Файл.
Чтобы открыть панель редактирования профиля, необходимо:
Выбрать профиль в списке профилей.
Нажать значок ключа рядом с названием профиля.
На панели редактирования профиля можно изменить параметры профиля. Для сохранения изменений необходимо нажать кнопку Сохранить профиль.
Для удаления профиля необходимо нажать кнопку Удалить профиль на панели редактирования профиля.
79.1.3.1.3. Штамп электронной подписи
Приложение Сургуч позволяет формировать графический штамп электронной подписи
Для оформления штампа можно использовать встроенный или пользовательский шаблон. Для каждого штампа можно задать положение на странице.
Для создания нового шаблона штампа необходимо выполнить следующие действия:
В раскрывающемся списке выбрать любой профиль или пункт .
На правой панели в списке выбрать пункт .
В открывшемся окне указать название штампа и настроить его параметры:
Толщина рамки — толщина рамки штампа в диапазоне от 0 до 20 (регулируется ползунком);
Скругление рамки — радиус скругления углов рамки в диапазоне от 1 до 70 (регулируется ползунком);
Цвет — цвет штампа, задаваемый в формате RGB (регулируется ползунками);
Прозрачность фона — указание, должен ли фон быть прозрачным.
Нажать кнопку Сохранить.
Чтобы выпадающий список был доступен, в поле Сертификат необходимо выбрать сертификат.
Для редактирования существующего шаблона штампа необходимо выбрать его в списке и нажать значок ключа справа от названия. В открывшемся окне изменить параметры и сохранить шаблон.
Встроенный шаблон штампа ГОСТ изменить нельзя.
79.1.3.2.1. Просмотр документа
Для навигации по документу можно использовать:
Для перехода к странице можно также выбрать ее миниатюру на левой боковой панели
Работа со ссылками в PDF:
открытие внешних ссылок (например, на веб-страницы) выполняется по клику с зажатой клавишей Ctrl — ссылка откроется в браузере;
переход по внутренним ссылкам (в пределах документа) также выполняется по клику с зажатой клавишей Ctrl.
79.1.3.2.2. Поиск по документу
Для поиска текста в документе необходимо нажать кнопку Поиск на панели инструментов (значок лупы) или использовать сочетание клавиш Ctrl+F.
В открывшемся поле следует ввести искомый текст. Поиск выполняется по мере ввода текста. Найденные вхождения в документе подсвечиваются. Рядом со строкой поиска отображается номер текущего вхождения и общее количество совпадений.
Для перехода между результатами поиска можно использовать кнопки Найти предыдущее и Найти следующее.
79.1.3.2.3. Проверка электронной подписи
Для корректной проверки подписи в системе должны быть установлены корневые и промежуточные сертификаты цепочки сертификации подписанта документа.
Если PDF-документ содержит электронные подписи, они отображаются на левой боковой панели в порядке добавления в документ:
Рядом с каждой подписью отображается имя субъекта сертификата (CN), а значок указывает результат проверки подписи.
Для просмотра свойств подписи необходимо щёлкнуть по соответствующей записи. На правой боковой панели отобразятся параметры подписи:
Действительная подпись отображается зелёным цветом, а подпись, проверка которой завершилась неудачно, — красным.
Знак вопроса в поле Дата подписи означает, что для формата подписи CADES_BES невозможно определить точную дату подписи, так как данный формат её не содержит.
Если подпись защищает не весь документ (например, документ был изменен после подписания), можно открыть его подписанную версию. Для этого на панели параметров подписи необходимо нажать кнопку Открыть подписанную версию:
Приложение загрузит документ в состоянии на момент подписания.
79.1.3.2.4. Добавление электронных подписей
Для подписания документа необходимо выполнить следующие условия:
Приложение Сургуч не предназначено для создания сертификатов электронной подписи. Сертификаты выдаются удостоверяющими центрами.
Приложение
Сургуч позволяет:
подписывать документы, не содержащие электронных подписей;
добавлять подписи к ранее подписанным документам.
79.1.3.2.4.1. Подписание документа
Для подписания документа необходимо выполнить следующие действия:
Открыть документ.
Выбрать профиль в раскрывающемся списке (если он еще не выбран).
Нажать кнопку Подписать.
Выбрать положение штампа на странице:
Если разместить штамп в выбранной области невозможно, он подсвечивается красным цветом:
Когда штамп окажется в нужном положении, нажать левую кнопку мыши.
Ввести пароль контейнера закрытого ключа (если контейнер защищен паролем):
Дождаться завершения подписания документа. На левой боковой панели появится название сертификата, а в выбранной области страницы — штамп электронной подписи:
Сохранить подписанный документ с помощью кнопки Сохранить как.
Формат электронной подписи, использование меток времени и сертификат для подписания настраиваются в
профиле подписи.
79.1.3.2.5. Работа с метками
Инструмент Метка предназначен для добавления на PDF-документ текстовых комментариев или изображений в виде графических меток (штампов) с настраиваемым внешним видом.
79.1.3.2.5.1. Простановка меток
Для добавления метки в документ необходимо выполнить следующие действия:
Выбрать нужную метку в списке :
Указать положение метки на странице.
Когда метка окажется в нужном положении, нажать левую кнопку мыши:
Метка будет добавлена в указанную область страницы:
Размер метки можно задать непосредственно при её размещении: нажать левую кнопку мыши, переместить курсор, чтобы задать нужный размер, и отпустить кнопку.
После добавления метка остаётся выбранной. Чтобы проставить её повторно, достаточно нажать кнопку Метка и указать новое положение.
Для отмены и повтора действия по добавлению метки можно использовать клавиши Ctrl+Z и Ctrl+Y.
79.1.3.2.5.2. Создание и редактирование меток
Можно создавать новые метки и редактировать существующие.
Для создания новой метки необходимо выбрать пункт в списке :
Для редактирования существующей метки следует в списке нажать значок ключа, расположенный справа от названия метки.
В обоих случаях откроется окно настройки метки.
Метки могут содержать текст или изображение. Тип метки выбирается с помощью переключателя Сгенерировать из текста.
Настройка текстовой метки:
Установить переключатель Сгенерировать из текста в положение включено.
В поле Название ввести название метки, которое будет отображаться в списке.
Настроить параметры метки:
Текст — содержимое метки;
Шрифт — шрифт текста метки;
Прозрачность фона — указание, должен ли фон быть прозрачным;
Цвет — цвет метки, з адаваемый в формате RGB (регулируется ползунками);
Толщина рамки — толщина рамки штампа в диапазоне от 0 до 20 (регулируется ползунком);
Скругление рамки — радиус скругления углов рамки в диапазоне от 1 до 70 (регулируется ползунком);
Ссылка — URL-адрес, который открывается при нажатии на метку (опционально);
Ширина метки по умолчанию — ширина метки в процентах от ширины страницы формата A4.
Нажать кнопку Сохранить.
На данный момент в приложении Сургуч открытие ссылок зашитых в метках не поддерживается. Ссылку можно открыть в любом другом приложении.
Настройка метки с изображением:
Установить переключатель Сгенерировать из текста в положение выключено.
В поле Название ввести название метки, которое будет отображаться в списке.
Щелкнуть по полю Выбрать файл и в открывшемся окне выбрать изображение в формате PNG, JPG, JPEG или BMP. Выбранное изображение отобразится в поле Предпросмотр.
В поле Ссылка указать URL-адрес, который открывается при нажатии на метку (опционально).
В поле Ширина метки по умолчанию указать ширину метки в процентах от размера A4.
Нажать кнопку Сохранить.
После сохранения метку можно использовать в документе:
79.1.3.3.1. Подписание файлов
Приложение Сургуч позволяет подписывать как отдельные файлы, так и группы файлов.
Для подписания файлов необходимо выполнить следующие действия:
Открыть файлы, которые требуется подписать:
Выбрать профиль подписи в раскрывающемся списке (если профиль ещё не выбран).
Нажать кнопку Подписать.
В открывшемся диалоговом окне указать каталог для сохранения подписанных файлов:
Ввести пароль контейнера закрытого ключа (если контейнер защищен паролем):
Дождаться завершения подписания. После успешного подписания появится сообщение с указанием каталога и имен файлов либо архива, содержащего исходные файлы и их подписи:
Чтобы открыть каталог с архивом, необходимо нажать кнопку Открыть.
79.1.3.3.2. Проверка подписи
Для проверки подписи необходимо открыть соответствующий файл.
Для проверки отсоединённой электронной подписи нужны оба файла: файл подписи и файл исходного документа.
По результатам проверки можно получить следующие сведения:
Значок рядом с подписью указывает результат её проверки.
Для просмотра свойств необходимо щёлкнуть по соответствующей подписи. На правой панели отображается имя субъекта сертификата:
Если подпись содержит метку времени, сведения о ней также отображаются в свойствах подписи:
79.1.3.3.3. Открытие отдельных файлов из структуры дерева
Чтобы открыть отдельный файл из структуры дерева, нужно выбрать пункт в контекстном меню файла:
79.1.3.3.4. Проверка МЧД
Для проверки машиночитаемой доверенности (МЧД) необходимо открыть файл доверенности и файлы электронных подписей, относящихся к ней:
Значок рядом с МЧД указывает результат её проверки.
При нажатии на значок МЧД на правой панели отображаются сведения о подписантах, указанных в доверенности:
При нажатии на имя подписанта можно просмотреть подробные сведения о доверенности, в том числе:
сведения о доверителе и представителе;
номер и дату выдачи доверенности;
срок действия;
идентификатор и статус доверенности.
79.2. Okular — проверка электронной подписи в PDF-файле
Для проверки электронной подписи необходимо открыть PDF-файл, содержащий подпись, в Okular.
Если текущий документ имеет подписи, после открытия документа над просмотром страницы появится панель с информацией об этом, а также с кнопкой Показать панель подписей. На панели Подписи можно проверить подпись документа:
Если документ содержит штамп ЭП, то для его проверки необходимо включить отображение форм ( → или кнопка Показать формы на панели с информацией) и затем щелкнуть левой кнопкой мыши на штампе. Появится окно Свойства подписи:
Это же окно можно вызвать из контекстного меню подписи на панели подписей (пункт ).
Если при проверке не удаётся проверить некоторые из подписей, необходимо проверить правильность цепочки сертификатов и установить недостающие.
Глава 80. Управление зашифрованными разделами
Шифрование блочных устройств позволяет защитить данные от несанкционированного доступа: для доступа к зашифрованным данным требуется парольная фраза или ключ. Это особенно важно для мобильных устройств и съемных носителей: даже при физическом доступе к устройству получить доступ к зашифрованным данным без соответствующей парольной фразы или ключа невозможно.
LUKS2 (Linux Unified Key Setup, версия 2) — стандартный формат для шифрования блочных устройств в Альт Рабочая станция K.
Поддерживаемые алгоритмы:
алгоритмы шифрования: aes-xts-plain64, serpent-xts-plain64, twofish-xts-plain64;
Хеш-функции: sha256, sha512, blake2b;
функции выработки ключа (PBKDF): argon2id, pbkdf2.
Для управления шифрованными разделами можно воспользоваться командой cryptsetup. Ниже описаны лишь некоторые возможности утилиты cryptsetup. Для получения более подробной информации используйте команду man cryptsetup.
В данном разделе сначала описана работа с уже созданными зашифрованными разделами, а затем — создание зашифрованного блочного устройства и шифрование существующих данных.
80.1. Управление зашифрованными устройствами
В формате LUKS2 поддерживается до 32 ключевых слотов. Каждый активный слот содержит ключ, необходимый для доступа к зашифрованным данным, и защищен парольной фразой или ключевым файлом. Парольные фразы можно добавлять, изменять и удалять.
Для доступа к зашифрованному блочному устройству используется парольная фраза или ключевой файл. Ключевой файл может содержать парольную фразу или произвольные двоичные данные.
Максимальная длина парольной фразы составляет 512 символов, а максимальный размер ключевого файла — 8192 КиБ.
Просмотреть параметры зашифрованного раздела можно, выполнив команду:
# cryptsetup luksDump /dev/sdb1
LUKS header information
Version: 2
Epoch: 10
Metadata area: 16384 [bytes]
Keyslots area: 16744448 [bytes]
UUID: 87a00f6b-be95-ba47-af78-f38bd4fbcaed
Label: (no label)
Subsystem: (no subsystem)
Flags: (no flags)
Data segments:
0: crypt
offset: 16777216 [bytes]
length: (whole device)
cipher: aes-xts-plain64
sector: 512 [bytes]
Keyslots:
0: luks2
Key: 256 bits
Priority: normal
Cipher: aes-xts-plain64
Cipher key: 256 bits
PBKDF: pbkdf2
Hash: sha256
Iterations: 10727120
Salt: 50 a2 ab a9 6e dc cd e7 b2 0d 60 82 11 7b 62 af
1a 7a 3b 14 0b 26 64 9b fc 81 da f2 14 3b 62 69
AF stripes: 4000
AF hash: sha256
Area offset:163840 [bytes]
Area length:131072 [bytes]
Digest ID: 0
6: luks2
Key: 256 bits
Priority: normal
Cipher: aes-xts-plain64
Cipher key: 256 bits
PBKDF: argon2id
Time cost: 4
Memory: 1000100
Threads: 2
Salt: 45 1a 1e e4 c1 73 ee c8 ae 30 e1 91 55 93 7a 26
0a 11 43 c7 c3 56 72 1f 7f 4b ec 5f df fa d3 7f
AF stripes: 4000
AF hash: sha256
Area offset:32768 [bytes]
Area length:131072 [bytes]
Digest ID: 0
Tokens:
Digests:
0: pbkdf2
Hash: sha256
Iterations: 619725
Salt: 6b 33 83 b5 9a 89 5c 0e 5f ad e2 f2 bc 21 9a 24
a7 46 b0 50 72 94 64 92 7e 67 39 69 cc f8 41 f2
Digest: 65 7c fb 0b fe 73 6a 95 72 03 26 2b dd 3f 60 34
81 73 ac 1a 1e 22 3d cc 2b f2 69 78 2a 7c 29 6d
где
/dev/sdb1 — зашифрованный раздел.
Определить, является ли устройство LUKS-разделом можно, выполнив команду:
# cryptsetup isLuks -v /dev/sdb1
Команда выполнена успешно.
Если команда завершилась успешно, устройство содержит заголовок LUKS.
Определить зашифрованные разделы и точки их монтирования можно, выполнив команду:
# lsblk
NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINT
sda 8:0 0 60G 0 disk
├─sda1 8:17 0 2G 0 part [SWAP]
├─sda2 8:18 0 512M 0 part /boot/efi
└─sda3 8:19 0 38G 0 part /
sdb 8:16 0 18G 0 disk
└─sdb1 8:17 0 18G 0 part
└─luks-87a00f6b-be95-ba47-af78-f38bd4fbcaed 253:0 0 18G 0 crypt /home
sr0 11:0 1 1024M 0 rom
В выводе команды
cryptsetup luksDump в разделе Keyslots отображается список активных слотов:
…
Keyslots:
0: luks2
…
6: luks2
…
Ключевые слоты нумеруются от 0 до 31. Для доступа к зашифрованным данным используются только активные слоты.
Чтобы открыть зашифрованный раздел LUKS, выполните команду:
# cryptsetup open /dev/sdb1 sdb1_encrypted
Перед закрытием контейнера LUKS необходимо отмонтировать файловую систему с отображенного устройства, после чего выполнить команду:
# cryptsetup close sdb1_encrypted
Для добавления новой парольной фразы в свободный ключевой слот необходимо указать существующую парольную фразу интерактивно или с помощью опции
--key-file:
# cryptsetup luksAddKey /dev/sdb1
Введите любую существующую парольную фразу:
Введите новую парольную фразу для слота ключа:
Парольная фраза повторно:
Новая парольная фраза будет добавлена в первый свободный ключевой слот.
Можно указать номер определенного слота с помощью опции
--key-slot, например:
# cryptsetup luksAddKey /dev/sdb1 --key-slot 5
Для замены одной парольной фразы на другую (существующую парольную фразу нужно ввести интерактивно или задать опцией
--key-file):
# cryptsetup luksChangeKey /dev/sdb1
Введите изменяемую парольную фразу:
Введите новую парольную фразу:
Парольная фраза повторно:
Если задан номер слота (опцией
--key-slot), нужно ввести существующую парольную фразу именно для этого слота, и замена парольной фразы произойдёт также в нём. Если номер слота не задан и есть свободный слот, сначала новая парольная фраза будет записана во временный свободный слот, а затем будет затёрт слот, содержащий старую парольную фразу. Если свободных слотов нет, новый пароль будет записан непосредственно в слот, ранее содержащий старую парольную фразу.
Чтобы определить ключевой слот, в котором находится заданная парольная фраза, выполните команду:
# cryptsetup --test-passphrase -v open /dev/sdb1
Не найдено подходящего токена.
Введите парольную фразу для /dev/sdb1:
Слот ключа 0 разблокирован.
Команда выполнена успешно.
Для удаления ключевых слотов можно использовать следующие команды:
luksRemoveKey — удалить парольную фразу, указав ее интерактивно или с помощью ключевого файла;
luksKillSlot — удалить ключевой слот, указав его номер (будет запрошена другая действующая парольная фраза или ключевой файл);
erase — удалить все ключевые слоты и сделать контейнер LUKS недоступным.
Перечисленные команды могут привести к удалению последнего активного ключевого слота и потере доступа к зашифрованным данным.
Команда cryptsetup erase не запрашивает парольную фразу и удаляет все ключевые слоты. После этого контейнер LUKS становится недоступным. Восстановить доступ можно только из резервной копии заголовка.
Примеры удаления паролей:
удалить заданную парольную фразу (удаляется соответствующий ключевой слот):
# cryptsetup luksRemoveKey /dev/sdb1
Введите удаляемую парольную фразу:
удаление по слоту (если известен номер слота):
# cryptsetup luksKillSlot /dev/sdb1 5
Введите любую оставшуюся парольную фразу:
При удалении ключей необходимо убедиться, что остается хотя бы один рабочий ключ.
При использовании опции -q (пакетный режим) ключевого слота выполняется без предупреждения. Если не останется ни одного активного ключевого слота, доступ к зашифрованным данным будет невозможен.
Создание резервной копии заголовка:
# cryptsetup luksHeaderBackup --header-backup-file luks_header.img /dev/sdb1
Резервную копию заголовка необходимо хранить в надёжном месте отдельно от зашифрованного устройства.
Восстановление заголовка:
# cryptsetup luksHeaderRestore --header-backup-file luks_header.img /dev/sdb1
ПРЕДУПРЕЖДЕНИЕ!
========
Устройство /dev/sdb1 уже содержит заголовок LUKS2. Замена заголовка уничтожит существующие слоты ключей.
