Põrandaalune hostimine: koduhostingu hirmutav praktika

«Põrandaalune» hostimine on slängiterminus serveri kohta, mis asub tavalisest eluruumist ja on ühendatud koduse internetiühendusega. Sellistel serveritel majutati tavaliselt avalikku FTP-serverit, omaniku kodu veebilehte ja mõnikord isegi terve hulk hostimislahendusi teiste projektide jaoks. See nähtus oli levinud varastes ajades, mil kodune internet oli veel kergelt ligipääsetav, kuid pühendatud serveri rentimine andmekeskuses oli liiga kallis ja virtuaalsed serverid polnud veel levinud ning mugavad.

Elavdatud «põrandaalune» server oli enamasti vana arvuti, kuhu paigutati kõik leitud kõvakettad. See võis samuti täita kodurouteri ja tulemüüri rolli. Selline server oli iga eneseuhkava telekomi töötaja kodus kohustuslik.

Kuna taskukohased pilveteenused on saadaval, on kodused serverid muutunud vähem populaarseks ja tänapäeval on eluruumides maksimaalselt vaid NAS-failiserverid fotogalerii, filmide ja varukoopiate talletamiseks.

Artiklis vaadatakse naljakaid olukordi, millega kodused serverid taastuvad, ja probleeme, millega silmitsi seisavad nende administraatorid. Vaatame, kuidas see nähtus tänapäeval välja näeb ja valime, mida toredat saaks oma põrandaalusel serveril hostida.

Koduvõrgu serverid Uues Kahhovkas. Foto saidilt nag.ru

Õige IP-aadress

Peamine nõue kodusele serverile oli reaalne, st internetist marsruutitav IP-aadress. Paljud teenusepakkujad ei pakkunud sellist teenust eraisikutele ja selle hankimine pidi toimuma erikaubanduse alusel. Tihti nõudis teenusepakkuja eraldi lepingu sõlmimist pühendatud IP pakkumiseks. Mõnikord hõlmas see protseduur isegi eraldi NIC Handle'i loomist omaniku jaoks, mille tulemusena tema nimi ja kodune aadress olid kergesti kätte saadavad Whois käsuga. Siinkohal tuli internetis vaidlustes ettevaatlik olla, sest nali «IP järgi leidmise» üle lõpetas oma naljakuse. Muide, mitte nii kaua tagasi oli skandaal teenusepakkuja Akado, kes otsustas Whoisi andmebaasis avaldada kõigi oma klientide isikuandmed.

Püsiv IP-aadress vs DynDNS

Hea, kui õnnestus saada püsiv IP-aadress — siis sai kergesti suunata kõik domeeninimed sellele ja unustada, kuid see ei olnud alati võimalik. Paljud suured ADSL teenusepakkujad, kellel oli föderaalne mure, andsid klientidele reaalse IP-aadressi ainult sessiooni eluea ajaks, see tähendab, et see võis muutuda kas kord päevas või modemite taaskäivitamisel või ühenduse katkemisel. Sellisel juhul tulid appi Dyn (dünaamiline) DNS teenused. Kõige populaarsem teenus Dyn.com, mis oli pikka aega tasuta, andis võimaluse saada alamdomeen tsoonis *.dyndns.org, mis suutis kiiresti uuendada IP-aadressi muutumisel. Kliendi poolel töötav spetsiaalne skript saatis pidevalt päringuid DynDNS serverisse ja juhul, kui selle väljuv aadress muutus, määrati uus aadress kohe alamdomeeni A-kirjesse.

Suletud pordid ja keelatud protokollid

Paljud teenusepakkujad, eriti suured ADSL, olid vastu sellele, et kasutajad majutaksid oma aadressidel avalikke teenuseid, seega keelasid nad sisenevad ühendused populaarsetel pordidel nagu HTTP. On teada juhtumeid, kui teenusepakkujad blokeerisid mänguserverite pordid, nagu Counter-Strike ja Half-Life. See praktika on endiselt populaarne, põhjustades mõnikord probleeme. Näiteks blokeerivad peaaegu kõik teenusepakkujad Windowsi RPC ja NetBios pordid (135-139 ja 445), et vältida viiruste levikut, samuti sageli sisenevad pordid e-posti protokollide SMTP, POP3, IMAP jaoks.

Teenusepakkujad, kes pakuvad lisaks internetiteenustele ka IP-telefoniteenuseid, armastavad blokeerida SIP protokolli porte, sundides seeläbi kliente kasutama vaid nende telefoniteenuseid.

