थोड़े से ट्विस्ट के साथ फ्री वाईफाई

यह लेख मुफ्त वाई-फाई नेटवर्क की एक छोटी परियोजना के बारे में बताता है, मुख्य तकनीकी समस्याओं और समाधानों के बारे में। लक्ष्य केवल एक मूल परियोजना के बारे में बात करना है।

एक साल से भी कम समय पहले, मेरे नेतृत्व ने संगठन के क्षेत्र पर आगंतुकों के लिए एक मुफ्त वाई-फाई नेटवर्क तैनात करने का फैसला किया। सब कुछ सरल और समृद्ध होगा, यदि एक दिलचस्प स्थिति के लिए नहीं: उपयोगकर्ता को इंटरनेट पर पहुंचने से पहले, उसे हमारे "विज्ञापन" के साथ सूचना पृष्ठ पर देखना होगा।

थोड़ा विश्लेषण करने के बाद, हम इस निष्कर्ष पर पहुंचे कि यह केवल एक अलग गेटवे सर्वर का उपयोग करके प्राप्त किया जा सकता है, जो कि लिनक्स पर सबसे अधिक संभावना है। कम से कम इसी तरह के समाधान के विकास / कार्यान्वयन में शामिल कंपनियों को भेजे गए कार्य के एक सामान्य विवरण के साथ एक संक्षिप्त TOR यह दर्शाता है कि बाहरी समाधान का आदेश देते समय, परियोजना की लागत आसमान छू जाएगी।

विषय पर बहुत विचार-विमर्श और कल्पनाओं के बाद: इसे कैसे लागू किया जाए (प्रोटोकॉल की गहराई में विसर्जन के साथ, और दर्जनों कामुक कल्पनाएं कि पैकेजों, हेडर आदि को कैसे बदला जाए), एक सरल और तार्किक समाधान मिला।

शानदार - बस

संचालन का संक्षिप्त सिद्धांत:

1. नेटवर्क से कनेक्ट होने वाले उपयोगकर्ता को एक नियमित dhcp सर्वर का उपयोग करके एक आईपी पता प्राप्त होता है। सेटिंग्स में, हमारे सर्वर को डिफ़ॉल्ट गेटवे के रूप में निर्दिष्ट किया गया है।
2. डिफ़ॉल्ट iptables नियम सर्वर पर पंजीकृत है:
   
   [root@wifi ~]# iptables -L -t nat
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
REDIRECT tcp -- anywhere !192.168.143.1
DROP udp -- anywhere !192.168.143.1 udp dpt:!domain

   इसके कारण, उपयोगकर्ता से सभी अनुरोध (DNS पैकेट को छोड़कर) स्थानीय सर्वर पर पुनर्निर्देशित किए जाते हैं।
3. पहली बार जब कोई उपयोगकर्ता किसी वेब पेज को लोड करने का प्रयास करता है, तो वह स्थानीय nginx सर्वर पर जाता है जहां उसे एक html पृष्ठ दिखाया जाता है जिसमें एक पंक्ति होती है:
   <?php
$run = "ts /usr/share/nginx/html/script.sh {$_SERVER['REMOTE_ADDR']}";
exec($run);
?>

   
4. और यहाँ मज़ा शुरू होता है! यह पृष्ठ सर्वर पर पड़ी एक स्क्रिप्ट लॉन्च करता है (क्लाइंट के आईपी पते को स्टार्ट पैरामीटर के रूप में पारित करता है):
   
   #!/bin/sh
LOG_FILE=/var/log/script_log
{
date | tr "\n" " "
echo -n '|IP:'
echo -n $1
echo -n '|MAC:'
/sbin/arp $1 -n | grep $1 | tr -s ' ' | cut -d ' ' -f 3 | tr "\n" " "
mac=`/sbin/arp $1 -n | grep $1 | tr -s ' ' | cut -d ' ' -f 3 | tr "\n" " "`
if ( sudo /sbin/iptables -n -L -t nat --line-numbers | grep $1 > /dev/null )
then
echo '|Rule exists!!'
else
echo -n '|Add rule '
sudo /sbin/iptables -t nat --insert PREROUTING -s $1 -j ACCEPT
echo -n '|Creat shedule:'
echo "sudo /sbin/iptables -t nat -D PREROUTING -s $1 -j ACCEPT " | at -m now + 45 minutes
sudo /usr/bin/python /usr/share/nginx/html/stat.py ${mac}
fi
} >> $LOG_FILE 2>&1