Вы уверены? (введите «yes» заглавными буквами): YES
Восстановление заголовка заменит текущий заголовок заголовком из резервной копии. Ключевые слоты и парольные фразы будут восстановлены в состоянии, соответствующем резервной копии. Парольные фразы, добавленные после создания резервной копии, перестанут работать.
80.2. Шифрование пустого блочного устройства
В данном разделе описана процедура шифрования пустого блочного устройства.
Перед началом операции необходимо убедиться, что блочное устройство не содержит нужных данных. Инициализация устройства в формате LUKS2 уничтожит существующие данные. Для проверки наличия файловой системы на устройстве можно использовать команду
lsblk:
# lsblk -f
В примере ниже будет использоваться устройство
/dev/sdb1.
Для шифрования пустого блочного устройства необходимо:
Инициализировать устройство в формате LUKS2:
# cryptsetup luksFormat /dev/sdb1
ПРЕДУПРЕЖДЕНИЕ!
========
Данные на /dev/sdb1 будут перезаписаны без возможности восстановления.
Вы уверены? (введите «yes» заглавными буквами): YES
Введите парольную фразу для /dev/sdb1:
Парольная фраза повторно:
Инициализация устройства в формате LUKS2 уничтожит все данные на нём. Перед выполнением команды убедитесь, что устройство не содержит нужных данных.
Парольная фраза должна соответствовать требованиям к сложности паролей, установленным в системе. При несоответствии требованиям cryptsetup отклоняет парольную фразу и выводит сообщение об ошибке.
Открыть зашифрованное устройство:
# cryptsetup open /dev/sdb1 sdb1_encrypted
Введите парольную фразу для /dev/sdb1:
В результате выполнения данной команды появится новое блочное устройство
/dev/mapper/sdb1_encrypted.
Создать файловую систему на открытом устройстве:
# mkfs -t ext4 /dev/mapper/sdb1_encrypted
Внутри зашифрованного контейнера будет создана файловая система ext4.
Примонтировать зашифрованное устройство:
# mkdir /mnt/luks
# mount /dev/mapper/sdb1_encrypted /mnt/luks
Теперь каталог
/mnt/luks можно использовать для чтения и записи данных. Данные, записываемые в файловую систему, будут храниться на устройстве
/dev/sdb1 в зашифрованном виде.
Просмотр состояния открытого LUKS-устройства:
# cryptsetup status sdb1_encrypted
/dev/mapper/sdb1_encrypted is active and is in use.
type: LUKS2
cipher: aes-xts-plain64
keysize: 512 bits
key location: keyring
device: /dev/sdb1
sector size: 512
offset: 32768 sectors
size: 20936704 sectors
mode: read/write
Для закрытия зашифрованного устройства сначала отмонтируйте файловую систему, затем выполните команду:
# umount /mnt/luks
# cryptsetup close sdb1_encrypted
После закрытия зашифрованного устройства его можно снова разблокировать и смонтировать:
# cryptsetup open /dev/sdb1 sdb1_encrypted
# mount /dev/mapper/sdb1_encrypted /mnt/luks
Разблокировать и смонтировать зашифрованное устройство также можно с помощью команды
mount:
# mount /dev/sdb1 /mnt/luks
Password:
При выполнении команды система обнаружит зашифрованное устройство, запросит парольную фразу и после ее успешной проверки разблокирует и смонтирует файловую систему.
В результате в системе появится отображение зашифрованного устройства, например:
sdb
└─sdb1
└─_dev_sdb1 ... crypt /mnt/luks
При попытке монтирования закрытого устройства в файловом менеджере будет запрашиваться пароль:
80.3. Шифрование существующих данных на блочном устройстве с внешним заголовком
В данном подразделе описана процедура шифрования существующих данных на блочном устройстве с использованием LUKS2 и сохранением заголовка в отдельном файле.
Раздел /dev/sdb2 не должен содержать заголовок LUKS и будет использоваться для шифрования существующих данных.
Во время шифрования можно потерять данные из-за сбоев питания, оборудования, ядра или по ошибке пользователя. Настоятельно рекомендуется сделать резервную копию всех важных данных.
Для шифрования существующих данных на блочном устройстве необходимо:
Отмонтировать файловую систему на шифруемом разделе, например:
# umount /mnt/test
Инициализировать шифрование с использованием внешнего заголовка:
# cryptsetup reencrypt --encrypt --init-only --header /home/header /dev/sdb1 sdb1_encrypted
ПРЕДУПРЕЖДЕНИЕ!
========
Файл заголовка не существует, создать?
Вы уверены? (введите «yes» заглавными буквами): YES
Введите парольную фразу для /home/header:
Парольная фраза повторно:
Парольная фраза должна соответствовать требованиям к сложности паролей, установленным в системе. При несоответствии требованиям cryptsetup отклоняет парольную фразу и выводит сообщение об ошибке.
В результате выполнения команды будет создан внешний заголовок LUKS2, а устройство будет открыто через /dev/mapper/sdb1_encrypted для последующего шифрования данных.
Файл /home/header метаданные LUKS2 ключевые слоты, параметры шифрования, UUID и другие сведения, необходимые для доступа к данным. Для доступа к зашифрованным данным необходимо наличие этого файла.
Смонтировать открытое устройство:
# mount /dev/mapper/sdb1_encrypted /mnt/test
Возобновить шифрование данных:
# cryptsetup reencrypt --resume-only --header /home/header /dev/sdb1
Введите парольную фразу для /dev/sdb1:
Автоматически обнаруженное активное устройство dm «sdb1_encrypted» для устройства данных /dev/sdb1.
Выполнено, время 00м52с, 9 GiB записано, скорость 194,5 MiB/с
Проверить наличие заголовка LUKS2 и параметры шифрования можно командой:
# cryptsetup luksDump /home/header
В выводе команды отображается информация о заголовке LUKS2, ключевых слотах и параметрах шифрования.
Рекомендуется создать резервную копию внешнего заголовка и хранить ее отдельно от зашифрованного устройства:
# cp /home/header /root/luks-header-backup
Потеря внешнего заголовка приведет к потере доступа к зашифрованным данным.
Для закрытия устройства необходимо выполнить команды:
# umount /mnt/test
# cryptsetup close sdb1_encrypted
Поскольку для устройства используется внешний заголовок, для доступа к данным необходимо указать его с помощью параметра
--header:
# cryptsetup open --header /home/header /dev/sdb1 sdb1_encrypted
Введите парольную фразу для /dev/sdb1:
80.4. Использование TPM 2.0
Модуль доверенной платформы (TPM, Trusted Platform Module) — это международный стандарт защищённого криптопроцессора. TPM представляет собой специализированный микрочип, предназначенный для повышения уровня безопасности за счёт аппаратной изоляции и хранения криптографических ключей непосредственно в устройстве.
TPM поддерживается только на оборудовании, имеющем соответствующий чип. Если TPM не определяется системой, его может потребоваться включить в настройках UEFI/BIOS.
Для TPM 2.0 требуется загрузка в режиме UEFI. Режим Legacy/CSM может препятствовать корректной работе.
PCR (Platform Configuration Registers) — это 24 регистра в TPM, которые хранят хеши ключевых компонентов загрузочной цепочки (прошивка, загрузчик, ядро и т.д.).
Разблокировка возможна только если текущие значения PCR совпадают с теми, что были при привязке. Изменение любого из компонентов (например, обновление GRUB) изменит PCR — и TPM откажется расшифровать ключ.
Механизм работы LUKS2 с TPM:
На этапе настройки:
Генерируется временный ключ LUKS.
Ключ шифруется с помощью ключа, защищённого TPM, и сохраняется в заголовке LUKS.
Указывается политика PCR (например, 0+2+4+7).
Проверка поддержки TPM:
Просмотр журнала ядра:
# journalctl -k --grep=tpm
…
авг 14 15:14:12 host-200 kernel: ACPI: TPM2 0x0000000071592000 00004C (v04 _ASUS_ Notebook 00000001 AMI 00000000)
Проверка наличия устройства
/dev/tpm0:
# ls /dev/tpm0
Проверка работоспособности TPM:
Проверка версии TPM:
# tpm2_getcap properties-fixed
TPM2_PT_FAMILY_INDICATOR:
raw: 0x322E3000
value: "2.0"
…
Проверка доступности TPM:
# tpm2_pcrread
Если TPM отвечает и возвращает значения PCR, значит он активен и готов к использованию.
Чтение конкретного банка PCR:
# tpm2_pcrread sha256
sha256:
0 : 0xA40AFF58CB8F9C93CBF758194517846804AE1324D72BEAAD88FB096FB36CFE8C
1 : 0x4E5700BB7921018584DF1E990E21474AC1B1A2E9465A68273C3B718282571374
…
80.4.1. Создание зашифрованного раздела
Создание зашифрованного раздела:
Инициализировать LUKS2 на устройстве:
# cryptsetup luksFormat --type luks2 /dev/sdb1
Открыть зашифрованный раздел:
# cryptsetup open /dev/sdb1 sdb1_encrypted
Создать файловую систему:
# mkfs.ext4 /dev/mapper/sdb1_encrypted
Закрыть раздел:
# cryptsetup close sdb1_encrypted
80.4.2. Привязка тома LUKS к TPM 2.0
Привязка LUKS-раздела к TPM 2.0 без PIN (автоматическая разблокировка при старте):
Привязать LUKS2 к TPM2 (по умолчанию sha256, без указания PCR):
# systemd-cryptenroll --tpm2-device=auto /dev/sdb1
Please enter current passphrase for disk /dev/sdb1: ••••••••
New TPM2 token enrolled as key slot 1.
Или, указав PCR, которые будут использоваться для привязки ключа к состоянию BIOS/загрузчика:
# systemd-cryptenroll /dev/sdb1 --tpm2-device=auto --tpm2-pcrs=0,2,4,7
Please enter current passphrase for disk /dev/sdb1: ••••••••
New TPM2 token enrolled as key slot 1.
Наиболее распространённый набор PCR (0, 2, 4, 7) — проверяет и прошивку, и загрузчик, и Secure Boot.
Проверить, что ключ TPM добавлен:
# cryptsetup luksDump /dev/sdb1 | grep -i keyslot
Keyslots area: 16744448 [bytes]
Keyslots:
Keyslot: 1
Получить UUID зашифрованного диска:
# cryptsetup luksUUID /dev/sdb1
cec42bd7-861f-4993-92c6-42be634af1a5
Добавить запись в
/etc/crypttab, указав UUID диска:
sdb1_encrypted UUID=cec42bd7-861f-4993-92c6-42be634af1a5 none luks,discard
После выполнения этих настроек диск должен автоматически разблокироваться при старте, если TPM доступен.
Привязка LUKS-раздела к TPM 2.0 с PIN (добавляет второй фактор аутентификации):
Привязать LUKS2 к TPM2 (по умолчанию sha256, PCR не указываем):
# systemd-cryptenroll /dev/sdb1 \
--tpm2-device=auto \
--tpm2-pcrs=0+2+4+7 \
--tpm2-with-pin=yes
🔐 Please enter current passphrase for disk /dev/sdb1: ••••••••
🔐 Please enter TPM2 PIN: ••••••••
🔐 Please enter TPM2 PIN (repeat): ••••••••
New TPM2 token enrolled as key slot 1.
Проверить, что ключ TPM добавлен:
# cryptsetup luksDump /dev/sdb1 | grep -i keyslot
Keyslots area: 16744448 [bytes]
Keyslots:
Keyslot: 1
Получить UUID зашифрованного диска:
# cryptsetup luksUUID /dev/sdb1
cec42bd7-861f-4993-92c6-42be634af1a5
Добавить запись в
/etc/crypttab, указав UUID диска:
sdb1_encrypted UUID=cec42bd7-861f-4993-92c6-42be634af1a5 none luks,discard
При старте системы будет запрашиваться PIN, а TPM автоматически даст ключ только если PIN введён правильно.
80.4.3. Удаление токена с тома
Чтобы отключить автоматическую разблокировку зашифрованного раздела с помощью TPM 2.0, необходимо удалить TPM-токен и соответствующий слот ключа.
Перед выполнением данной процедуры необходимо убедиться в наличии другого способа разблокировки (например, резервного пароля), иначе доступ к данным будет невозможен.
Определить ID токена и номер слота:
# cryptsetup luksDump /dev/sdb1
Пример вывода:
…
Tokens:
0: systemd-tpm2
tpm2-hash-pcrs: 0+2+4+7
tpm2-pcr-bank: sha256
tpm2-primary-alg: ecc
tpm2-pin: true
Keyslot: 1
Здесь:
Удалить TPM-токен:
# cryptsetup token remove --token-id 0 /dev/sdb1
Эта команда удаляет токен из заголовка LUKS, отвязывая политику TPM (включая PCR, PIN и другие параметры).
Удалить ключевой слот:
# cryptsetup luksKillSlot /dev/sdb1 1
Эта команда удаляет сам ключевой слот, содержащий ключ, использовавшийся для разблокировки через TPM.
После этих процедур автоматическая разблокировка дисков с помощью TPM работать не будет.
Глава 81. Резервное копирование (Timeshift)
Timeshift — программа для автоматического периодического создания копий системы (снимков/snapshots).
Timeshift предназначен, прежде всего, для создания снимков системных файлов и настроек. Пользовательские данные по умолчанию не архивируются, поэтому в случае сбоя системы восстанавливаются системные файлы, а данные пользователей остаются в актуальном состоянии (конечно, если они не были повреждены).
Восстановление отдельных файлов не поддерживается — восстановление выполняется в соответствии с настройками Timeshift и применяется к системе целиком.
Должен быть установлен пакет
timeshift:
# apt-get install timeshift
Запустить
Timeshift можно из → → или из командной строки:
$ timeshift-launcher
Потребуется ввести пароль администратора.
При первом запуске будет запущен мастер установки. Запустить мастер установки или открыть окно настроек резервного копирования также можно, нажав соответствующую кнопку на панели инструментов в окне Timeshift:
По умолчанию Timeshift не удаляет снимки, созданные вручную или вне установленного расписания. Это может привести к заполнению дискового пространства. Чтобы избежать нехватки места, рекомендуется регулярно проверять и удалять старые точки восстановления.
81.1. Настройка резервного копирования
Особенности режима RSYNC:
снимки создаются путём копирования системных файлов при помощи rsync и создания жёстких ссылок на неизмененные файлы из предыдущего снимка;
все файлы копируются при создании первого снимка. Последующие снимки являются инкрементальными. Неизменённые файлы будут связаны с предыдущим снимком, если он доступен;
создание первого снимка может занять до 10 минут;
системный раздел может быть отформатирован в любой файловой системе. Резервный раздел может быть отформатирован в любой файловой системе Linux, поддерживающей жесткие ссылки. Сохранение снимков на несистемный или внешний диск позволяет восстановить систему, даже если системный диск повреждён;
можно задать исключения для файлов и каталогов для экономии дискового пространства;
систему необходимо перезагрузить после восстановления снимка.
Тип снимков RSYNC можно выбрать на вкладке окна настроек Timeshift (или на первом шаге работы мастера установки):
RSYNC снимки имеют большой размер, поэтому желательно хранить их на другом диске или разделе. По умолчанию снимки сохраняются в системном (корневом) разделе в каталоге /timeshift.
Выбрать место, где будут храниться снимки, можно на вкладке :
На вкладке следует выбрать уровни создания снимков (ежемесячно, еженедельно, ежедневно, ежечасно, при запуске) и указать количество сохраняемых снимков для каждого уровня:
Снимки уровня Запуск создаются при каждом запуске системы (с задержкой в 10 минут). Они выполняются в фоне и не влияют на скорость загрузки системы.
По умолчанию домашние каталоги пользователей не включаются в резервную копию. На вкладке можно изменить это поведение. Например, если выбрать опцию Включить только скрытые файлы, будет выполнено резервное копирование и восстановление скрытых файлов и каталогов в домашнем каталоге пользователя (эти каталоги содержат пользовательские файлы конфигурации):
На вкладке можно указать, какие файлы и каталоги следует включать или исключать из резервного копирования (динамические каталоги исключаются по умолчанию: /dev, /proc, …):
В данном примере из резервной копии будут исключены все файлы mp3, все системные журналы, кроме журналов веб-сервера Apache. Просмотреть итоговый список исключений можно, нажав кнопку Итог.
Отредактировать шаблон можно, дважды щелкнув левой кнопкой мыши по строке шаблона.
На вкладке можно выбрать формат даты:
Особенности режима BTRFS:
снимки создаются с использованием встроенных средств файловой системы BTRFS;
снимки создаются и восстанавливаются мгновенно (создание снимков — это атомарная транзакция на уровне файловой системы);
снимки восстанавливаются путём замены системных подразделов. Поскольку при создании снимков файлы не копируются и не перезаписываются, риск потери данных минимален. Существующая система сохраняется как новый снимок после восстановления;
снимки сохраняются на том же диске, с которого они созданы (системном диске). Хранение на других дисках не поддерживается. Если системный диск выйдет из строя, снимки, хранящиеся на нём, будут потеряны вместе с системой;
нет возможности исключать файлы и каталоги;
размер снимков BTRFS изначально равен нулю. При изменении системных файлов данные записываются в новые блоки данных, которые занимают дисковое пространство (копирование при записи). Файлы в снимке продолжают указывать на исходные блоки данных;
снимки можно восстановить без немедленной перезагрузки системы;
ОС должна быть установлена на раздел BTRFS с разбивкой на подразделы @ и @home. Другие виды разделов не поддерживаются.
Для установки ОС на раздел BTRFS с разбивкой на подразделы @ и @home на этапе
Подготовка диска можно выбрать профиль
Установка рабочей станции (совместима с Timeshift). При этом будут созданы:
Далее установить систему как обычно.
Тип снимков BTRFS можно выбрать на вкладке окна настроек Timeshift (или на первом шаге работы мастера установки):
Снимки BTRFS сохраняются в системном разделе. Другие разделы не поддерживаются:
На вкладке следует выбрать уровни создания снимков (ежемесячно, еженедельно, ежедневно, ежечасно, при запуске) и указать количество сохраняемых снимков для каждого уровня:
По умолчанию домашние каталоги пользователей не включаются в резервную копию. На вкладке можно изменить это поведение и включить подраздел @home в создаваемые снимки:
Если в подразделе @home существует активный swap-файл, то для создания снимка потребуется предварительно отключить swap:
# swapoff /home/swap
На вкладке можно выбрать формат даты:
Снимки будут создаваться автоматически согласно настроенному расписанию.
Для создания снимка в ручном режиме следует нажать кнопку Создать на панели инструментов. Пример создания снимка в режиме RSYNC:
81.3. Восстановление системы
Снимки можно восстановить как из работающей системы (оперативное восстановление), так и из другой системы, на которой установлен Timeshift (автономное восстановление).