PTR ja e-posti saatmine

Omaenda meiliserveri majutamine on eraldi suur teema. Omandada isiklik meiliserver, mis on täielikult teie kontrolli all — on väga ahvatlev idee. Kuid rakendamine praktikasse ei osutunud alati võimalikuks. Enamik koduste teenusepakkujate IP-aadresside vahemikke on püsivalt blokeeritud rämpsposti nimekirjades (Policy Block List), seega keeldusid meiliserverid lihtsalt aktsepteerimast sisenevaid SMTP ühendusi koduste teenusepakkujate IP-aadressidelt. Seetõttu oli sellisest serverist kirja saatmine praktiliselt võimatu.

Lisaks sellele oli edukaks e-posti saatmiseks vajalik määrata õige PTR-kirje IP-aadressile, st pöördprotsess IP-aadressist domeeninimeks. Enamiku teenusepakkujate puhul nõuti selleks eraldi kokkuleppeid või lepingut.

Otsime naabrite aluseks olevad serverid

Kasutades PTR-kirjeid, saame vaadata, kes meie IP-aadresside naabritest on kokku leppinud erilise DNS-kirje seadistamise oma IP jaoks. Selleks võime võtta meie koduse IP-aadressi ja käivitada selle jaoks käsu whois, ja saame vahemiku aadresse, mida teenusepakkuja oma klientidele jagab. Selliseid vahemikke võib olla palju, aga katse jaoks kontrollime ühte.

Meie puhul on see teenusepakkuja Onlaim (Rostelecom). Sisestame 2ip.ru ja saame meie IP-aadressi:

Ütlemata, Onlaim on üks neist teenusepakkujatest, kes annab oma klientidele alati staatilise IP-aadressi, isegi ilma eraldi staatilise IP-teenuse tellimata. Sellegipoolest võib aadress muutumatuks jääda kuudeks.

Töötame välja kogu aadressivahemiku 95.84.192.0/18 (umbes 16 tuhat aadressi) nmap'i abil. Valik -sL ei tee essentsiaalselt aktiivset skaneerimist, vaid saadab ainult DNS-päringud, seega näeme tulemustes ainult ridu, mis sisaldavad IP-aadressiga seotud domeeni.

$ nmap -sL -vvv 95.84.192.0/18

......
Nmap skaneerimise aruanne broadband-95-84-195-131.ip.moscow.rt.ru (95.84.195.131) jaoks
Nmap skaneerimise aruanne broadband-95-84-195-132.ip.moscow.rt.ru (95.84.195.132) jaoks
Nmap skaneerimise aruanne broadband-95-84-195-133.ip.moscow.rt.ru (95.84.195.133) jaoks
Nmap skaneerimise aruanne broadband-95-84-195-134.ip.moscow.rt.ru (95.84.195.134) jaoks
Nmap skaneerimise aruanne broadband-95-84-195-135.ip.moscow.rt.ru (95.84.195.135) jaoks
Nmap skaneerimise aruanne mx2.merpassa.ru (95.84.195.136) jaoks
Nmap skaneerimise aruanne broadband-95-84-195-137.ip.moscow.rt.ru (95.84.195.137) jaoks
Nmap skaneerimise aruanne broadband-95-84-195-138.ip.moscow.rt.ru (95.84.195.138) jaoks
Nmap skaneerimise aruanne broadband-95-84-195-139.ip.moscow.rt.ru (95.84.195.139) jaoks
Nmap skaneerimise aruanne broadband-95-84-195-140.ip.moscow.rt.ru (95.84.195.140) jaoks
Nmap skaneerimise aruanne broadband-95-84-195-141.ip.moscow.rt.ru (95.84.195.141) jaoks
Nmap skaneerimise aruanne broadband-95-84-195-142.ip.moscow.rt.ru (95.84.195.142) jaoks
Nmap skaneerimise aruanne broadband-95-84-195-143.ip.moscow.rt.ru (95.84.195.143) jaoks
Nmap skaneerimise aruanne broadband-95-84-195-144.ip.moscow.rt.ru (95.84.195.144) jaoks
.....

Peaaegu kõik aadressid omavad standardset PTR kirjet kujul broadband-aadress.ip.moscow.rt.ru , välja arvatud mõned, sealhulgas mx2.merpassa.ru. Olles vaadanud alamdomeeni mx, on see tõenäoliselt meiliserver (mail exchange). Proovime seda aadressi kontrollida teenuses SpamHaus

On ilmne, et kogu IP-vahemik on pidevas mustas nimekirjas ja sellelt serverilt saadetud kirjad jõuavad harva adressaadini. Arvestage seda väljuva posti serveri valimisel.