   
   जो दो मुख्य कार्य करता है: iptables में एक नियम जोड़ता है, और इसमें एक लंबित कार्य बनाता है।
   
   शासन:
   
   sudo /sbin/iptables -t nat --insert PREROUTING -s $1 -j ACCEPT
   
   इसे PREROUTING श्रृंखला में पहले स्थान पर रखा गया है, जिससे पहले से पुनर्निर्देशित नियम स्थित हैं। नतीजतन, इस पते वाले उपयोगकर्ता को इंटरनेट तक पूर्ण पहुंच प्राप्त होती है।
   
   दूसरी मुख्य क्रिया, इसमें एक नियम बनाना:
   echo "sudo /sbin/iptables -t nat -D PREROUTING -s $1 -j ACCEPT " | at -m now + 45
   
   वास्तव में, यह उपयोगकर्ता के सत्र को 45 मिनट तक सीमित करता है, जिसके बाद नियम हटा दिया जाएगा और उपयोगकर्ता को फिर से निर्देशित किया जाएगा।
   

सर्किट को लागू किया गया, परीक्षण किया गया, और व्यवहार्य साबित हुआ।

यह शायद कहानी को खत्म करने के लायक होगा, लेकिन "ए लिटिल लेस थान ए ईयर" के लिए, परियोजना को अंतिम रूप देने, छोटे जाम को खत्म करने और काफी मूल विशेषताओं को जोड़ने के लिए काम किया गया था।

मानसिकता

पहली समस्या जो उत्पन्न हुई वह थी "अपमानजनक।" यह देखा गया है कि कुछ लोग जो विशेष रूप से मुफ्त में प्यासे हैं, नेटवर्क का अधिक समय तक उपयोग करते हैं। ऐसी पहचान करने के लिए, आंकड़े रखने का निर्णय लिया गया। मुख्य समस्या यह है कि सभी बिलिंग सिस्टम (या आँकड़ों के संचालन के लिए सरल मॉड्यूल) या तो लॉगिन या आईपी पते को मूल तत्व मानते हैं। हमारे मामले में, पहला नहीं है, लेकिन आप दूसरे से नहीं जुड़ सकते, क्योंकि आईपी ​​पते स्थिर नहीं हैं। आवश्यक आँकड़े मैक पते पर आधारित थे। बहुत खोजबीन के बाद भी कोई उचित समाधान नहीं मिला। इसलिए, अपना खुद का लिखने के लिए एक और बाइक का आविष्कार करने का निर्णय लिया गया। चूंकि यह अनिवार्य रूप से आवश्यक था, और पर्याप्त था, यह मैक पते द्वारा आयोजित सत्रों की संख्या पर विचार करने के लिए पर्याप्त था, एक साधारण अजगर की पटकथा लिखी गई थी (दुर्भाग्य से, बैश का मेरा ज्ञान इस कार्य का विस्तार नहीं कर सका):

import sys
file = open('/var/log/stat.file','r')
line = file.readlines()
line2 = ''
i = 0
while len(line) > i :
line2 = str(line[i])
line2 = line2.rstrip()
line2 = line2.split()
if line2[0] == str(sys.argv[1]) :
line2[1] = str(int(line2[1])+1 )
del line[i]
line.insert(i,line2[0]+' '+line2[1]+'\n')
break
i = i + 1
else :
line.append(str(sys.argv[1])+' '+'1'+'\n')
###########
file.close()
file = open('/var/log/stat.file','w')
file.writelines(line)
file.close()


जिसे मुख्य लिपि से बुलाया गया था। एक सप्ताह की अवधि के साथ इस फ़ाइल के लिए एक खंड को लॉगोटेट में जोड़ा गया है। और दो सप्ताह में "नियमित ग्राहकों" की एक सूची प्राप्त होगी जिनके मैक पते सर्वर के सामने स्थापित स्विच पर ब्लैक लिस्ट किए गए थे।

साइकिल से काम नहीं चलेगा!