Для восстановления снимка следует выбрать снимок в главном окне и нажать кнопку Восстановить.
При восстановлении снимка в режиме RSYNC после нажатия кнопки Восстановить можно выбрать устройство, куда будут восстановлены файлы, указать, нужно ли переустанавливать GRUB (кнопка Настройки загрузчика (дополнительные)):
На следующем шаге будут показаны файлы, которые будут созданы/восстановлены/удалены в процессе восстановления снимка (только в режиме RSYNC):
Если основная система не загружается, можно загрузиться с установочного носителя в режиме LiveCD, установить и запустить Timeshift, на вкладке указать расположение снимков и восстановить снимок в основной системе:
81.4. Работа с Timeshift в командной строке
Одновременно может работать только один экземпляр Timeshift, поэтому для работы с Timeshift из командной строки необходимо закрыть окно программы Timeshift.
Вывод справки о команде:
$ timeshift
Просмотр списка снимков:
# timeshift --list
Пример вывода:
Mounted '/dev/sda3' (subvolid=0) at '/run/timeshift/3302/backup'
btrfs: Quotas are not enabled
Device : /dev/sda3
UUID : b32347d6-a2fd-427a-9c84-4a2d246333a3
Path : /run/timeshift/3302/backup
Mode : BTRFS
Status : OK
3 snapshots, 16.1 GB free
Num Name Tags Description
------------------------------------------------------------------------------
0 > 2026-11-09_16-47-33 O ALT Workstation K 11.5 (Nemorosa) installed
1 > 2026-11-10_11-28-17 O Before Offline Update
2 > 2026-11-10_14-35-07 D after update
Пример создания снимка (в режиме RSYNC):
# timeshift --create --comments "after update" --tags D
Пример вывода:
Mounted '/dev/sdb1' at '/run/timeshift/3947/backup'
------------------------------------------------------------------------------
Estimating system size...
Creating new snapshot...(RSYNC)
Saving to device: /dev/sdb1, mounted at path: /run/timeshift/3947/backup
Linking from snapshot: 2026-11-11_14-04-07
Syncing files with rsync...
Created control file: /run/timeshift/3947/backup/timeshift/snapshots/2026-11-11_14-38-48/info.json
RSYNC Snapshot saved successfully (14s)
Tagged snapshot '2026-11-11_14-38-48': ondemand
------------------------------------------------------------------------------
Пример создания снимка (в режиме BTRFS):
# timeshift --create --comments "after update" --tags D
Пример вывода:
Using system disk as snapshot device for creating snapshots in BTRFS mode
Mounted '/dev/sda3' (subvolid=0) at '/run/timeshift/3268/backup'
btrfs: Quotas are not enabled
Creating new backup...(BTRFS)
Saving to device: /dev/sda3, mounted at path: /run/timeshift/3268/backup
Created directory: /run/timeshift/3268/backup/timeshift-btrfs/snapshots/2026-11-12_14-35-07
Created subvolume snapshot: /run/timeshift/3268/backup/timeshift-btrfs/snapshots/2026-11-12_14-35-07/@
Created control file: /run/timeshift/3268/backup/timeshift-btrfs/snapshots/2026-11-12_14-35-07/info.json
BTRFS Snapshot saved successfully (0s)
Tagged snapshot '2026-11-12_14-35-07': ondemand
------------------------------------------------------------------------------
Создание снимка, если он запланирован (есть в расписании):
# timeshift --check
Восстановить снимок (параметры будут запрошены в интерактивном режиме):
# timeshift --restore
Восстановить снимок:
# timeshift --restore --snapshot '2026-11-12_14-35-07'
Восстановить определённый снимок в указанный раздел:
# timeshift --restore --snapshot '2026-11-09_16-47-33' --target /dev/sda3
Удалить снимок:
# timeshift --delete --snapshot '2026-11-10_11-28-17'
Если основная система не загружается, следует загрузиться в режиме восстановления и выполнить следующие действия (на примере режима RSYNC):
Установить
timeshift:
# apt-get update && apt-get install timeshift
Просмотреть список снимков на устройстве:
# timeshift --list --snapshot-device /dev/sdb1
Запустить восстановление:
# timeshift --restore \
--snapshot-device /dev/sdb1 \
--snapshot '2026-11-12_14-04-07' \
--target /dev/sda3 \
--grub-device /dev/sda
Глава 82. Создание SSH-туннелей с использованием российских криптографических алгоритмов
Пакет openssh-gostcrypto содержит сборку OpenSSH с поддержкой российских криптографических алгоритмов, в том числе блочных шифров «Кузнечик» и «Магма» (ГОСТ Р 34.12-2015), хеш-функции «Стрибог» (ГОСТ Р 34.11-2012) и механизмов формирования кодов аутентификации сообщений (HMAC) на ее основе.
Для установки пакетов gostcrypto в список источников пакетов должен быть добавлен репозиторий gostcrypto.
Пакеты необходимо установить как на сервере, так и на клиенте.
Установите пакеты
openssh-gostcrypto,
openssh-clients-gostcrypto,
openssh-server-gostcrypto,
openssh-server-control-gostcrypto,
openssh-common-gostcrypto,
openssh-askpass-common-gostcrypto:
# apt-get install openssh-gostcrypto openssh-clients-gostcrypto openssh-server-gostcrypto openssh-server-control-gostcrypto openssh-common-gostcrypto openssh-askpass-common-gostcrypto
Чтение списков пакетов... Завершено
Построение дерева зависимостей... Завершено
Следующие пакеты будут УДАЛЕНЫ:
openssh openssh-askpass-common openssh-clients openssh-common openssh-server openssh-server-control
Следующие НОВЫЕ пакеты будут установлены:
openssh-askpass-common-gostcrypto openssh-common-gostcrypto openssh-server-control-gostcrypto
openssh-clients-gostcrypto openssh-gostcrypto openssh-server-gostcrypto
ВНИМАНИЕ: Будут удалены важные для работы системы пакеты
Обычно этого делать не следует. Вы должны точно понимать возможные последствия!
openssh-server openssh-server-control (по причине openssh-server)
0 будет обновлено, 6 новых установлено, 6 пакетов будет удалено и 3 не будет обновлено.
Необходимо получить 1532kB архивов.
После распаковки потребуется дополнительно 16,4kB дискового пространства.
Вы делаете нечто потенциально опасное!
Введите фразу 'Yes, do as I say!' чтобы продолжить.
Yes, do as I say!
При выполнении этой команды вместо обычного запроса подтверждения Y/n будет выведено предупреждение с требованием ввести фразу 'Yes, do as I say!' для продолжения установки. Это происходит потому, что заменяются критически важные с точки зрения APT пакеты. Если вы согласны с заменой, введите фразу Yes, do as I say! и нажмите Enter.
Список поддерживаемых алгоритмов шифрования можно просмотреть с помощью команды:
$ ssh -Q cipher
3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
grasshopper-cbc@altlinux.org
grasshopper-ctr@altlinux.org
magma-cbc@altlinux.org
magma-ctr@altlinux.org
chacha20-poly1305@openssh.com
Список поддерживаемых кодов аутентификации сообщений (MAC) можно просмотреть с помощью команды:
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
grasshopper-mac@altlinux.org
hmac-gostr3411-2012-256@altlinux.org
hmac-streebog-256@altlinux.org
hmac-gostr3411-2012-512@altlinux.org
hmac-streebog-512@altlinux.org
hmac-gostr3411-2012-256-etm@altlinux.org
hmac-streebog-256-etm@altlinux.org
hmac-gostr3411-2012-512-etm@altlinux.org
hmac-streebog-512-etm@altlinux.org
82.2. Настройка сервера SSH
Для использования российских криптографических алгоритмов в SSH-сеансах необходимо настроить алгоритмы шифрования и контроля целостности передаваемых данных.
Для шифрования трафика с использованием блочного шифра «Кузнечик» в файл
/etc/openssh/sshd_config необходимо добавить:
Ciphers grasshopper-ctr@altlinux.org
Для контроля целостности передаваемых данных с использованием российских криптографических алгоритмов необходимо добавить в файл
/etc/openssh/sshd_config параметр
MACs:
MACs grasshopper-mac@altlinux.org,hmac-streebog-512@altlinux.org
Параметры задают список допустимых алгоритмов в порядке предпочтения.
После изменения конфигурации необходимо перезапустить службу sshd:
# systemctl restart sshd
82.3. Подключение к серверу SSH
Для подключения к серверу с использованием российских криптографических алгоритмов можно указать их непосредственно в команде:
$ ssh <пользователь>@<сервер> -oCiphers=grasshopper-ctr@altlinux.org -oMACs=grasshopper-mac@altlinux.org,hmac-streebog-512@altlinux.org
Для проверки подключения можно создать SSH-туннель, перенаправив локальный порт на порт SSH-сервера:
$ ssh <пользователь>@<сервер> -oCiphers=grasshopper-ctr@altlinux.org -oMACs=grasshopper-mac@altlinux.org,hmac-streebog-512@altlinux.org -L 127.0.0.1:2222:127.0.0.1:22
Затем в другом окне терминала подключитесь к серверу через созданный туннель:
$ ssh <пользователь>@127.0.0.1 -p 2222 -oCiphers=grasshopper-ctr@altlinux.org -oMACs=grasshopper-mac@altlinux.org,hmac-streebog-512@altlinux.org
Чтобы не указывать алгоритмы при каждом подключении, их можно задать в конфигурации SSH-клиента.
Настройки клиентской части SSH делятся на глобальные и пользовательские. Глобальные настройки находятся в файле /etc/openssh/ssh_config и применяются ко всем пользователям системы. Пользовательские настройки находятся в файле ~/.ssh/config (в домашнем каталоге пользователя) и применяются только к этому пользователю.
Например, в конец файла
/etc/openssh/ssh_config можно добавить следующие параметры:
Ciphers grasshopper-ctr@altlinux.org
MACs grasshopper-mac@altlinux.org,hmac-streebog-512@altlinux.org
Теперь можно подключиться к серверу, выполнив команду:
$ ssh <пользователь>@<сервер>
При применении настроек SSH приоритет имеют параметры, указанные в командной строке. Если параметр не задан в командной строке, используется его значение из пользовательской конфигурации. Если параметр не задан и там, применяется значение из глобальной конфигурации.
Для проверки используемых при подключении алгоритмов можно использовать параметр
-v, включающий вывод отладочной информации:
$ ssh -v <пользователь>@<сервер>
В выводе будут указаны согласованные алгоритмы, например:
debug1: kex: server->client cipher: grasshopper-ctr@altlinux.org MAC: grasshopper-mac@altlinux.org compression: none
debug1: kex: client->server cipher: grasshopper-ctr@altlinux.org MAC: grasshopper-mac@altlinux.org compression: none
Глава 83. Двухфакторная аутентификация с использованием токенов
В Альт Рабочая станция K возможно настроить двухфакторную аутентификацию с использованием токенов.
В данном разделе рассматривается пример настройки двухфакторной аутентификации с использованием Рутокен ЭЦП.
Для работы с токенами необходимо установить следующие дополнительные пакеты:
# opensc pcsc-lite pam_pkcs11 librtpkcs11ecp pcsc-lite-ccid libp11 nss-utils
На токене должны присутствовать ключевая пара и сертификат.
Генерация ключевой пары и сертификата:
Запустить службу поддержки смарт-карт и убедиться, что она работает:
# systemctl start pcscd
# systemctl status pcscd
Проверить подключение токена:
$ pcsc_scan -r
0: Aktiv Rutoken ECP 00 00
Cгенерировать ключевую пару на токене:
$ pkcs11-tool --module /usr/lib64/librtpkcs11ecp.so \
--login --pin <PIN> --keypairgen \
--key-type rsa:2048 --id 1111 --label myrsa
Проверить создание ключа:
$ pkcs11-tool --module /usr/lib64/librtpkcs11ecp.so --list-objects
Сгенерировать сертификат:
$ openssl req -new -x509 -engine pkcs11 \
-keyform engine -key 1111 -out CA.pem \
-subj "/C=RU/O=MyOrg/CN=MyToken" -text
Engine "pkcs11" set.
Enter PKCS#11 token PIN for RutokenECP:
где:
-engine pkcs11 — указывает, что используется PKCS#11 (токен);
-key 1111 — идентификатор ключа;
-subj — задаёт данные субъекта сертификата (страна, организация и т. д.).
Если возникает ошибка загрузки движка PKCS#11, необходимо проверить его наличие:
$ openssl engine -t pkcs11
Если движок не найден, нужно указать путь явно:
$ openssl engine -t \
-pre SO_PATH:/usr/lib64/openssl/engines-3/libpkcs11.so \
-pre MODULE_PATH:/usr/lib64/librtpkcs11ecp.so
Проверить сертификат:
$ openssl x509 -in CA.pem -noout -text
Записать сертификат на токен:
$ pkcs11-tool --module /usr/lib64/librtpkcs11ecp.so \
--login --pin <PIN> --write-object CA.pem \
--type cert --id 1111 --label "myrsa"
Using slot 0 with a present token (0x0)
Created certificate:
Certificate Object; type = X.509 cert
label: myrsa
subject: DN: C=RU, O=MyOrg, CN=MyToken
serial: 4EB5EB8617FA76C71B9616CEA4EBEC8BBA9D3FDF
ID: 1111
83.2. Настройка компьютера для двухфакторной аутентификации
Настройка компьютера для двухфакторной аутентификации:
Внести изменения в файл
/etc/security/pam_pkcs11/pam_pkcs11.conf:
закомментировать строку:
# use_pkcs11_module = opensc;
ниже закомментированной строки добавить строку
use_pkcs11_module = rutoken; и описание модуля rutoken:
use_pkcs11_module = rutoken;
pkcs11_module rutoken {
ca_dir = /etc/security/pam_pkcs11/cacerts;
crl_dir = /etc/security/pam_pkcs11/crls;
module = /usr/lib64/librtpkcs11ecp.so;
cert_policy = subject;
description = "Rutoken ECP";
slot_description = "none";
}
значение
use_mappers привести к виду:
use_mappers = digest, cn, pwent, uid, mail, subject, null, opensc;
Добавить службу поддержки смарт-карт в автозапуск и запустить её:
# systemctl enable --now pcscd
Установить сертификат УЦ:
# cp CA.pem /etc/security/pam_pkcs11/cacerts/
$ certutil -A -n 'Root CA' -t 'CT,C,C' -a -d /etc/pki/nssdb/ -i ./CA.pem
Добавьте сертификат для пользователя:
$ mkdir /home/user/.eid/
$ cat CA.pem > /home/user/.eid/authorized_certificates
Включите аутентификацию по токену:
# control system-auth pkcs11
Пользователь при входе в систему должен подключить токен, указать свой логин и ввести PIN-код токена:
Для возврата к аутентификации по паролю необходимо выполнить команду:
# control system-auth local
Глава 84. Создание защищенных VPN-туннелей, использующих контроль заголовков IP-пакетов в соответствии с ГОСТ Р 34.12-2015
Выбрать алгоритмы шифрования и алгоритмы хеширования:
На стороне клиента необходимо указать те же алгоритмы шифрования, что и на стороне сервера:
Проверка подключения на стороне сервера:
# journalctl -f| grep openvpn
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 VERIFY OK: depth=1, C=RU, O=basealt, OU=basealt Certification Authority, CN=basealt Root Certification Authority
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 VERIFY OK: depth=0, C=RU, CN=vpngostclient1
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 peer info: IV_VER=2.6.19
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 peer info: IV_PLAT=linux
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 peer info: IV_TCPNL=1
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 peer info: IV_MTU=1600
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 peer info: IV_CIPHERS=kuznyechik-cbc
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 peer info: IV_PROTO=990
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 peer info: IV_LZO_STUB=1
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 peer info: IV_COMP_STUB=1
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 peer info: IV_COMP_STUBv2=1
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 TLS: move_session: dest=TM_ACTIVE src=TM_INITIAL reinit_src=1
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 TLS: tls_multi_process: initial untrusted session promoted to trusted
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 Control Channel: TLSv1.3, cipher TLSv1.3 TLS_AES_256_GCM_SHA384, peer certificate: 2048 bits RSA, signature: RSA-SHA256, peer temporary key: 253 bits X25519
июн 18 23:24:03 newhost openvpn[153284]: 192.168.0.126:52316 [vpngostclient1] Peer Connection Initiated with [AF_INET]192.168.0.126:52316
июн 18 23:24:03 newhost openvpn[153284]: vpngostclient1/192.168.0.126:52316 MULTI_sva: pool returned IPv4=10.8.0.18, IPv6=(Not enabled)
июн 18 23:24:03 newhost openvpn[153284]: vpngostclient1/192.168.0.126:52316 MULTI: Learn: 10.8.0.18 -> vpngostclient1/192.168.0.126:52316
июн 18 23:24:03 newhost openvpn[153284]: vpngostclient1/192.168.0.126:52316 MULTI: primary virtual IP for vpngostclient1/192.168.0.126:52316: 10.8.0.18
июн 18 23:24:03 newhost openvpn[153284]: vpngostclient1/192.168.0.126:52316 SENT CONTROL [vpngostclient1]: 'PUSH_REPLY,route 192.168.0.0 255.255.255.0,route 10.8.0.0 255.255.255.0,topology net30,ping 10,ping-restart 120,ifconfig 10.8.0.18 10.8.0.17,peer-id 0,cipher kuznyechik-cbc,protocol-flags cc-exit tls-ekm dyn-tls-crypt,tun-mtu 1500' (status=1)
июн 18 23:24:04 newhost openvpn[153284]: vpngostclient1/192.168.0.126:52316 Data Channel: cipher 'kuznyechik-cbc', auth 'id-GostR3411-94', peer-id: 0
июн 18 23:24:04 newhost openvpn[153284]: vpngostclient1/192.168.0.126:52316 Timers: ping 10, ping-restart 240
июн 18 23:24:04 newhost openvpn[153284]: vpngostclient1/192.168.0.126:52316 Protocol options: protocol-flags cc-exit tls-ekm dyn-tls-crypt
84.2. Настройка в командной строке
84.2.1. Создание ключей для OpenVPN-туннеля средствами утилиты openssl
Для генерации всех необходимых ключей и сертификатов необходимо выполнить следующие действия:
Изменить значение параметра
policy в файле
/var/lib/ssl/openssl.cnf для возможности подписывать любые сертификаты:
policy = policy_anything
Создать каталоги:
# mkdir -p /root/CA/demoCA
# cd /root/CA
# mkdir -p ./demoCA/newcerts
Создать файл базы для выданных и отозванных сертификатов:
# touch ./demoCA/index.txt
Создать файл следующего серийного номера сертификата:
# echo '01' > ./demoCA/serial
Создать файл с начальным номером списка отозванных сертификатов (CRL):
# echo '01' > ./demoCA/crlnumber
Создать «самоподписанный» сертификат
ca-root.crt и закрытый ключ
ca-root.key, которыми будут заверяться/подписываться ключи и сертификаты клиентов:
# openssl req -new -x509 -days 3650 -keyout ca-root.key -out ca-root.crt
Ввести пароль для закрытого ключа и ответить на запросы о владельце ключа.