Hoida postiserverit kodu Interneti-teenuse pakkuja IP-aadressivahemikus, see on alati halb mõte. Sellisel serveril on probleeme posti saatmise ja vastuvõtmisega. Pidage seda meeles, kui teie süsteemiadministraator pakub postiserveri juurutamist otse kontori IP-aadressile.
Kasutage kas tõelist hostimist või e-posti teenust. Nii peate harvem helistama, et kontrollida, kas teie kirjad on kohale jõudnud.

Hostimine WiFi ruuteris

Üheplaadiliste arvutite, nagu Raspberry Pi, saabumisega ei üllata enam kedagi veebilehega, mis töötab sigaretipakiga suuruses seadmes, kuid juba enne Raspberry Pi ilmumist käivitasid entusiastid koduseid lehti otse WiFi ruuteris!

Legendaarne ruuter WRT54G, millelt sai alguse projekt OpenWRT 2004. aastal

Ruuter Linksys WRT54G, millelt sai alguse projekt OpenWRT, ei omanud USB porte, kuid osavad kasutajad leidsid seadmest lahti keerdunud GPIO-pinnad, mida sai kasutada SPI-na. Nii tekkis modifikatsioon, mis lisas seadmele SD-kaardi. See avas tohutud loomingulised võimalused. Mäletan isiklikult, kuidas ma peaaegu jootmise oskusteta jootasin SD-kaardi sellele ruuterile. Hiljem hakati ruuteritesse lisama USB-porte ja SD-kaardi lihtsalt sisestamine sai võimalikuks.

Kunagi oli Internetis mitmeid projekte, mis töötasid täielikult kodustes WiFi ruuterites, sellest on allpool märk.

Serverikapid IKEA laudade põhjal

Kord avastati, et populaarne IKEA kohvilaud nimega Lack sobib suurepäraselt 19-tolliste serverite rack'iks. Hindade tõttu 9 dollari eest on see laud saanud väga populaarseks koduste andmekeskuste loomiseks. Seda paigaldusviisi nimetati Lack Rack.

IKEA Lack laud sobib ideaalselt serverikapi asemel

Laudu sai paigutada üksteise peale ja ehitada tõelisi serverikappe. Kahjuks lagunesid lauad raskete serverite tõttu hapra MDF-i tõttu. Usaldusväärsuse suurendamiseks tugevdati neid metallnurkadega.

Kuidas õpilased interneti minult ära viisid

Mul oli samuti oma voodialune server, kus töötas lihtne foorum, mis oli pühendatud mänguteemadele. Ükskord organiseeris nördimus pärast banni agressiivne koolipoiss oma sõpradega ja nad hakkasid koos minu foorumit kodustest arvutitest DDoS-ima. Kuna kogu interneti ühendus oli tol ajal umbes 20 megabitti, suutsid nad täielikult halvata minu koduse interneti. Ükski tulemüürile sekkumine ei aidanud, kuna kanal oli täielikult ammendatud.
Kaugelt vaadates nägi see väga naljakas välja:

— Tere, miks sa ei vasta mulle asikas?
— Vabandust, interneti pole, mind DDoS-ivad.

Taotlused teenusepakkujale ei aidanud, nad vastasid, et nende kohustused ei hõlma selliste asjadega tegelemist ning nad saavad ainult blokeerida minu sissetuleva liikluse täielikult. Niisiis olin ma kaks päeva ilma internetita, kuni ründajad väsisid.

Kokkuvõte

Siin pidi olema valik kaasaegseid P2P-teenuseid, mida saab koduses serveris käitada, näiteks ZeroNet, IPFS, Tahoe-LAFS, BitTorrent, I2P. Kuid viimase paari aasta jooksul on minu arvamus oluliselt muutunud. Arvan, et avalike teenuste paigaldamine kodusele IP-aadressile, eriti nende, mis eeldavad kasutajate sisu üleslaadimist, loob põhjendamatu riski kõigile korteris elavatele inimestele. Nüüd soovitan võimalikult palju blokeerida sissetulevaid ühendusi internetist, loobuda pühendatud IP-aadressidest ning hoida kõik oma projektid kaugrebleerivatel serveritel internetis.

Jälgi meie arendajat Instagramis

Allikas: habr.com