निम्नलिखित समस्या अधिक मूल थी: एक ही समय में कई स्क्रिप्ट चलाने के दौरान, उनमें से एक ने iptables त्रुटि ("iptables: अज्ञात त्रुटि 4294967295" श्रृंखला से) को निष्पादित किए बिना फेंक दिया। यदि यह नियम बनाने के लिए एक स्क्रिप्ट थी, तो कुछ भी भयानक नहीं हुआ - उपयोगकर्ता ने केवल पृष्ठ को रीफ्रेश किया और त्रुटियों के बिना स्क्रिप्ट को फिर से चलाया, यदि वह फिर से उसी लॉन्च में नहीं आया, तो लॉग्स को देखते हुए, एक बार खराब साथी बहुत अशुभ था, और वह 5 बार एक साथ दौड़ने को मिला)।
यदि इस तरह की त्रुटि के साथ, नियम को हटाने का कार्य क्रैश हो गया, तो आईपी पते सूचियों में बने रहे, और उपयोगकर्ता इंटरनेट पर सर्फिंग कर सकता है और अशुद्धता के साथ।

पहला वर्कअराउंड एक साधारण बैश स्क्रिप्ट के रूप में आया जिसमें आईपीटैबल्स और टास्क पूल में पतों की सूची से मेल खाते हैं:

#!/bin/bash
LOG_FILE=/var/log/script_log
{
echo -n "Checking rules: "
date | tr "\n" " "
ar_ip=(`sudo iptables -L -t nat -n | grep ACCEPT | grep -v policy | cut -d ' ' -f 10 | tr '\n' ' '`)
ar_at=(`grep 168.143. /var/spool/at/* | cut -d ' ' -f 9 | tr '\n' ' '`)
count=${#ar_ip[@]}
for ((i=0; i <= count ; i++ ))
do
for h in "${ar_at[@]}"
do
if [[ ${ar_ip[$i]} == $h ]]
then
unset ar_ip[$i]
continue 2
fi
done
done
echo -n "|Delete rules: "
for i in ${!ar_ip[*]}
do
sudo /sbin/iptables -t nat -D PREROUTING -s ${ar_ip[$i]} -j ACCEPT
echo -n ${ar_ip[$i]} " "
done
echo "|Checking done"
} >> $LOG_FILE 2>&1


स्क्रिप्ट को /etc/cron.hourly में रखा गया था, और सही ढंग से iptables त्रुटियों के परिणामों को हटा दिया गया था। सिद्धांत रूप में, समाधान पर्याप्त था, लेकिन "पूर्णता की कोई सीमा नहीं है" और मैंने बेहतर समाधान की तलाश में असीम विस्तार को हल करना शुरू कर दिया। और यह पाया गया था। "आरामदायक" लाइनक्स मंचों में से एक, मास्टोडोन में से एक ने मुझे इस परियोजना की ओर इशारा किया



वास्तव में, यह प्रोजेक्ट बैश स्क्रिप्ट चलाने, उन्हें एक पूल में रखने और एक के बाद एक सख्त क्रम में निष्पादित करने के लिए एक छोटा सा विकास है।
वेब पेज पर स्क्रिप्ट लॉन्च लाइन को देखने के लिए संशोधित किया गया है

ts /usr/share/nginx/html/script.sh {$_SERVER['REMOTE_ADDR']}

और iptables त्रुटियाँ गायब हो गईं।

तीसरी समस्या, या मैंने कैसे ओपन-सोर्स समुदाय की मदद की

जब परियोजना पहले से ही लगभग आधे साल से काम कर रही थी, और लोगों ने पहले से ही इसके बारे में पर्याप्त सीखा था, तो एक और गंभीर समस्या सामने आई: एक्सेस पॉइंट्स (Lynksys wap54g) ने अनायास / लटका / रिबूट करना शुरू कर दिया। स्वाभाविक रूप से, पहली बात जो दिमाग में आई वह थी लॉग को देखना। जैसा कि यह पता चला, Lynksys व्यर्थ में "घर" खंड के लिए जिम्मेदार नहीं है, क्योंकि गृहिणियों को लॉग पढ़ने की आवश्यकता नहीं है। लॉग में निहित केवल एक चीज है जब मैक एड्रेस जुड़ा होता है। इसके अलावा, लॉग प्रारूप अद्वितीय था और नियमित syslog सर्वर ने इसे नहीं समझा। हमेशा की तरह, Lynksys ने अपने नाम में कुछ जादुई युक्त संदिग्ध उपयोगिता की पेशकश की, जो कि आपके घर नेटवर्क को स्वतंत्र रूप से और तुरंत कॉन्फ़िगर करने में सक्षम है। उपयोगिता के एक संक्षिप्त अध्ययन के बाद, यह निष्कर्ष निकाला गया कि यह अनुपयुक्त था, और विशाल विस्तार में फिर से एक लंबी यात्रा शुरू हुई। कहीं न कहीं अंतहीन कदमों में sf.net पर 2009 में एक छोटा प्रोजेक्ट झुक गया (http://sourceforge.net/projects/wap54g-log/) जो बिंदु लॉग के प्रारूप को समझता था और जानता था कि उन्हें एक फाइल में कैसे रखा जाए। "और हमें ज्यादा जरूरत नहीं है!" ©