Создать пару «ключ-сертификат» для сервера и каждого клиента. Для этого сначала сгенерировать ключ и запрос на сертификат для сервера:
# openssl req -new -nodes -nodes -x509 -keyout server.key -out server.csr
Подписать запрос на сертификат своим «самоподписанным» сертификатом
ca-root.crt и ключом
ca-root.key:
# openssl ca -cert ca-root.crt -keyfile ca-root.key -days 3650 -in server.csr -out server.crt
Сгенерировать ключ и запрос на сертификат для клиента:
# openssl req -new -nodes -keyout client.key -out client.csr
Подписать клиентский сертификат:
# openssl ca -cert ca-root.crt -keyfile ca-root.key -days 365 -in client.csr -out client.crt
Задать параметры Диффи-Хеллмана для сервера:
# openssl dhparam -out server.dh 2048
Разместить ключи и сертификаты в каталогах сервера и клиента следующим образом:
ca-root.key — используется только для подписи сертификатов (рекомендуется хранить его на отдельном от OpenVPN-сервера компьютере);
ca-root.crt, server.crt, server.dh, server.key — для сервера OpenVPN;
ca-root.crt, client.crt, client.key — для клиента OpenVPN.
Для новых клиентов следует создавать новые ключи и передавать комплект: ca-root.crt, новый_сертификат.crt, новый_ключ.key.
Для создания списка отзыва сертификатов (CRL) необходимо выполнить следующие действия:
Сформировать начальный список:
# openssl ca -cert ca-root.crt -keyfile ca-root.key -gencrl -out crl.pem
Отозвать сертификат:
# openssl ca -cert ca-root.crt -keyfile ca-root.key -revoke <сертификат>.crt
Обновить список (обязательно после каждого отзыва сертификата):
# openssl ca -cert ca-root.crt -keyfile ca-root.key -gencrl -out crl.pem
Просмотреть список:
# openssl crl -noout -text -in crl.pem
Поместить файл crl.pem в каталог /var/lib/openvpn.
Для работы со списком отозванных сертификатов OpenVPN должен быть настроен на его проверку. Это достигается добавлением в конфигурацию сервера директивы:
crl-verify /var/lib/openvpn/crl.pem
При включённой проверке CRL сертификаты всех подключающихся клиентов будут проверяться по списку отозванных сертификатов, и любое положительное совпадение приведёт к разрыву соединения.
84.2.2. Настройка сервера OpenVPN
Файл конфигурации должен быть размещен в /etc/openvpn/, ключи — в /etc/openvpn/keys, файлы настроек клиентов — в /etc/openvpn/ccd/ или /var/lib/openvpn/etc/openvpn/ccd/.
Ранее созданные ключи и сертификаты необходимо перенести в каталог /etc/openvpn/keys/.
Важно правильно настроить права доступа:
Каждый файл конфигурации по маске /etc/openvpn/*.conf является конфигурацией отдельного экземпляра демона openvpn.
Для настройки OpenVPN-сервера можно использовать образец файла конфигурации OpenVPN. Для этого следует скопировать файл /usr/share/doc/openvpn-2.6.19/server.conf в каталог /etc/openvpn/ (номер версии в названии каталога может отличаться).
В файле конфигурации должны быть указаны следующие параметры:
ifconfig-pool-persist и status — без полного пути или с путём /cache/;
ca, dh, cert, key — с путём /etc/openvpn/keys/;
client-config-dir /etc/openvpn/ccd.
Пример конфигурации (
/etc/openvpn/server.conf):
port 1194
proto udp
dev tun
ca /etc/openvpn/keys/ca-root.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key
dh /etc/openvpn/keys/server.dh
comp-lzo
server 10.8.0.0 255.255.255.0
#tls-server
user openvpn
group openvpn
ifconfig-pool-persist server_ipp.txt
keepalive 10 120
client-config-dir /etc/openvpn/ccd
persist-key
persist-tun
client-to-client
script-security 2
tmp-dir /tmp
status openvpn-status.log
verb 3
tls-cipher LEGACY-GOST2012-GOST8912-GOST8912
data-ciphers kuznyechik-cbc
auth id-GostR3411-94
# Server networks start
push "route 192.168.0.0 255.255.255.0"
# Server networks end
push "dhcp-option DNS 192.168.0.32"
Запуск сервера OpenVPN:
# openvpn /etc/openvpn/server.conf
84.2.3. Настройка VPN-подключения по протоколу OpenVPN в Network Manager
Для настройки VPN-подключения по протоколу OpenVPN в
Network Manager следует выполнить следующие действия:
Добавить новое сетевое соединение (кнопка Добавить новое соединение):
В списке выбора типа соединения выбрать пункт OpenVPN и нажать кнопку Создать:
Если имеется файл конфигурации клиента, в списке выбора типа соединения можно выбрать пункт Импортировать VPN-соединение… и указать этот файл, параметры соединения будут настроены согласно этому файлу.
Указать IP-адрес OpenVPN сервера, сертификат центра сертификации, приватный ключ и сертификат пользователя:
Нажать кнопку Дополнительно чтобы указать параметры подключения. На вкладке Общее можно выбрать тип виртуального устройства и указать, нужно ли использовать сжатие:
На вкладке Защита необходимо указать алгоритм шифрования:
Сохранить сделанные изменения, нажав кнопку ОК, и затем Сохранить. Будет предложено ввести пароль суперпользователя для сохранения изменений.
Задать криптографические параметры, отредактировав файл подключения
/etc/NetworkManager/system-connections/<name_vpn_network> и добавив в раздел
[vpn] строки:
data-ciphers=kuznyechik-cbc
auth=id-GostR3411-94
tls-cipher=LEGACY-GOST2012-GOST8912-GOST8912
Или выполнить команды:
# nmcli connection modify <name_vpn_network> +vpn.data data-ciphers=kuznyechik-cbc
# nmcli connection modify <name_vpn_network> +vpn.data auth=id-GostR3411-94
# nmcli connection modify <name_vpn_network> +vpn.data tls-cipher=LEGACY-GOST2012-GOST8912-GOST8912
Перезапустить службу
NetworkManager:
# systemctl restart NetworkManager
Выполнить подключение из меню :
Настройка OpenVPN-клиента в командной строке:
Скопируйте пример конфигурации /usr/share/doc/openvpn-2.6.19/client.conf в каталог /etc/openvpn/;
Скопируйте ранее сгенерированные ключи и сертификаты в каталог /etc/openvpn/keys/ и укажите их в /etc/openvpn/client.conf;
Отредактируйте файл
/etc/openvpn/client.conf, указав IP-адрес OpenVPN-сервера и приведя другие параметры в соответствие с настройками сервера, например:
client
dev tun
proto udp
remote 192.168.0.53 1194
resolv-retry infinite
nobind
user openvpn
group openvpn
persist-key
persist-tun
pull
redirect-gateway def1
route-metric 50
ca /etc/openvpn/keys/ca-root.crt
cert /etc/openvpn/keys/client.crt
key /etc/openvpn/keys/client.key
#remote-cert-tls server
comp-lzo
verb 3
script-security 2
tmp-dir /tmp
data-ciphers kuznyechik-cbc
tls-cipher LEGACY-GOST2012-GOST8912-GOST8912
auth id-GostR3411-94
Запустите клиент OpenVPN:
# openvpn /etc/openvpn/client.conf
Глава 85. Поддержка файловых систем
Файловая система представляет собой набор правил, определяющих способ хранения и извлечения данных на устройстве.
В Альт Рабочая станция K поддерживаются следующие файловые системы:
ext2 — нежурналируемая файловая система; относительно проста в восстановлении, но требует относительно длительной проверки целостности после сбоя питания или аварийного завершения работы системы. Может использоваться для /boot или разделов, смонтированных в режиме «только для чтения»;
ext3 — журналируемая и достаточно надёжная файловая система со средней производительностью;
ext4 — журналируемая файловая система, логическое продолжение ext3, позволяет отключить журналирование;
btrfs — поддерживает снимки (копии файловой системы на определенный момент времени), сжатие и подтома;
iso9660 — файловая система ISO 9660, используемая для дисков с данными;
Файловые системы FAT16, FAT32 и NTFS поддерживаются в установленной системе, но не используются для установки на них Linux.
Для проверки поддержки файловых систем ext2, ext3, ext4, iso9660, FAT16, FAT32, NTFS и Btrfs необходимо:
Создать на USB-накопителе раздел размером менее 4 Гбайт (например, /dev/vdс1)).
Для создания файловой системы FAT16 необходимо использовать раздел подходящего размера. Если размер раздела превышает допустимый для FAT16, команда mkfs.fat -F 16 завершится ошибкой. Поэтому для проверки поддержки FAT16 следует создать отдельный раздел, размер которого соответствует ограничениям этой файловой системы (например, 512 Мбайт).
Для создания ISO-файла установить пакет
genisoimage:
# apt-get install genisoimage
Создать каталог
/mnt/filesystem, в который будет монтироваться раздел:
# mkdir /mnt/filesystem
Отформатировать раздел в проверяемую файловую систему:
для ext2:
# mkfs.ext2 /dev/vdc1
для ext3:
# mkfs.ext3 /dev/vdc1
для ext4:
# mkfs.ext4 /dev/vdc1
для FAT16:
# mkfs.fat -F 16 /dev/vdc1
для FAT32:
# mkfs.fat -F 32 /dev/vdc1
для NTFS:
# mkfs.ntfs /dev/vdc1
для Btrfs (должен быть установлен пакет
btrfs-progs):
# mkfs.btrfs /dev/vdc1
для ISO 9660 создать ISO-файл из каталога
/etc:
# mkisofs -r -jcharset koi8-r -o /root/cd.iso /etc
Для проверки поддержки файловых системext2, ext3, ext4, FAT16, FAT32, NTFS и Btrfs:
примонтировать раздел с файловой системой в каталог
/mnt/filesystem:
# mount /dev/vdc1 /mnt/filesystem
проверить возможность записи файла в файловую систему:
# echo test_content > /mnt/filesystem/test.fs
- проверить наличие созданного файла:
# ls -l /mnt/filesystem/test.fs
-rw-r--r--. 1 root root 13 май 23 20:10 /mnt/filesystem/test.fs
проверить возможность чтения файла:
# cat /mnt/filesystem/test.fs
Для проверки поддержки файловой системы ISO 9660 смонтировать созданный ISO-файл в каталог
/mnt/filesystem/ (файл диска будет смонтирован в режиме «только для чтения»):
# mount -o loop,ro /root/cd.iso /mnt/filesystem/
Для просмотра смонтированных файловых систем можно воспользоваться командой
df:
$ df -Th | grep "^/dev"
или командой
lsblk:
$ lsblk -f
Команда
fsck позволяет определить файловую систему раздела, который ещё не примонтирован:
# fsck -N /dev/sdc1
fsck из util-linux 2.39.2
[/sbin/fsck.xfs (1) -- /dev/sdc1] fsck.xfs /dev/sdc1
Глава 86. Поддержка сетевых протоколов
Samba — пакет программ, которые позволяют обращаться к сетевым дискам и принтерам на различных операционных системах по протоколу SMB/CIFS. Имеет клиентскую и серверную части.
86.1.1. Создание ресурсов общего доступа от имени обычного пользователя
86.1.2. Автоподключение сетевых ресурсов Samba
Подключение к NFS-серверу можно производить как вручную, так и настроив автоматическое подключение при загрузке.
Для ручного монтирования необходимо:
создать точку монтирования:
# mkdir /mnt/nfs
примонтировать файловую систему:
# mount -t nfs 192.168.0.218:/home /mnt/nfs
где 192.168.0.218 — IP адрес сервера NFS; /mnt/nfs — локальный каталог куда монтируется удалённый каталог;
проверить наличие файлов в
/mnt/nfs:
# ls -al /mnt/nfs
Должен отобразиться список файлов каталога
/home расположенного на сервере NFS.
Для автоматического монтирования к NFS-серверу при загрузке необходимо добавить следующую строку в файл
/etc/fstab:
192.168.0.218:/home /mnt/nfs nfs intr,soft,nolock,_netdev,x-systemd.automount 0 0
Прежде чем изменять /etc/fstab, попробуйте смонтировать вручную и убедитесь, что всё работает.
86.3.1. Настройка сервера FTP
Установить пакеты
vsftpd и
anonftp:
# apt-get install vsftpd anonftp
Изменить настройку прав доступа в файле
/etc/vsftpd.conf:
local_enable=YES
chroot_local_user=YES
local_root=/var/ftp/
Запустить vsftpd:
# systemctl start vsftpd.service
Убедиться в нормальной работе FTP-сервера:
# netstat -ant | grep 21
tcp 0 0 0.0.0.0:21 0.0.0.0:* LISTEN
FTP-сервер запущен и принимает соединения на 21 порту.
Создать файл в каталоге
/var/ftp/:
# echo "vsftpd test file" > /var/ftp/test.txt
86.3.2. Подключение рабочей станции
Создать подключение по протоколу FTP в графической среде
KDE можно в файловом менеджере. Для этого следует нажать
Ctrl+
l, указать в адресной строке протокол и адрес сервера (
ftp://<имя_сервера>) и нажать клавишу
Enter:
Должен отобразиться список файлов каталога
/var/ftp/, расположенного на сервере FTP:
86.4.1. Настройка сервера NTP
В качестве NTP сервера/клиента используется сервер времени chrony:
chronyd — демон, работающий в фоновом режиме. Он получает информацию о разнице системных часов и часов внешнего сервера времени и корректирует локальное время. Демон реализует протокол NTP и может выступать в качестве клиента или сервера.
chronyc — утилита командной строки для контроля и мониторинга программы. Утилита используется для тонкой настройки различных параметров демона, например, позволяет добавлять или удалять серверы времени.
Выполнить настройку NTP-сервера можно следующими способами:
В ЦУС настроить модуль
Дата и время на получение точного времени с NTP сервера и работу в качестве NTP-сервера и нажать кнопку
Применить:
Указать серверы NTP в директиве server или pool в файле конфигурации NTP
/etc/chrony.conf:
allow all #Разрешить NTP-клиенту доступ из локальной сети
pool pool.ntp.org iburst #параметр iburst используется для ускорения начальной синхронизации
и перезапустить сервис командой:
# systemctl restart chronyd
Убедиться в нормальной работе NTP-сервера, выполнив команду:
# systemctl status chronyd.service
86.4.2. Настройка рабочей станции
Настроить модуль
Дата и время на получение точного времени с NTP-сервера (в качестве NTP-сервера указать IP-адрес сервера NTP) и нажать кнопку
Применить:
Проверить текущие источники времени:
$ chronyc sources
MS Name/IP address Stratum Poll Reach LastRx Last sample
===============================================================================
^? 192.168.0.106 3 8 0 23m +396us[ -803us] +/- 55ms
Проверить статус источников NTP:
$ chronyc activity
200 OK
1 sources online
0 sources offline
0 sources doing burst (return to online)
0 sources doing burst (return to offline)
0 sources with unknown address
86.5.1. Настройка сервера HTTP
Установить пакет
apache2-base:
# apt-get install apache2-base
Запустить httpd2:
# systemctl start httpd2
Убедиться, что служба httpd2 запущена:
# systemctl status httpd2
Создать стартовую страницу для веб-сервера:
# echo "Hello, World" >/var/www/html/index.html
86.5.2. Настройка рабочей станции
Запустить браузер, перейти по адресу
http://<ip-сервера>:
Также можно выполнить команду:
$ curl http://192.168.0.101
Hello, World
Происходит обращение к серверу и получение данных по протоколу http.
Глава 87. Настройка мультитерминального режима
Модуль — графическое средство настройки мультитерминального режима, позволяющего обеспечить одновременную работу нескольких пользователей на одном компьютере.
Необходимым условием для организации нескольких рабочих мест является наличие нескольких видеокарт, одна из которых может быть встроенной. Если вам нужно три места, потребуется 3 видеокарты.
Для реальной одновременной работы на нескольких рабочих местах кроме видеокарты понадобятся мониторы и комплекты клавиатуры/мыши на каждое рабочее место. Клавиатура и мышь могут быть подключены по USB, возможно через хаб.
По умолчанию в системе есть единственное рабочее место с именем seat0, к которому подключены все доступные устройства, они перечислены в списке Устройства seat0. Это рабочее место нельзя удалить или изменить.
В списке Рабочие места перечислены дополнительные рабочие места (если они есть), в скобках приводится количество подключенных к данному месту устройств. Чтобы просмотреть устройства, подключенные к дополнительному рабочему месту, необходимо выделить его в списке Рабочие места, устройства будут показаны в списке Устройства рабочего места.
Для создания дополнительного рабочего места следует ввести имя нового рабочего места в поле ввода, расположенное под списком рабочих мест, и нажать кнопку Добавить. Новое рабочее место будет добавлено в список Рабочие места.
Имя рабочего места может содержать только символы a-z, A-Z, 0-9, "-" и "_" и должно начинаться с префикса seat. По умолчанию будут сгенерированы имена: seat1, seat2 и т.д.
Выделить нужное рабочее место в списке Рабочие места, а в списке Устройства seat0 выбрать устройство, которое будет назначено выбранному рабочему месту. Нажать кнопку Добавить. Устройство появится в списке устройств выбранного рабочего места. Выделить дополнительному рабочему месту видеокарту, клавиатуру и мышь.
Основную видеокарту нельзя переключать на другие рабочие места.
Аналогичным образом настроить все рабочие места.
Для подключения назначенных устройств к дополнительным рабочим местам необходимо нажать кнопку Применить. Чтобы настройки вступили в силу необходимо перезагрузить компьютер.
Если после перезагрузки на мониторы не выводится никакая информация, это означает, что «закреплённая» за seat0 видеокарта была передана на другое рабочее место.
Чтобы исправить данную проблему необходимо сбросить настройки. Для этого следует залогиниться во второй текстовой консоли, удалить дополнительные рабочие места, выполнив команду (от root):
# loginctl flush-devices
И перезагрузить компьютер.
VirtualBox (Oracle VM VirtualBox) — это программный продукт виртуализации, поддерживающий операционные системы: Windows, Linux, FreeBSD, macOS, Solaris/OpenSolaris, ReactOS, DOS и другие.
Возможности
VirtualBox:
создание и запуск нескольких виртуальных машин (ВМ) одновременно;
поддержка 3D-ускорения, звука, USB-устройств;
общие папки между хостовой и гостевой системами;
поддержка сетевых режимов: NAT, мост, внутренняя сеть, только хост;
интеграция с RDP (удалённый доступ через VRDP);
поддержка шифрования виртуальных дисков;
загрузка по сети (PXE).
88.1. Установка и запуск VirtualBox
Перед установкой пакета VirtualBox настоятельно рекомендуется обновить систему и ядро.
Чтобы определить версию загруженного ядра и его флейвор (FLAVOUR), можно выполнить команду:
$ uname -r
6.12.112-6.12-alt1
В данном примере версия установленного ядра — 6.12.112, флейвор — 6.12. От флейвора зависит, какие модули ядра необходимо установить.
Модули VirtualBox должны соответствовать установленной версии ядра:
kernel-modules-virtualbox-<FLAVOUR>--<версия_программы_virtualbox>
Установка VirtualBox:
# apt-get install virtualbox kernel-modules-virtualbox-6.12
Чтобы пользователь мог запускать и управлять ВМ, он должен быть добавлен в группу vboxusers:
# gpasswd -a user vboxusers
Изменения вступят в силу после повторного входа в систему.
После обновления ядра ВМ могут перестать запускаться. В этом случае необходимо обновить установленные модули VirtualBox:
# apt-get install kernel-modules-virtualbox-6.12
88.1.2. Установка пакета расширений (Extension Pack)
Дополнительные функции VirtualBox можно получить, установив пакет расширений
Oracle VirtualBox Extension Pack. Он предоставляет:
поддержку USB 2.0 (EHCI) и USB 3.0 (xHCI);
поддержку протокола удалённого доступа VRDP (совместим с RDP);
проброс веб-камеры хоста;
Intel PXE boot ROM (сетевая загрузка);
шифрование дисков с использованием алгоритма AES.
Oracle VirtualBox Extension Pack содержит проприетарные компоненты и распространяется по лицензии PUEL (бесплатно только для личного использования и в образовательных целях).
Версия Extension Pack должна соответствовать версии установленного VirtualBox. Узнать версию можно в графическом интерфейсе ( → ) или в консоли:
$ VBoxManage --version
При обновлении VirtualBox необходимо также обновить Extension Pack.
Просмотреть установленные пакеты расширений можно в окне Менеджер плагинов ( → → или Ctrl+T):
Пакет расширений VNC с открытым исходным кодом устанавливается автоматически вместе с пакетом virtualbox.
Установка пакета расширений:
В окне Менеджер плагинов нажать кнопку Установить.
Выбрать ранее загруженный файл пакета (.vbox-extpack).
В открывшемся окне нажать кнопку Установить:
Ознакомиться с лицензионным соглашением и нажать кнопку Я согласен:
Расширение будет установлено и отображено в списке:
Установка Extension Pack в консоли:
Проверить, что Extension Pack не установлен:
$ VBoxManage list extpacks
Установить расширение (из каталога со скачанным файлом дополнений):
$ VBoxManage extpack install Oracle_VirtualBox_Extension_Pack-7.2.22.vbox-extpack
Будет выведено лицензионное соглашение, и после подтверждения начнётся установка. Результат будет показан в консоли.
88.1.3. Гостевые дополнения (Guest Additions)
Гостевые дополнения — это набор драйверов и утилит, повышающих производительность и удобство взаимодействия между хостом и гостевой ОС. Они обеспечивают:
аппаратное ускорение графики (включая 3D);
поддержку общих папок;
общий буфер обмена;
автоматическое масштабирование экрана;
прямую работу мыши (без захвата);
улучшенную поддержку USB и сетевых устройств.
Гостевые дополнения устанавливаются внутри гостевой ОС.
После обновления VirtualBox необходимо обновить как Extension Pack, так и Guest Additions.
Установка дополнений в гостевой ОС «Альт»:
# apt-get install kernel-modules-virtualbox-addition-guest-6.12
После установки гостевых дополнений необходимо Запустить и добавить в автозагрузку службу vboxadd-service:
# systemctl enable --now vboxadd-service
Пользователя необходимо добавить в группу vboxsf:
# gpasswd -a user vboxsf
Чтобы изменения вступили в силу, необходимо перезайти в систему.
Запустить
VirtualBox можно:
88.2. Настройка VirtualBox
Общие параметры VirtualBox (глобальные настройки для всех ВМ текущего пользователя) задаются в окне Настройки.
Чтобы открыть окно настроек, необходимо выбрать пункт → (Ctrl+G).
Доступный набор параметров зависит от выбранного режима:
В окне
Настройки доступны следующие разделы:
Общие — позволяет задать каталог по умолчанию для хранения файлов ВМ и указать используемую библиотеку аутентификации для удалённого доступа (VRDP);
Ввод — позволяет настроить сочетания клавиш как для менеджера VirtualBox, так и для отдельных ВМ;
Обновления — параметры автоматического обновления VirtualBox и расширений;
Язык — выбор языка пользовательского интерфейса;
Дисплей — настройки экрана, включая разрешение, масштаб и ширину/высоту окна. Также можно указать коэффициент масштабирования по умолчанию для новых ВМ;
Прокси — конфигурация подключения через HTTP-прокси.
88.2.1. Глобальные инструменты
Глобальные инструменты доступны через меню → или в разделе :
Доступны следующие глобальные инструменты:
— отображает приветственное сообщение и панель инструментов VirtualBox;
— отображает список доступных ВМ;
— отображает инструмент Менеджер плагинов, который используется для установки и удаления расширений VirtualBox;
— отображает инструмент Менеджер виртуальных носителей, который используется для управления образами дисков;
— отображает инструмент Менеджер сетей, который используется для создания и настройки виртуальных сетевых адаптеров;
— отображает инструмент Менеджер облачных профилей, который используется для настройки подключения к облачным сервисам;
отображает инструмент Ресурсы машины, который используется для мониторинга производительности и использования ресурсов ВМ (включая загрузку CPU, памяти и других ресурсов).
88.3.1. Создание виртуальной машины
Для запуска мастера создания ВМ необходимо нажать кнопку Создать в главном окне VirtualBox или выбрать пункт → (Ctrl+N).
На первой вкладке указываются:
VirtualBox попытается автоматически определить
ОС,
Дистрибутив ОС и
Версию ОС по ISO-файлу. При необходимости эти параметры следует скорректировать вручную.
При установке дистрибутива «Альт» в качестве гостевой ОС, не следует выбирать профиль . Можно выбрать, например, .
Если образ поддерживает автоматическую установку, то VirtualBox может сразу установить ОС без участия пользователя. При этом на вкладке можно настроить параметры: имя пользователя, пароль, имя хоста и др.
Настройки автоматической установки недоступны, если не выбрана опция Осуществить установку автоматически или ISO-образ не поддерживает автоматическую установку.
На вкладке указываются следующие параметры:
Основная память — объём оперативной памяти, который VirtualBox будет выделять ВМ при каждом её запуске.
Память, выделенная ВМ, становится недоступной хостовой системе на время работы ВМ.
Число ЦПУ — количество виртуальных CPU (потоков), доступных ВМ.
Не рекомендуется выделять ВМ более половины потоков процессора хост-системы.
Использовать EFI — активация загрузки через расширяемый интерфейс микропрограммного обеспечения (EFI).
При создании ВМ не следует задавать параметры (объём оперативной памяти, количество ядер процессора, объём дискового пространства и т. д.) ниже значений, указанных в официальной спецификации или минимальных системных требованиях к устанавливаемой ОС. Несоблюдение этих рекомендаций может привести к невозможности установки ОС или её некорректной работе.
На вкладке задаются параметры виртуального диска — специального файла, хранящегося в файловой системе хоста. В данном окне на выбор предлагаются три варианта действий:
Создать новый виртуальный жёсткий диск — создаётся новый виртуальный жёсткий диск;
Использовать существующий виртуальный жесткий диск — подключение к ВМ ранее созданного виртуального диска;
Создать виртуальную машину без виртуального жесткого диска — ВМ будет создана без зарезервированного за ней жёсткого диска. Обычно подобные машины создаются для запуска LiveCD-дистрибутивов.
Жёсткий диск можно подключить и после создания ВМ.
Для создания нового виртуального диска следует выбрать пункт
Создать новый виртуальный жёсткий диск и задать параметры:
Расположение и имя файла — имя и расположение файла диска. По умолчанию в качестве имени файла диска будет использоваться имя создаваемой ВМ, диск сохраняется в каталоге VirtualBox VMs домашнего каталога пользователя;
Размер диска — максимальный объём виртуального диска;
Тип диска — формат виртуального диска (см. ниже);
Выделить место в полном объёме — использовать файл фиксированного размера для образа диска. В противном случае VirtualBox будет использовать динамически выделяемый файл для образа диска.
Файл динамического жесткого диска будет занимать небольшое место на физическом жестком диске компьютера. По мере заполнения данными он будет увеличиваться в размере до предельного объема. Файл фиксированного жесткого диска сразу займет весь объем виртуального жесткого диска. Файл фиксированного размера требует меньше накладных расходов и, следовательно, работает намного быстрее, чем файл динамического размера.
Необходимо убедиться, что на жёстком диске хоста достаточно свободного места для создания выбранного виртуального диска.
После нажатия кнопки Готово в главном окне VirtualBox появится новая ВМ, готовая к использованию.
Если ВМ перед запуском необходимо дополнительно настроить, следует нажать кнопку
Настроить и установить нужные параметры (подробнее о настройках ВМ см.
Настройки ВМ).
Процесс установки операционной системы в ВМ аналогичен установке на физическое оборудование.
88.3.2. Базовые операции с ВМ
Основное окно менеджера VirtualBox отображает список доступных ВМ:
Запустить ВМ можно несколькими способами:
выбрать машину в списке и нажать кнопку Запустить;
в контекстном меню машины выбрать → :
выбрать машину в списке и выбрать пункт меню → → ;
дважды щёлкнуть по ВМ в списке;
перейти в каталог VirtualBox VMs открыть подкаталог нужной машины и дважды щёлкнуть по файлу настроек машины (файл с расширением .vbox).
Если запуск ВМ прерывается ошибкой:
VirtualBox can't operate in VMX root mode. Please disable the KVM kernel extension,
recompile your kernel and reboot (VERR_VMX_IN_VMX_ROOT_MODE)
Это означает, что KVM уже использует аппаратную виртуализацию, а VirtualBox пытается получить к ней доступ.
Временное решение отключение KVM (до перезагрузки):
Определить какой модуль загружен (kvm_intel или kvm_amd):
# lsmod | grep kvm
kvm_intel 417792 0
kvm 1343488 1 kvm_intel
Отключить загруженный модуль (в данном примере kvm_intel):
# rmmod kvm_intel
Запустить сервис VirtualBox, который подгрузит модули ядра VirtualBox:
# systemctl start virtualbox.service
Для постоянного отключения KVM нужно занести соответствующий модуль в черный список, например:
# echo "blacklist kvm_intel" > /etc/modprobe.d/blacklist-kvm-intel.conf
После запуска ВМ, если состояние машины было сохранено, произойдёт автоматическое восстановление состояния. Если состояние ВМ не сохранялось, запустится гостевая ОС, как при обычном включении реального компьютера.
Все, что отображается на экране гостевой ОС, показывается в окне предварительного просмотра («Превью») в интерфейсе VirtualBox:
Завершить работу ВМ можно несколькими способами:
завершить работу гостевой ОС штатным способом, предусмотренным гостевой ОС. После завершения работы ОС ВМ автоматически остановится.
нажать кнопку завершения работы в правом верхнем углу окна ВМ:
Откроется диалоговое окно с выбором действия:
Сохранить состояние машины — текущее состояние ВМ будет сохранено на диск. При следующем запуске ВМ восстановит работу с того же момента, как при «режиме сна» на реальном компьютере;
Послать сигнал завершения работы — в гостевую ОС отправляется сигнал выключения, и она завершает работу штатно (аналогично нажатию кнопки питания с поддержкой ACPI);
Выключить машину — принудительное выключение, эквивалентное отключению питания реального компьютера. Используйте с осторожностью — возможна потеря данных;
выбрать машину в списке и выбрать пункт меню → → :
в контекстном меню ВМ выбрать пункт → .
88.3.2.3. Управление ВМ из консоли
Графический режим удобен при установке и настройке ВМ, но при этом тратятся лишние ресурсы. Запускать и останавливать ВМ можно в командной строке.
Примеры:
получить список ВМ:
$ VBoxManage list vms
"ALT Workstation" {12eb85f9-e12a-491f-aeef-9141d38b3c8b}
"ATL Work" {27b7e515-1358-4f9e-91db-07882802e293}
По умолчанию показывается компактный список в две колонки: имя ВМ и UUID. Если указать параметр --long, будет показан детальный список настроек ВМ.
запустить ВМ в графическом режиме:
$ VBoxManage startvm "ALT Workstation"
запустить ВМ в фоновом режиме:
$ VBoxManage startvm "ALT Work" --type headless
вывести список запущенных ВМ:
$ VBoxManage list runningvms
приостановить ВМ (временно останавливает ВМ, без смены ее состояния работы):
$ VBoxManage controlvm "ALT Workstation" pause
восстановить работу приостановленной ВМ:
$ VBoxManage controlvm "ALT Workstation" resume
перезапустить ВМ (вызывается холодная перезагрузка ВМ, что приводит к немедленной перезагрузке гостевой операционной системы):
$ VBoxManage controlvm "ALT Workstation" reset
выключить ВМ (эквивалентно выключению питания в реальном компьютере, состояние ВМ не сохраняется, и данные могут быть повреждены):
$ VBoxManage controlvm "ALT Workstation" poweroff
сохранить текущее состояние ВМ на диск и остановить работу машины:
$ VBoxManage controlvm "ALT Workstation" savestate
88.3.3. Расширенные возможности
Существует два типа общих папок:
Общие папки могут быть доступны для чтения и записи или только для чтения. По умолчанию папки доступны для чтения и записи.
Чтобы открыть окно настройки общих папок есть несколько способов:
В окне работающей ВМ выбрать → → .
Если ВМ не запущена, открыть окно
Настройки ВМ и перейти в раздел
Общие папки (см.
Общие папки);
Для настройки общей папки необходимо нажать кнопку
и в открывшемся окне указать путь к каталогу на хостовой системе:
Здесь также можно задать имя общей папки (по умолчанию используется имя последней папки в пути).
Если отметить пункт Только для чтения, гостевая ОС сможет только читать файлы, но не изменять их.
Добавление общей папки в командной строке:
$ VBoxManage sharedfolder add "ATL Workstation" --name "For_doc" --hostpath "/home/user/For_doc"
88.3.3.1.1. Монтирование вручную
Общую папку внутри ВМ можно смонтировать, как сетевой ресурс:
88.3.3.1.2. Автоматическое монтирование
Опция Авто-подключение означает, что папка будет автоматически монтироваться при запуске ВМ. Однако эта функция может не работать на некоторых дистрибутивах Linux без дополнительной настройки.
Автоматически монтируемые папки подключаются в каталог /media. Имя папки при этом нормализуется (удаляются пробелы, косые черты и двоеточия) и получает префикс sf_.
Например, общая папка /For_docs будет смонтирована как /media/For_docs.
Если указан конкретный каталог монтирования (Точка подключения), папка будет монтироваться именно туда.
Доступ к автоматически монтируемым общим папкам в гостевых системах Linux ограничен членами группы vboxsf и пользователем root. Чтобы обычный пользователь мог работать с такими папками, он должен входить в группу vboxsf:
# gpasswd -a user vboxsf
Чтобы изменения вступили в силу, необходимо перезайти в систему.
Общий буфер обмена можно настроить для каждой ВМ отдельно, используя пункт меню → или команду VBoxManage.
Доступны следующие настройки общего буфера обмена:
— функция копирования отключена. Используется по умолчанию при создании новой ВМ;
— разрешает копирование текста только с хоста на гостевую систему;
— разрешает копирование текста только с гостевой системы на хост;
— разрешает копирование текста в обоих направлениях: с хоста на гостевую систему и с гостевой системы на хост.
88.3.3.3. Менеджер файлов гостевой системы
Если в гостевой ОС установлены гостевые дополнения (см.
Гостевые дополнения (Guest Additions)), для обмена файлами между ВМ и хост-системой можно использовать
Менеджер файлов гостевой системы. С его помощью также можно создавать каталоги, переименовывать и удалять файлы.
Гостевая система должна быть запущена.
Передача файлов:
Откройте
Менеджер файлов:
В левой панели отображаются файлы хост-системы.
В правой панели введите имя и пароль пользователя гостевой системы, от имени которого будет выполнен вход, и нажмите кнопку Открыть сессию:
Файловая система ВМ отобразится в правой панели.
Выделите файл(ы) и нажмите:
Нажмите Закрыть, чтобы завершить сессию и закрыть Менеджер файлов.
88.3.3.4. Управление приложениями в гостевой системе
Гостевые дополнения позволяют запускать приложения внутри ВМ из хост-системы. Эта функция может использоваться для автоматизации развёртывания программного обеспечения, выполнения скриптов или управления файловой системой гостевой ОС.
Таблица 88.1. Основные команды VBoxManage guestcontrol
|
Команда
|
Назначение
|
|
run
|
Запуск программы или скрипта в гостевой ОС
|
|
start
|
Запуск программы без ожидания завершения
|
|
copyfrom
|
Копирование файлов из гостевой системы на хост
|
|
copyto
|
Копирование файлов с хоста в гостевую систему
|
|
mkdir
|
Создание каталога в гостевой файловой системе
|
|
rm
|
Удаление файлов или каталогов
|
|
mv
|
Переименование или перемещение файлов
|
|
stat
|
Получение информации о файле или каталоге
|
Все команды требуют указания:
имени ВМ;
учётных данных (--username, --password);
(опционально) флагов --wait-stdout, --recursive и др.
Примеры:
выполнение команды с выводом результата:
$ vboxmanage guestcontrol Kwork run \
--username user --password password \
--wait-stdout \
-- /bin/echo hello
Результат выполнения:
hello
создание каталога:
$ VBoxManage guestcontrol Kwork mkdir \
--username user --password password \
/home/user/vbox
копирование каталога в гостевую систему:
$ VBoxManage guestcontrol Kwork copyto \
--username user --password password \
--recursive ./data /home/user/data
выполнение сложных команд через shell:
$ VBoxManage guestcontrol Кwork run \
--username user --password password \
--exe /usr/bin/bash \
-- \
-c "mkdir -p /tmp/test && echo hello > /tmp/test/file"
проверка существования файла:
$ VBoxManage guestcontrol Kwork stat \
--username user --password password \
/home/user/test.odt
Если файл существует, команда вернёт информацию о нём.
Для коллективного управления ВМ их можно объединять в группы.
Чтобы создать группу в менеджере ВМ необходимо выполнить одно из следующих действий:
Перетащить одну ВМ поверх другой.
Выделить ВМ, которые необходимо объединить, выбрать в контекстном меню пункт , затем выбрать существующую группу или пункт :
Группы можно переименовывать, а также создавать вложенные группы.
Результат группировки ВМ — визуальное и логическое объединение машин. Это позволяет выполнять типовые действия (запуск, сохранение состояния, выключение и т.д.) сразу для всех участников группы.
Примеры работы с группами через командную строку:
создать группу
MyGroup и присоединить к ней ВМ
ATL Work:
$ VBoxManage modifyvm "ATL Work" --groups "/MyGroup"
удалить ВМ из всех групп и удалить пустую группу:
$ VBoxManage modifyvm "ATL Work" --groups ""
88.3.3.6. Создание и управление снимками системы
Снимки (snapshots) позволяют зафиксировать текущее состояние ВМ, чтобы в любой момент можно было вернуться к нему. Это полезный инструмент резервного копирования, позволяющий сохранять полное состояние работающей ВМ (настройки VirtualBox, параметры гостевой ОС и текущее состояние системы).
Чтобы просмотреть снимки ВМ, необходимо перейти на вкладку :
Если для выбранной ВМ снимки ещё не создавались, список будет пуст, за исключением элемента Текущее состояние, который отражает актуальное состояние машины.
Для создания снимка текущего состояния ВМ можно выполнить одно из следующих действий:
Если ВМ запущена, выбрать в меню окна ВМ пункт → :
В окне Снимки нажать кнопку Сделать или выбрать в контекстном меню элемента Текущее состояние пункт :
Откроется диалоговое окно, в котором можно задать имя снимка (по умолчанию Снимок <N>) и краткое описание. Имя служит для идентификации состояния.
После нажатия кнопки ОК начнётся процедура сохранения состояния всей системы, включая настройки ВМ.
Новый снимок отобразится в списке. Под ним будет показан элемент Текущее состояние, означающий, что состояние ВМ основывается на этом снимке. При создании новых снимков они будут добавляться последовательно: каждый следующий снимок зависит от предыдущего:
VirtualBox не ограничивает количество создаваемых снимков. Единственным практическим ограничением является свободное дисковое пространство на хосте: каждый снимок занимает определённый объём.
Снимок ВМ может включать следующие компоненты:
файлы виртуальных дисков (*.vdi, *.vmdk, др.) — используется технология copy-on-write: при создании снимка копируются только те области, к которым происходят операции записи, что экономит дисковое пространство по сравнению с полным клонированием ВМ;
файл состояния памяти *.sav — если снимок создавался с работающей машины, сохранятся содержимое оперативной памяти, что позволяет продолжить выполнение ВМ с того же момента, что был зафиксирован. Файл состояния памяти по размеру может быть равен объёму оперативной памяти ВМ, поэтому он также занимает значительное место на диске;
файл энергонезависимой памяти UEFI .nvram — сохраняется, если ВМ использует прошивку EFI. Этот файл содержит такие данные, как загрузочные параметры, переменные UEFI и настройки Secure Boot.
конфигурациия ВМ — параметры виртуального оборудования и прочие настройки.
Снимки хранятся на системном диске в подкаталоге ВМ Snapshots.
Восстановление снимка возможно только при выключенной ВМ и обычно происходит значительно быстрее, чем обычная загрузка ОС.
Снимки в списке отображаются в виде древовидной структуры. Чтобы восстановить состояние системы из снимка, необходимо выбрать нужный снимок и нажать кнопку Восстановить или выбрать пункт в контекстном меню:
При восстановлении ВМ возвращается к состоянию, зафиксированному в снимке. Текущее состояние при этом теряется. VirtualBox предложит создать снимок текущего состояния перед восстановлением, чтобы избежать потери данных:
Восстановление снимка повлияет на все виртуальные жёсткие диски ВМ: любые изменения, сделанные после создания снимка (включая новые файлы) будут утеряны. Чтобы предотвратить потерю данных при использовании снимков, рекомендуется подключить второй диск в режиме «сквозной записи» с помощью VBoxManage и использовать его для хранения данных. Такие диски не включаются в снимки и не изменяются при их восстановлении.
Удаление снимка не влияет на текущее состояние ВМ, но освобождает занимаемое на диске место.
Для удаления снимка следует выбрать снимок в дереве списков и нажать кнопку Удалить или выбрать соответсвующий пункт в контекстном меню.
88.3.3.7. Клонирование ВМ
Клонирование ВМ в VirtualBox позволяет создать её полную или связанную резервную копию. Клон может рассматриваться как альтернатива снимкам, однако чаще всего используется для переноса ВМ на другую хостовую систему.
Процедуру клонирования можно запустить из главного меню VirtualBox, выбрав → (Ctrl+O).
В окне настройки клонирования можно указать:
Имя — имя новой ВМ;
Путь — путь для размещения клона (по умолчанию каталог VirtualBox VMs);
Тип клонирования:
Полное клонирование — создаются независимые копии всех образов дисков. Клон может работать без связи с исходной ВМ;
Связанное клонирование — создаются новые разностные диски, ссылающиеся на образы исходной ВМ. Если клонирование осуществляется от текущего состояния, VirtualBox автоматически создаст новый снимок;
Политика MAC-адреса — указывает, как сохранять MAC-адреса сетевой карты при клонировании ВМ. При выборе значения VirtualBox присваивает новые MAC-адреса сетевым адаптерам клона (рекомендуется, если клон и оригинал работают в одной сети). Альтернативно можно сохранить существующие MAC-адреса в клонированной ВМ;
Сохранить имена дисков — сохраняются имена файлов дисков в клонированной ВМ;
Сохранить идентификтор оборудования — сохраняются уникальные идентификаторы оборудования (UUID).
Операция клонирования не доступна во время работы ВМ. Продолжительность зависит от размера и количества подключённых дисков.
Для клонирования ВМ можно использовать команду
VBoxManage:
$ VBoxManage clonevm "Alt Workstation" --name="Alt Workstation-clone-001" \
--mode=machine --options=keepallmacs --options=keepdisknames --options=keephwuuids
Эта команда создаст и зарегистрирует клон с именем
Alt Workstation-clone-001, который будет включать только текущее состояние ВМ. Клон сохраняет все MAC-адреса, имена дисков и UUID исходной ВМ.
88.3.3.8. Импорт и экспорт конфигураций
VirtualBox поддерживает импорт и экспорт ВМ в следующих форматах:
Открытый Формат Виртуализации (OVF) — позволяет переносить ВМ между разными гипервизорами (VirtualBox, VMware и др.) например, на VMware или Microsoft Virtual PC. Поддерживаются расширения .ovf (экспорт в виде набора отдельных файлов) и .ova (объединение всех компонентов в один архив);
Облачная инфраструктура Oracle — экспорт на удалённые облачные серверы. Главный виртуальный диск каждой ВМ выгружается на удалённый сервер.
Использование формата OVF позволяет упаковывать виртуальные устройства (образы дисков вместе с настройками конфигурации), создавая полностью готовые к использованию пакеты.
Формат OVF считается универсальным, однако исключать, что при переносе виртуальной машины на другой продукт виртуализации пользователь не столкнется с определенного рода проблемами нельзя.
Экспортируется только текущее состояние ВМ, снимки не включаются.
Операция экспорта доступна только при выключенной ВМ.
Для запуска экспорта в окне VirtualBox необходимо выбрать пункт → (Ctrl+E).
В окне настройки экспорта необходимо:
на вкладке выбрать одну или несколько ВМ:
на вкладке указать:
Формат — формат виртуализации;
Файл — место куда будут экспортирован файл/файлы;
Политика MAC-адреса — сохранять или переназначать MAC-адреса сетевых карт при экспорте;
Создать Manifest-файл — включить файл манифеста в экспортируемый файл;
Включить ISO файлы образов — включить файлы ISO-образов в экспортируемый файл;
на вкладке можно изменить имя ВМ, задать описание, указать информацию о продукте:
После нажатия кнопки Готово начнётся экспорт, который может занять несколько минут.
Экспортированный файл .ova будет находиться в указанном каталоге и может быть перемещён на другой компьютер, носитель или в облако.
Для экспорта ВМ можно также использовать команду
VBoxManage export:
$ VBoxManage export "ALT Workstation" --output ~/alt-workstation.ova
Импорт позволяет загрузить ранее экспортированную ВМ обратно в VirtualBox.
Для запуска процедуры импорта в VirtualBox необходимо выбрать: → (Ctrl+I).
В окне настройки импорта необходимо:
на вкладке в поле Файл указать путь к файлу .ovf или .ova:
на вкладке можно изменить параметры импортируемой ВМ: имя, ресурсы, расположение и т.д.
После нажатия кнопки Готово начнётся импорт, который может занять несколько минут.
Для импорта ВМ можно также использовать команду
VBoxManage import:
$ VBoxManage import ~/alt-workstation.ova
VirtualBox предоставляет множество параметров, которые можно настроить для ВМ. Ещё больше возможностей доступно при использовании интерфейса командной строки VBoxManage.
При выборе ВМ из списка в окне VirtualBox отображается сводка её текущих настроек:
Если нажать кнопку Настроить (Ctrl+S), откроется окно, в котором можно изменить множество параметров выбранной ВМ.
Если ВМ находится в состоянии Работает или Сохранена, некоторые настройки будут недоступны. Для изменения этих параметров необходимо сначала выключить ВМ.
Общие настройки позволяют задать базовые параметры ВМ.
Вкладки раздела :
:
Имя ВМ — имя, под которым ВМ отображается в списке VirtualBox. VirtualBox также использует это имя для сохранения файлов конфигурации ВМ;
VirtualBox использует уникальные идентификаторы (UUID) для идентификации ВМ.
ОС и Дистрибутив ОС — ОС и дистрибутив ОС;
Версия ОС — версия гостевой ОС;
:
Папка для снимков — по умолчанию VirtualBox сохраняет данные снимков вместе с другими файлами конфигурации. Здесь можно указать отдельный каталог для хранения снимков;
Общий буфер обмена — настройка общего доступа к буферу обмена между хостовой и гостевой ОС (по умолчанию отключено);
Для использования общего буфера обмена должны быть установлены гостевые дополнения VirtualBox.
Drag'n'Drop — поддержка перетаскивания объектов между хостовой и гостевой системами;
Для работы функции перетаскивания должны быть установлены гостевые дополнения VirtualBox.
Drag'n'Drop не поддерживается в ОС Linux.
— произвольное описание ВМ;
— настройки шифрования виртуальных дисков. Чтобы включить шифрование, необходимо установить отметку Шифровать диски, выбрать алгоритм шифрования и указать пароль.
Для возможности шифрования дисков необходимо наличие плагина Oracle VirtualBox Extension Pack.
Все файлы, относящиеся к ВМ (кроме образов дисков), хранятся в незашифрованном виде. Чтобы зашифровать эти файлы, можно воспользоваться командой VBoxManage encryptvm.
88.4.2. Системные настройки
Раздел объединяет параметры, связанные с основным оборудованием, которое предоставляется ВМ.
Вкладки раздела :
:
Основная память — объем ОЗУ, выделяемый ВМ при запуске. Указанный объём будет временно выделена из физической памяти хоста;
Порядок загрузки — порядок, в котором гостевая ОС будет пытаться загружаться с различных виртуальных загрузочных устройств;
При выборе пункта Сеть ВМ попытается выполнить загрузку через механизм PXE, который должен быть предварительно настроен.
Чипсет — чипсет, предоставляемый ВМ. Возможные значения:
PIIX3 — значение по умолчанию для большинства гостевых ОС;
ICH9 — поддерживает PCI Express, три шины PCI, мосты PCI-to-PCI и передачу сообщений о прерываниях (MSI). С помощью ICH9 можно настроить до 36 сетевых карт (до 8 с PIIX3);
Версия ТРМ — включает поддержку Trusted Platform Module (TPM);
Манипулятор курсора — устройство, через которое ВМ передаются события мыши (по умолчанию PS/2 мышь). Использование значения USB планшет имеет преимущество — координаты мыши передаются в абсолютных значениях, что позволяет VirtualBox передавать события мыши в гостевую систему без необходимости «захвата» мыши;
I/O APIC — расширенный программируемый контроллер прерываний (APIC) — аппаратная функция x86, пришедшая на смену классическим контроллерам прерываний (PIC). Благодаря I/O APIC гостевые ОС могут использовать более 16 линий прерываний (IRQ), избегая их совместного использования и повышая надёжность системы;
Включение I/O APIC обязательно, особенно для 64-разрядных гостевых ОС Windows. Оно также необходимо для использования более одного виртуального процессора в ВМ.
Часы в системе UTC — указывает, будет ли системное время, передаваемое гостевой ОС, в формате UTC или локального времени хоста;
UEFI — использовать Extensible Firmware Interface (EFI) вместо классического BIOS;
Безопасная загрузка — включает безопасную загрузку, обеспечивая безопасную среду для запуска гостевой ОС;
:
Число ЦПУ — количество виртуальных ядер ЦП, доступных гостевой ОС. VirtualBox поддерживает симметричную многопроцессорную обработку (SMP) и может предоставлять до 32 виртуальных ядер ЦП каждой ВМ;
Предел нагрузки ЦПУ — ограничивает время, затрачиваемое процессором хоста на эмуляцию виртуального процессора. Значение по умолчанию — 100% (без ограничений). Значение 50% означает, что один виртуальный процессор может использовать не более 50% ресурсов одного физического ядра. Ограничение может быть полезно для управления ресурсами, но может вызвать проблемы с производительностью ВМ;
PAE/NX — определяет, будут ли возможности PAE (Physical Address Extension) и NX (No-eXecute) хостового процессора доступны гостевой системе;
Nested VT-x/AMD-V — включает вложенную виртуализацию, позволяя передавать функции аппаратной виртуализации ВМ;
:
Интерфейс паравиртуализации — позволяет использовать специализированные интерфейсы паравиртуализации для повышения точности отсчёта времени и производительности гостевой ОС;
Аппаратная виртуализация — для каждой ВМ можно индивидуально выбрать, будет ли VirtualBox использовать использовать аппаратную или программную виртуализацию.
В разделе можно настроить параметры графической подсистемы ВМ.
Вкладки раздела :
:
Видеопамять — объём видеопамяти, предоставляемой виртуальной видеокарте, в мегабайтах. Чем больше видеопамяти, тем выше могут быть разрешение и глубина цвета;
Число виртуальных мониторов — количество виртуальных мониторов, доступных гостевой системе. Поддерживается до 8 мониторов (если гостевая ОС это поддерживает);
Вывод с нескольких мониторов отображается на хосте в нескольких окнах ВМ В полноэкранном и бесшовном режиме используются физические мониторы, подключенные к хосту. Для полноценной работы этих режимов с несколькими мониторами требуется столько же физических мониторов, сколько настроено виртуальных.
Коэффициент масштабирования — позволяет масштабировать размер экрана ВМ;
Графический контроллер — тип графического адаптера, используемого ВМ:
VBoxSVGA — графический контроллер по умолчанию для Windows 7 и более новых версий;
VBoxVGA — графический контроллер для старых гостевых ОС;
VMSVGA — графический контроллер, эмулирующий устройство VMware SVGA. Используется по умолчанию для гостевых систем Linux;
Для использования графических контроллеров VBoxSVGA или VMSVGA необходимо, чтобы на ВМ были установлены гостевые дополнения.
3D-ускорение — активирует аппаратное ускорение 3D-графики;
Для возможности включения 3D-ускорения на ВМ должны быть установлены гостевые дополнения.
— если установлено расширение VirtualBox Remote Display Extension (VRDE), на этой вкладке можно включить и настроить сервер VRDP;
— позволяет включить запись видео и звука с ВМ и изменить соответствующие параметры. Эти функции можно включать и отключать во время работы ВМ. Настройки применяются ко всем выбранным экранам.
В разделе можно добавить или настроить контроллеры хранения и подключить к ним виртуальные устройства (виртуальный жёсткий диск, CD/DVD, дискету и т.д.).
VirtualBox отображает контроллеры виртуальных устройств хранения данных внутри ВМ. Под каждым контроллером отображаются устройства, подключённые к этому контроллеру.
При создании новой ВМ VirtualBox автоматически добавляет следующие устройства хранения в зависимости от выбранной гостевой ОС:
Контроллер IDE: по умолчанию к устройству 0 на вторичном канале подключается виртуальный CD/DVD-привод;
Контроллер SATA: к нему подключаются виртуальные жёсткие диски. Для новой ВМ создаётся один виртуальный диск.
Чтобы добавить новый контроллер, необходимо нажать кнопку Добавить, расположенную в нижней части окна Носители информации и выбрать нужный тип контроллера из списка:
Виртуальные диски подключаются к гостевой системе с помощью эмуляции соответствующего контроллера: IDE, SATA (AHCI), SCSI, SAS и др. Поведение каждого контроллера запрограммировано так, чтобы максимально точно имитировать физический аналог. Например, IDE-контроллер работает медленнее, чем SATA, и использует больше ресурсов процессора.
Виртуальные диски могут быть:
VirtualBox позволяет увеличить объём виртуального диска, даже если он уже содержит данные. Это можно сделать с помощью утилиты
VBoxManage:
$ VBoxManage modifyhd <uuid|VM_name> --resize <megabytes>
Например:
$ VBoxManage modifyhd "MyVM.vdi" --resize 20480
Эта операция увеличивает только размер виртуального файла, а не разделы внутри гостевой ОС. Для расширения разделов потребуется использовать инструменты гостевой системы.
При использовании динамически расширяемого диска, файл образа постепенно увеличивается по мере записи данных, до достижения установленного лимита. Так как при этом задействуются дополнительные ресурсы, скорость записи ниже, чем у диска с фиксированным размером. Однако, если объём диска в долгосрочной перспективе не увеличивается, разница в производительности становится практически незаметной.
Чтобы добавить виртуальный жёсткий диск или CD/DVD-диск, необходимо выбрать нужный контроллер и нажать кнопку Добавить жёсткий диск или Добавить оптический привод:
В открывшемся окне можно выбрать существующий образ диска или создать новый виртуальный диск.
После подключения диска можно настроить его свойства:
слот устройства контроллера, к которому подключен виртуальный диск;
Твердотельный накопитель — сообщает гостевой ОС, что диск является SSD;
С горячей заменой (SSD) — позволяет подключать и отключать диск без перезагрузки ВМ;
Живой CD/DVD (для виртуальных CD/DVD-приводов) — гостевая система не «увидит» извлечение диска;
Съёмные носители, такие как CD/DVD, можно заменять во время работы ВМ. Для этого используйте меню в окне ВМ:
Если выбрать пункт Изъять диск из виртуального привода VirtualBox предоставит гостевой системе пустой CD/DVD-дисковод, в который не вставлен носитель.
В разделе настраивается, будет ли ВМ использовать звуковую карту хоста и сможет ли пользователь слышать звук из гостевой ОС.
VirtualBox поддерживает эмуляцию следующих звуковых контроллеров:
ICH AC 97;
Intel HD Audio;
SoundBlaster 16.
Можно выбрать, какой аудиодрайвер использовать на хостовой системе.
Можно выбрать следующие аудиодрайверы:
Раздел позволяет настроить, как VirtualBox представляет виртуальные сетевые адаптеры ВМ и как они взаимодействуют с сетью хоста.
При создании новой ВМ по умолчанию включается один сетевой адаптер, работающий в режиме NAT (Network Address Translation):
VirtualBox поддерживает до восьми виртуальных сетевых адаптеров на одну ВМ. Первые четыре можно настроить в графическом интерфейсе VirtualBox, остальные — с помощью команды VBoxManage.
Раздел состоит из четырех вкладок, каждая из которых соответствует одному сетевому адаптеру. Для каждого адаптера можно настроить:
Включить сетевой адаптер — включает или отключает сетевой адаптер для этой ВМ;
Тип подключения — определяет режим работы сетевого адаптера (например, NAT, Bridged, Internal и др.);
Имя — указывает имя сетевого адаптера основоной системы, через который пойдет трафик выбранной сетевой карты;
Тип адаптера — выбор модели эмулируемой сетевой карты. По умолчанию используется Intel PRO/1000 MT Desktop. При возникновении проблем с сетью можно выбрать другой тип;
Неразборчивый режим — режим, в котором адаптер принимает все сетевые пакеты, включая те, которые предназначены другим узлам. Используется для диагностики сети. Обычно не требуется для повседневной работы;
MAC-адрес — уникальный идентификатор сетевого устройства. VirtualBox автоматически генерирует MAC-адрес при создании ВМ. Для клонированных ВМ рекомендуется сгенерировать новый уникальный адрес (кнопка рядом с полем MAC-адреса);
Подключить виртуальный кабель — имитирует подключение или отключение сетевого кабеля. При отключении интерфейс становится недоступным, но остаётся активным в системе;
Проброс портов — открывает окно настройки правил перенаправления портов между хостом и гостевой системой. Применяется в режимах NAT и NAT Network (см.
NAT/Сеть NAT + Проброс портов).
В разделе настраиваются виртуальные последовательные порты для ВМ.
При включении виртуального последовательного порта гостевая ОС видит стандартное устройство UART, совместимое с чипом 16550A. Дополнительные типы UART можно настроить с помощью команды:
$ VBoxManage modifyvm <uuid|VM_name> --uart<номер> <тип>
Поддерживаются приём и передача данных.
Можно настроить до четырех виртуальных последовательных портов на одну ВМ.
Раздел позволяет настроить расширенную поддержку USB-устройств в VirtualBox.
VirtualBox предоставляет гостевой ОС виртуальный USB-контроллер, через который можно подключать физические USB-устройства хостовой системы.
Как только устройство будет подключено к ВМ, оно станет недоступным в хостовой системе.
В разделе можно:
включить или отключить USB-контроллер (пункт Включить контроллер USB);
выбрать версию USB:
Контроллер USB 1.1 (OHCI) — поддержка USB 1.1;
Контроллер USB 2.0 (OHCI+EHCI) — поддержка USB 2.0;
Контроллер USB 3.0 (xHCI) — поддержка USB 3.0 и выше;
Контроллеры xHCI и EHCI входят в состав пакета расширения VirtualBox.
настроить фильтры USB-устройств, которые определяют, какие устройства будут автоматически передаваться ВМ при подключении к хосту.
Для создания фильтра:
В разделе
Фильтры устройств USB нажать кнопку
Откроется новое окно, в котором все поля изначально пустые — такой фильтр будет соответствовать любому подключённому USB-устройству.
Чтобы создать более точный фильтр, можно нажать кнопку
и выбрать одно из подключённых устройств — система автоматически заполнит поля на основе его характеристик.
В диалоговом окне
Свойства USB-фильтра можно
Чем больше критериев будет указано, тем точнее будет фильтрация. Например:
если указан только идентификатор поставщика, фильтр будет подходить всем устройствам этого производителя;
если указан идентификатор поставщика, идентификатор продукта и серийный номер, фильтр будет соответствовать только конкретному устройству.
Для получения информации о подключённых к хостовой машине USB-устройствах можно использовать одну из следующих команд:
$ VBoxManage list usbhost
или
$ lsusb
Параметр Удаленный в настройках фильтра указывает, будет ли устройство локальным или удалённым (через VRDP).
Фильтры можно включать/отключать, не удаляя их — для этого достаточно снять отметку рядом с именем фильтра.
USB-устройства без соответствующего фильтра могут передаваться гостевой системе вручную, например, с помощью меню → :
Раздел Общие папки позволяет обмениваться данными между хостовой и гостевой системами.
Для использования общих папок необходимо чтобы в гостевой ОС были установлены гостевые дополнения.
Раздел изменить внешний вид и поведение пользовательского интерфейса ВМ.
Параметры настраиваемые в разделе :
Строка меню — позволяет отключить определенные меню, отдельные пункты меню или всю строку меню;
Режим внешнего вида — позволяет выбрать режим отображения ВМ (оконный, полноэкранный, масштабируемый, бесшовный);
Мини тулбар:
Использовать в полноэкранных режимах — отображает мини-панель инструментов в полноэкранном или интегрированном режиме;
Расположить сверху экрана — позволяет разместить мини-панель в верхней части экрана, а не в нижней;
Строка состояния — позволяет включать или отключать отдельные значки в строке состояния, изменить порядок значков или полностью скрыть строку состояния.
VirtualBox обладает высокой гибкостью в виртуализации сети: для каждой ВМ поддерживается до восьми виртуальных сетевых адаптеров. Первые четыре можно настроить в графическом интерфейсе VirtualBox, остальные — с помощью команды VBoxManage.
Каждую виртуальную сетевую карту можно настроить в одном из следующих режимов:
NAT (Трансляция сетевых адресов)
Режим используется по умолчанию. Для каждой ВМ создаётся отдельная внутренняя локальная сеть, в которой гостевая ОС получает IP-адрес, например, 10.0.2.15. Система имеет доступ к Интернету через NAT, но недоступна снаружи без настройки проброса портов. В этом режиме невозможно сетевое взаимодействие между ВМ.
Сеть NAT
Позволяет нескольким ВМ находиться в одной внутренней NAT-сети. Каждая машина подключается к изолированному виртуальному маршрутизатору с поддержкой DHCP. Связь между ВМ внутри одной NAT-сети возможна. Доступ к внешней сети есть, но подключение из внешнего мира требует проброса портов. GUI для настройки DHCP-сервера отсутствует — параметры задаются только через VBoxManage.
Сетевой мост
ВМ становится полноправным участником физической сети хоста. Она получает IP-адрес от маршрутизатора или DHCP-сервера, подключённого к хосту. Другие устройства в сети могут напрямую взаимодействовать с ВМ. Этот режим подходит для серверов и тестирования, где необходим полноценный сетевой доступ.
Виртуальный адаптер
В этом режиме создаётся виртуальный адаптер на хосте, к которому могут подключаться ВМ. Доступ к Интернету отсутствует, но машины могут взаимодействовать между собой и с хост-системой. Хост в такой сети доступен по адресу 192.168.56.1.
Внутренняя сеть
Аналогична предыдущему режиму, но без участия хост-системы. ВМ могут взаимодействовать только друг с другом, доступ к внешней сети отсутствует.
Универсальный драйвер
Используется для нестандартных сетевых подключений — например, для соединения ВМ, запущенных на разных физических машинах. Требует дополнительной настройки и драйвера из расширений VirtualBox.
Облачная сеть
Позволяет подключить локальную ВМ к подсети облачной инфраструктуры. Поддержка зависит от установленных плагинов и настроек облачного провайдера.
Не подключен
Адаптер присутствует, но не подключён к какой-либо сети. Можно использовать для эмуляции отключения кабеля Ethernet, что полезно для тестирования поведения системы при потере связи.
Таблица 88.2. Сравнение основных сетевых режимов
|
|
ВМ→Хост
|
Хост→ВМ
|
ВМ1↔ВМ2
|
ВМ→Интернет
|
Интернет→ВМ
|
|
Виртуальный адаптер
|
+
|
+
|
+
|
-
|
-
|
|
Внутренняя сеть
|
-
|
-
|
+
|
-
|
-
|
|
Сетевой мост
|
+
|
+
|
+
|
+
|
+
|
|
NAT
|
+
|
Через проброс портов
|
-
|
+
|
Через проброс портов
|
|
Сеть NAT
|
+
|
Через проброс портов
|
+
|
+
|
Через проброс портов
|
88.5.2. NAT (Network Address Translation)
Этот режим задаётся для ВМ по умолчанию. Он обеспечивает минимально необходимую сетевую функциональность — выход в Интернет без дополнительной настройки.
В NAT-схеме гостевая ОС использует приватный IP-адрес, недоступный из внешней сети. VirtualBox эмулирует работу маршрутизатора: создаётся виртуальный NAT-шлюз, который принимает и перенаправляет сетевой трафик между ВМ и хостом.
Для каждой ВМ создаётся отдельная NAT-сеть. Связь между машинами в этом режиме невозможна, так как соединения изолированы.
VirtualBox использует встроенный DHCP-сервер, чтобы выдавать адреса ВМ. Первый сетевой адаптер получит адрес 10.0.2.15, сетевой шлюз — 10.0.2.2, сервер имен (DNS) — 10.0.2.3. Дополнительные сетевые адаптеры будут подключены к другим подсетям (10.0.3.0, 10.0.4.0 и так далее).
NAT работает стабильно, даже если хост перемещается между сетями (например, при смене Wi-Fi на Ethernet).
Изменить подсеть NAT можно, выполнив команду:
$ VBoxManage modifyvm "Имя ВМ" --natnet1 "192.168/16"
Эта команда зарезервирует сетевые адреса от 192.168.0.0 до 192.168.254.254 для первого NAT-интерфейса ВМ. Гостевая операционная система получит адрес 192.168.0.15, а шлюз по умолчанию — 192.168.0.2.
Недостатком режима NAT является то, что ВМ не доступна из внешней сети. Чтобы развернуть на ней сервер (например, веб-сервер), необходимо вручную настроить проброс портов.
Сеть NAT представляет подобие локальной подсети, являющейся общей для всех ВМ, входящих в ее состав:
Для настройки такого подключения необходимо сначала создать сеть NAT.
88.5.3.1. Создание сети NAT
Для создания сети NAT в главном окне менеджера VirtualBox следует открыть Менеджер сетей (Ctrl+H), перейти на вкладку Сети NAT и нажать кнопку Создать:
По умолчанию будет создана сеть NatNetwork (с адресацией 10.0.2.0/24). В этой статической конфигурации шлюзу будет назначен адрес 10.0.2.1 (первый адрес после адреса интерфейса).
Чтобы изменить параметры сети NAT, следует нажать кнопку Свойства. Откроется окно настроек, где можно изменить имя сети, адрес сети, включить поддержку DHCP и IPv6, а также настроить проброс портов:
88.5.3.2. Создание сети NAT в консоли
Для создания сети NAT можно использовать утилиту командной строки VBoxManage.
Примеры
создание сети NAT:
$ VBoxManage natnetwork add --netname natnet1 --network "10.0.2.0/24" --enable
где:
добавление DHCP-сервера в сеть:
$ VBoxManage natnetwork modify --netname natnet1 --dhcp on
запуск службы NAT:
$ VBoxManage natnetwork start --netname natnet1
остановка сети NAT (включая DHCP-сервер):
$ VBoxManage natnetwork stop --netname natnet1
просмотр списка зарегистрированных сетей NAT:
$ VBoxManage list natnetworks
88.5.3.3. Настройка ВМ на использование сети NAT
Чтобы настроить ВМ на использование ранее созданной сети NAT, необходимо:
Открыть настройки нужной ВМ.
Перейти на вкладку .
Выбрать один из адаптеров.
В списке выбрать пункт .
В списке выбрать созданную ранее сеть NAT:
Все ВМ, подключенные к этой сети, будут доступны друг другу.
Режим Сетевой мост является самым простым и не требует дополнительной настройки. При использовании этого режима ВМ работает так же, как и любое другое устройство в локальной сети. Сетевой адаптер ВМ в этом случае действует как мост между виртуальной и физической сетями.
Режим Сетевой мост использует физический сетевой адаптер хост-системы, создавая собственное прямое подключение к маршрутизатору. При установлении соединения ВМ получает IP-адрес из диапазона сети. Для маршрутизатора это выглядит так, как будто к сети подключено ещё одно физическое устройство:
Все устройства, находящиеся за маршрутизатором, остаются невидимыми из внешней сети. Таким образом, сетевой трафик между хост-системой и ВМ циркулирует только внутри локальной сети. Такой трафик не может быть перехвачен или прослушан извне.
Чтобы настроить соединение в режиме
Сетевой мост, необходимо:
Открыть настройки нужной ВМ.
Перейти на вкладку .
Выбрать один из адаптеров.
В списке выбрать пункт .
На хост-системе могут быть активны одновременно несколько сетевых интерфейсов, например, проводное подключение (eth0) и беспроводное (wlan0). В списке можно указать, какой именно интерфейс использовать в качестве моста.
Тип подключения Внутренняя сеть симулирует закрытую локальную сеть, доступную только ВМ, входящим в её состав. Такая сеть полностью изолирована как от хост-системы, так и от внешних устройств.
Внутренняя сеть по своему принципу похожа на режим Сетевой мост: ВМ могут обмениваться данными друг с другом, но не имеют доступа за пределы сети. Поскольку ни одна из ВМ не имеет прямого доступа к физическому сетевому адаптеру хост-системы, сеть получается полностью изолированной — как снаружи, так и изнутри.
Сеть создается автоматически при выборе соответствующего типа подключения. Дополнительных настроек этот режим не требует — пользователь может лишь задать имя сети.
Чтобы подключить ВМ к внутренней сети, необходимо:
Открыть настройки нужной ВМ.
Перейти на вкладку .
Выбрать один из адаптеров.
В списке выбрать пункт .
В списке выбрать нужную сеть или создать новую, просто изменив имя текущей:
Для объединения нескольких машин в одну внутреннюю сеть необходимо указать одинаковое имя сети на всех ВМ.
Далее можно либо настроить сетевой интерфейс гостевой ОС вручную (с использованием статических IP-адресов), либо воспользоваться встроенным в VirtualBox DHCP-сервером.
Настройка подключения к внутренней сети в командной строке:
Установка типа подключения:
$ VBoxManage modifyvm "Имя ВМ" --nic<N> itnet
Указание имени внутренней сети:
$ VBoxManage modifyvm "Имя ВМ" --itnet<N> "Имя Сети"
Если имя сети не указывать, сетевая карта будет подключена к сети по умолчанию.
88.5.6. Виртуальный адаптер
Режим Виртуальный адаптер создает сеть между хост-системой и ВМ, минуя физическую сетевую карту. На хосте создаётся программный сетевой интерфейс, предназначенный для обмена данными между хост-системой и ВМ. Все ВМ, подключённые к такому адаптеру, могут взаимодействовать друг с другом и с хостом, как если бы были подключены к одному коммутатору. Так же, как и в режиме Внутренняя сеть, физический интерфейс ВМ не предоставляется, а значит, машины не имеют доступа к внешней сети:
Для использования этого режима необходимо предварительно создать хотя бы один виртуальный интерфейс хоста.
88.5.6.1. Создание интерфейса в менеджере VirtualBox
Для создания интерфейса в главном окне менеджера VirtualBox следует открыть Менеджер сетей (Ctrl+H), перейти на вкладку Виртуальные сети и нажать кнопку Создать:
В хост-системе появится новое сетевое устройство vboxnet0, которому по умолчанию будет присвоен IP-адрес 192.168.56.1/24. Это устройство соединяет виртуальную подсеть с хост-системой, при этом не имея выхода во внешнюю сеть.
Чтобы изменить параметры интерфейса, следует нажать кнопку Свойства. В открывшемся окне на вкладке можно указать IP-адрес и маску подсети. Указанные значения сразу будут применены к виртуальному адаптеру на стороне хоста.
Чтобы не назначать IP-адрес каждой ВМ вручную, можно активировать встроенный DHCP-сервер VirtualBox. Для этого необходимо перейти на вкладку и активировать опцию DHCP-сервер (вне зависимости от того, статический или динамический IP-адрес присвоен сетевому адаптеру):
Адрес DHCP-сервера следует выбирать в том же диапазоне, что и адрес виртуального адаптера хоста, и он не должен пересекаться с адресами физических сетевых адаптеров.
88.5.6.2. Создание виртуального интерфейса в консоли
Для создания интерфейса можно воспользоваться утилитой командной строки
VBoxManage:
$ VBoxManage hostonlyif create
После выполнения этой команды в системе появится новый виртуальный интерфейс.
Чтобы подключить ВМ к виртуальному адаптеру хоста, необходимо:
Открыть настройки нужной ВМ.
Перейти на вкладку .
Выбрать один из доступных сетевых адаптеров.
В списке выбрать .
В списке выбрать ранее созданный виртуальный интерфейс:
Для объединения нескольких машин в одну виртуальную сеть необходимо выбрать один и тот же виртуальный адаптер для всех ВМ.
88.5.6.4. Обход ограничений режима NAT
Ограничения режима NAT можно обойти, пробросив порты для входящих соединений или добавив второй сетевой адаптер с типом подключения Виртуальный адаптер. Оба метода позволяют установить входящие соединения между хост-системой и локальным сервером внутри ВМ.
88.5.6.4.1. NAT/Сеть NAT + Виртуальный адаптер
При совместном использовании двух режимов получается полноценное сетевое соединение. Все входящие пакеты проходят через виртуальный адаптер, обходя тем самым ограничения NAT режимов.
Настройка связки
NAT +
Виртуальный адаптер:
Создать и настроить виртуальный адаптер (см.
Виртуальный адаптер) DHCP-сервер для устройства vboxnet0 можно отключить.
Открыть настройки нужной ВМ.
Перейти на вкладку .
Настроить первую сетевую карту () на использование виртуального адаптера хоста:
Настроить вторую сетевую карту () на использование режима NAT:
Запустить ВМ и назначить статический IP-адрес на первом сетевом адаптере.
Всегда устанавливайте первый адаптер для связи с хост-системой, а второй адаптер — для выхода в Интернет.
Пример результата настройки:
$ ip -br addr
lo UNKNOWN 127.0.0.1/8 ::1/128
enp0s3 UP 192.168.56.7/24
enp0s8 UP 10.0.3.15/24
Настройка связки
Сеть NAT +
Виртуальный адаптер:
Создать и настроить интерфейс (см.
Виртуальный адаптер) DHCP-сервер для устройства vboxnet0 можно отключить.
Добавить
Сеть NAT и отключить для неё DHCP-сервер.
Открыть настройки нужной ВМ.
Перейти на вкладку .
Настроить первую сетевую карту () на использование виртуального адаптера хоста:
Настроить вторую сетевую карту () на использование режима Сеть NAT:
Запустить ВМ и назначить статические IP-адреса для обоих интерфейсов.
Пример результата настройки:
$ ip -br addr
lo UNKNOWN 127.0.0.1/8 ::1/128
enp0s3 UP 192.168.56.7/24
enp0s8 UP 10.2.0.15/24
88.5.6.4.2. NAT/Сеть NAT + Проброс портов
Проброс портов позволяет получить доступ к сетевым службам гостевой ОС из внешних источников. Этот метод предпочтительнее, чем переход в режим моста, так как пользователь сам управляет, какие порты будут доступны извне.
С помощью проброса портов VirtualBox обеспечивает доступ к нужным службам, перенаправляя запросы, поступающие на хост-систему, к гостевой машине. Это особенно полезно, если ВМ используется как сервер, к которому необходимо подключаться извне (например, по SSH или HTTP).
Для настройки проброса портов в режиме
NAT необходимо:
В сетевых настройках ВМ на вкладке нужного адаптера нажать кнопку Проброс портов.
В открывшемся окне добавить новое правило:
Для настройки проброса портов в режиме
Сеть NAT необходимо:
Отрыть настройки сети NAT и перейти на вкладку Проброс портов.
Задать параметры правила:
Правила проброса портов заполняются следующим образом:
Имя — может быть любым, для удобства можно называть правило именем протокола или службы, работу которого оно обеспечивает;
Протокол — протокол, который использует служба (TCP или UDP);
Адрес хоста — IP-адрес машины, на который будут идти запросы на соединение (хостовой ОС). Обычно указывается localhost 127.0.0.1;
Порт хоста — порт хост-системы, на который поступают запросы на соединение (любой свободный порт > 1024);
Адрес гостя — IP-адрес ВМ;
Порт гостя — порт ВМ, на котором работает нужная служба.
Проброс портов работает только при включённой ВМ. Если ВМ выключена, запросы на соответствующий порт будут игнорироваться или обрабатываться хост-системой.
Для настройки проброса портов в режиме NAT можно использовать команду:
$ VBoxManage modifyvm "ALT Workstation" --natpf1 "SSH,tcp,127.0.0.1,2222,10.0.2.15,22"
здесь
ALT Workstation — имя ВМ;
natpf1 — правило для первого адаптера с NAT;
SSH — имя правила;
tcp — используемый протокол;
127.0.0.1,2222 — адрес и порт на хост-системе;
10.0.2.15,22 — адрес и порт на гостевой системе.
Имя правила должно быть уникальным.
88.6. Виртуальное хранилище
88.6.1. Контроллеры жёстких дисков
VirtualBox поддерживает эмуляцию большинства распространённых типов контроллеров жёстких дисков, включая: IDE (ATA), Serial ATA (SATA), SCSI, Serial Attached SCSI (SAS), USB-накопители, NVMe и устройства хранения данных virtio-scsi. Каждый из них имеет свои особенности и область применения. Ниже приведено описание каждого типа контроллера.
IDE (ATA)
Это обратно совместимый, но устаревший стандарт. Изначально этот интерфейс работал только с жёсткими дисками, позже стал поддерживать CD-ROM и другие съёмные носители. В VirtualBox каждая ВМ может иметь один включённый IDE-контроллер, поддерживающий до четырёх виртуальных устройств. По умолчанию один из слотов (обычно Secondary Master) настроен на виртуальный привод CD/DVD.
Serial ATA (SATA)
Более современная и производительная замена IDE. Интерфейс SATA в VirtualBox реализован через AHCI (Advanced Host Controller Interface) — стандартный режим работы SATA-контроллеров. SATA-контроллер в VirtualBox меньше нагружает процессор, по сравнению с IDE. Позволяет подключить до 30 виртуальных дисков к одной ВМ (в отличие от 3 в IDE + 1 CD/DVD). Первые четыре слота (0–3) по умолчанию работают в режиме совместимости с IDE. VirtualBox по умолчанию использует SATA для новых ВМ. При создании новой ВМ автоматически создаётся один SATA-контроллер, к которому подключается основной виртуальный диск.
SCSI (Small Computer System Interface)
Универсальный интерфейс передачи данных, поддерживающий не только дисковые устройства, но и другие типы оборудования. Виртуализация SCSI в VirtualBox включает поддержку контроллеров LSI Logic и BusLogic. К каждому контроллеру можно подключить до 15 виртуальных жёстких дисков. Используется в первую очередь для совместимости с другими системами виртуализации.
Serial Attached SCSI (SAS)
Это последовательная версия SCSI, которая заменяет параллельные кабели на более простые и надёжные последовательные соединения. SAS можно рассматривать как аналог SATA для SCSI: он имеет более высокую производительность и надёжность. VirtualBox эмулирует контроллер LSI Logic SAS, который включается аналогично SCSI. Поддерживает подключение до 255 виртуальных устройств.
USB
Стандарт подключения внешних запоминающих устройств, таких как жёсткие диски и флеш-накопители. Поддерживается большинством современных ОС без необходимости установки дополнительных драйверов. Виртуальный USB-контроллер в VirtualBox работает иначе, чем другие типы контроллеров:
не представляет собой один контроллер с несколькими дисками;
каждое устройство отображается как отдельное USB-устройство в гостевой ОС;
загрузка с USB-накопителей возможна только при использовании EFI, так как BIOS не поддерживает USB-загрузку.
NVMe (Non-Volatile Memory Express)
Это высокоскоростной протокол, разработанный специально для твердотельных накопителей (SSD), подключаемых через PCI Express. Используется для снятия ограничений SATA и достижения максимальной пропускной способности. Для использования NVMe-дисков гостевая ОС должна поддерживать этот стандарт. Контроллер NVMe является частью пакета расширений. Загрузка с NVMe-дисков возможна только при использовании EFI, так как BIOS не поддерживает NVMe.
virtio-scsi
Это стандарт для виртуализации устройств хранения данных, включая жёсткие диски и оптические приводы. Предоставляет более высокую производительность и гибкость по сравнению с другими типами контроллеров. Поддерживает современные гостевые ОС с драйверами virtio.
Таблица 88.3. Категории слотов виртуального хранилища
|
Тип контроллера
|
Масксимум устройств
|
Примечание
|
|
IDE
|
4
|
Всегда доступен. Один слот обычно занят виртуальным CD/DVD
|
|
SATA (AHCI)
|
30
|
Используется по умолчанию. Требует поддержки ОС
|
|
SCSI
|
15
|
Поддерживает LSI Logic и BusLogic
|
|
SAS
|
255
|
Поддерживает современные высокопроизводительные диски
|
|
USB
|
8
|
Представляет устройства как отдельные USB-накопители
|
|
NVMe
|
255
|
Требует поддержки ОС и установленного Extension Pack
|
|
virtio-scsi
|
256
|
Экспериментальная поддержка. Требует гостевых драйверов
|
Эти значения могут отличаться в зависимости от гостевой ОС и настроек.
Следует избегать использования IDE, если только это не единственный контроллер, поддерживаемый гостевой ОС. Использование SATA, SCSI или SAS не имеет принципиального значения.
88.6.2. Файлы образов дисков (VDI, VMDK, VHD, HDD)
Файлы образов дисков находятся в хост-системе и воспринимаются гостевыми системами как жёсткие диски. Когда гостевая ОС считывает данные с жёсткого диска или записывает их на него, VirtualBox перенаправляет запрос к файлу образа.
Поддерживаемые форматы виртуальных дисков:
VDI (VirtualBox Disk Image) — собственный формат VirtualBox;
VHD (Virtual Hard Disk) — формат Microsoft;
VMDK (Virtual Machine Disk) — формат VMware;
HDD (Parallels Hard Disk) — файлы образов Parallels версии 2 (формат HDD);
QCOW (QEMU Copy-On_Write) — формат QEMU;
QED (QEMU enhanced disk) — улучшенный формат QEMU.
Есть два варианта создания образа диска:
Фиксированный размер
Резервируется сразу весь объем.
Динамически выделяемый
Диск растёт по мере заполнения.
88.6.3. Менеджер виртуальных носителей
VirtualBox отслеживает все образы жёстких, CD/DVD и дискет, используемых ВМ. Доступ к списку (реестру) носителей можно получить, используя утилиту Менеджер виртуальных носителей (Ctrl+D):
Образы дисков сгруппированы в отдельных вкладках:
образы жёстких дисков, как в формате образа виртуального диска (VDI) VirtualBox, так и в сторонних форматах (VDI, VMDK, VHD, HDD);
образы CD/DVD в формате ISO;
образы дискет в формате RAW.
Для каждого образа диспетчер виртуальных носителей отображает полный путь к файлу образа и другую информацию, например, к какой ВМ он в данный момент подключен. Для просмотра этих данных необходимо нажать кнопку Свойства.
Менеджер виртуальных носителей позволяет выполнять следующие действия:
добавить существующий файл образа (кнопка Добавить);
создать новый образ диска (кнопка Создать);
копировать образ для создания другого образа (кнопка Копировать);
перемещать образ в другое место (кнопка Переместить);
удалить образ (кнопка Удалить);
отсоединить образ от ВМ (кнопка Отключить);
88.7. Удалённый доступ к ВМ
VirtualBox предоставляет возможность организовать удалённый доступ к ВМ. Это реализуется через интерфейс расширения, называемый VirtualBox Remote Desktop Extension (VRDE).
Базовый пакет VirtualBox предоставляет только интерфейс VRDE, тогда как сами реализации VRDE-модулей предоставляются отдельно, например:
VNC — реализация удалённого доступа через протокол VNC (имеет открытый исходный код и включен в пакет virtualbox);
Oracle VirtualBox Extension Pack — содержит реализацию протокола VRDP (RDP), шифрование, поддержку веб-камер и другие функции.
Можно установить оба пакета расширеий (Oracle VirtualBox Extension Pack и VNC), но одновременно может быть активен только один модуль VRDE.
88.7.1. Настройка доступа по VNC
Пример настройки доступа по VNC:
Переключить на VNC как активный VRDE-модуль:
$ VBoxManage setproperty vrdeextpack VNC
Включить VRDE (в данном случае — VNC) для ВМ:
$ VBoxManage modifyvm "ALT Workstation" --vrde on
Установить пароль для подключения:
$ VBoxManage modifyvm "ALT Workstation" --vrdeproperty "VNCPassword=secret"
Для подключения к ВМ можно использовать, например, VNC-клиент
remote-viewer из пакета
virt-viewer. Необходимо указать IP-адрес хост-системы в качестве адреса сервера для подключения и номер порта, который использует VRDP-сервер:
$ remote-viewer vnc://192.168.0.200:3389
88.7.2. Настройки подключения по RDP
Для использования протокола RDP должен быть установлен Oracle VirtualBox Extension Pack, который содержит реализацию VRDP — расширения протокола RDP от Microsoft.
VRDP — это обратно совместимое расширение протокола Microsoft RDP. Это позволяет использовать любой стандартный RDP-клиент для подключения к ВМ.
Пример настройки доступа по RDP:
Переключить на Extension Pack как активный VRDE-модуль:
$ VBoxManage setproperty vrdeextpack "Oracle VirtualBox Extension Pack"
Включить VRDE (в данном случае — RDP) для ВМ:
$ VBoxManage modifyvm "ALT Workstation" --vrde on
По умолчанию сервер VRDP использует TCP-порт 3389. Так как один порт может использоваться только одним сервером, если нужно запускать более одной ВМ с VRDP, необходимо назначить каждой ВМ свой порт или диапазон портов:
$ VBoxManage modifyvm "ALT Workstation" --vrde-port 5000,5010-5012
VRDP-сервер привяжется к первому доступному порту из указанного списка.
Фактический порт, используемый работающей ВМ, можно узнать с помощью команды:
$ VBoxManage showvminfo VM-name | grep VRDE
Если хостовая ОС поддерживает IPv6, сервер VRDP будет автоматически прослушивать соединения и по IPv6, и по IPv4.
Для подключения к удалённой ВМ можно использовать любое стандартное средство просмотра RDP. Для этого необходимо указать IP-адрес хост-системы в качестве адреса сервера для подключения. Также необходимо указать номер порта, который использует VRDP-сервер. Пример подключения с помощью krdc:
$ krdc rdp://192.168.0.200:3389
88.7.3. VBoxHeadless — сервер удалённого рабочего стола
VirtualBox поставляется с внешним интерфейсом VBoxHeadless, который позволяет запускать ВМ в фоновом режиме, предоставляя при необходимости доступ через VRDP.
Запустить ВМ в фоновом режиме можно, выполнив команду:
$ VBoxManage startvm VM-name --type headless
Запустить VBoxHeadless также можно из графического интерфейса VirtualBox, удерживая клавишу Shift при запуске ВМ или выбрав пункт в меню .
Если ВМ запускается напрямую через VBoxHeadless, сервер VRDP будет активирован в соответствии с её конфигурацией. При необходимости это поведение можно переопределить параметром --vrde.
Запустить ВМ с включённым VRDP:
$ VBoxHeadless --startvm VM-name --vrde on
Запустить ВМ с отключённым VRDP:
$ VBoxHeadless --startvm VM-name --vrde off
При запуске ВМ с помощью команды VBoxManage startvm всегда применяются параметры конфигурации ВМ.
88.7.4. Раздельный режим
Раздельный режим — это альтернативный интерфейс запуска для локальных и удалённых ВМ. Он основан на VBoxHeadless, но вместо клиента RDP использует графический интерфейс VirtualBox для управления и отображения ВМ. В этом режиме расширение VRDE не требуется.
Раздельный режим позволяет подключаться к работающей ВМ и отключаться от неё, не прерывая выполнение. Это особенно удобно для пользователей с несколькими запущенными ВМ: отображается только нужная, остальные продолжают работать в фоновом режиме до востребования.
Для запуска ВМ в раздельном режиме необходимо в контекстном меню ВМ выбрать пункт → .
Чтобы отключиться от ВМ в раздельном режиме, нужно в меню работающей ВМ выбрать .
Для подключения к ВМ, работающей в фоновом режиме, необходимо выбрать ВМ и нажать кнопку Показать.
Часть XI. Обновление ядра
Глава 96. Обновление ядра ОС в ЦУС
Центр управления системой содержит модуль
Обновление ядра ( → ), который реализует функционал утилиты
update-kernel. Данный модуль предоставляет возможность:
просматривать список установленных ядер;
устанавливать, обновлять и удалять ядра;
задавать ядро, загружаемое по умолчанию;
устанавливать и удалять отдельные модули ядра.
В главном окне модуля отображается ядро, выбранное для загрузки по умолчанию, список установленных ядер (поле Установленные ядра) и список установленных модулей ядра (поле Установленные модули).
В дистрибутиве Альт Рабочая станция K можно одновременно установить несколько версий ядра одного типа. После установки или обновления ядра предыдущие версии сохраняются в системе. Если при работе с новой версией возникнут проблемы, можно выбрать ранее установленное ядро.
Для этого необходимо выбрать нужное ядро в списке Установленные ядра и нажать кнопку Сделать ядро загружаемым по умолчанию.
Накопленный при обновлениях набор ранее установленных ядер можно удалить, чтобы освободить дисковое пространство. Для этого следует выбрать нужное ядро в списке Установленные ядра и нажать кнопку Удалить ядро.
При установке ОС автоматически устанавливаются модули ядра для поддержки различного оборудования, в том числе видеокарт. Чтобы сократить объем данных, загружаемых при обновлении, можно удалить неиспользуемые модули. Для этого в списке Установленные ядра следует выбрать ядро, модули которого нужно удалить, затем в списке Установленные модули выделить удаляемые модули и нажать кнопку Удалить модуль.
Чтобы обновить ядро или установить модули ядра, необходимо нажать кнопку Обновить ядро….
При нажатии кнопки Обновить ядро… локальная база данных пакетов синхронизируется с удалённым репозиторием. Операция может занять некоторое время.
В открывшемся окне отображается доступное для установки или обновления ядро либо сообщение о том, что установлена последняя доступная версия ядра.
Чтобы обновить ядро, необходимо нажать кнопку Обновить ядро. В появившемся диалоговом окне следует нажать кнопку Да для подтверждения операции или Нет для ее отмены.
Установленное ядро станет загружаемым по умолчанию.
Новое ядро будет использоваться после перезагрузки системы. Если при загрузке или работе с новым ядром возникнут проблемы, можно выбрать предыдущую версию ядра в меню загрузчика.
Если ядро не требует обновления, в списке Доступные модули можно отметить модули, доступные к установке, и нажать кнопку Установить модули.
Глава 97. Обновление ядра ОС в консоли
Для обновления ядра ОС используется команда:
# update-kernel -u
Параметр -u выполняет команду apt-get update перед выполнением команды update-kernel.
Новое ядро будет использоваться после перезагрузки системы. Если при загрузке или работе с новым ядром возникнут проблемы, можно выбрать предыдущую версию ядра в меню загрузчика.
После успешной загрузки системы с новым ядром при необходимости можно удалить старые ядра командой:
# remove-old-kernels
При обновлении ядра команда update-kernel также устанавливает или обновляет соответствующие модули ядра, если необходимые пакеты доступны в репозиториях.
Для установки или обновления отдельного модуля ядра используется команда:
# apt-get install kernel-modules-<модуль>-<тип ядра>
Например, для установки модуля virtualbox, если текущий тип ядра 6.12, следует выполнить команду:
# apt-get install kernel-modules-virtualbox-6.12
Перед установкой модуля убедитесь, что установлено ядро соответствующего типа и версии, для которого предназначен этот модуль.
() на экране появится виртуальная клавиатура, её можно использовать для ввода имени пользователя и пароля:
. С её помощью можно подключиться к уже настроенной сети или выбрать подключение из списка.
:
или пункт → → ). Здесь можно изменять фон рабочего стола, тему значков, цветовую схему, шрифты, внешний вид и поведение окон, а также настраивать различные системные параметры. В KDE6 персонализация интерфейса ограничена лишь вашей фантазией.
;
():
():