यह पता चला कि वे जल्दी खुश थे। लॉग प्रविष्टि इस तरह दिखी:

May 20 12:04:42 /usr/local/bin/wap54g-log[17544] Wireless PC connected 00:26:C7:61:BB:26

और यह समझना असंभव था कि ग्राहक किस बिंदु से जुड़ा है। और इसलिए, भार के बारे में एक निष्कर्ष निकालना, बिंदुओं के अनुचित व्यवहार के सबसे संभावित कारणों में से एक के रूप में।
और फिर मुझे एस याद करना पड़ा। जैसा कि यह निकला, याद करने के लिए नहीं, बल्कि फिर से अध्ययन करने के लिए, क्योंकि दृश्य स्टूडियो में संस्थान में दूसरे वर्ष में जो लिखा गया था, वह केवल इस छोटी सी उपयोगिता के कोड जैसा था

एक विचारशील पढ़ने के बाद, theiraddr संरचना की खोज की गई, जो प्रकार sockaddr _in (यूनिक्स के लिए मानक प्रकार का सॉकेट) है, जिसमें एक और in_addr संरचना होती है जिसमें एक एकल चर s_addr प्रकार__addr_t शामिल होता है। "एक अंडा एक बतख में, एक बत्तख का बच्चा, एक झटके में एक खरगोश" ©। सबसे मजेदार टिप्पणी थी "तथ्य यह है कि इस तरह की संरचना का उपयोग किया जाता है, और न केवल_दादर_टी जैसा एक चर, ऐतिहासिक रूप से विकसित हुआ है।"

गहराई से और गहराई से जाने पर, पुस्तकालय <arpa / inet.h> (ओह माय गॉड! एक अरपा का भूत!) इन संरचनाओं के साथ काम करने के लिए कार्यों से युक्त था। Inet_ntoa (strcu) फ़ंक्शन को परिवर्तित करके और इस सभी को उपयोगिता के आउटपुट में डालकर, इसने कुछ इस प्रकार किया:

May 20 12:23:38 192.168.143.114 /usr/local/bin/wap54g-log[17544] Wireless PC connected 00:26:C7:61:BB:26

मुख्य अंतर एक बिंदु पते की उपलब्धता है। यानी अब आप लोड बिंदुओं के वितरण का न्याय कर सकते हैं।
जैसा कि यह अंतर्ज्ञान / तर्क / 5 वीं बात निकला, मैंने निराश नहीं किया। और छोटी टिप्पणियों के बाद, यह पता चला कि WAP54g 30 एक साथ जुड़े उपयोगकर्ताओं को भी खड़ा नहीं कर सकता है।

इस समस्या का अभी तक समाधान नहीं हुआ है। अब तक, मुझे कुछ और "औद्योगिक" के साथ अंकों की जगह के अलावा विकल्प दिखाई नहीं देते हैं। प्रबंधन तय करता है कि क्या करना है, और उपयोगिता के डेवलपर को एक धन्यवाद पत्र भेजा गया था, और संशोधन के लिए सुझाव।

छोटी समस्याएं भी थीं: नाज़िनक्स ने 404 पृष्ठ लौटाए, यदि वह पता जिसमें से रीडायरेक्ट हुआ, उसमें पृष्ठ का नाम और पता पंक्ति में एक अनुरोध प्राप्त होता है। यह वर्चुअल सर्वर कॉन्फिगर में एक लाइन "रिअराईट ^ / (। *) / इंडेक्स.फैप लास्ट?" के साथ तय किया गया था। लेकिन आपको यहां ऐसी तिपहिया के बारे में बात नहीं करनी चाहिए। वे सब के सब बांके और रोज हैं।

एक निष्कर्ष के बजाय

इस लेख को लिखने का अंतिम निर्णय कुछ लेख "सिस्टम प्रशासक कैसे बनें - शुरुआती के लिए एक गाइड" पढ़ने के बाद अनुमोदित किया गया था। मैं खुद को किसी भी प्रकार का गुरु नहीं मानता, मैं स्पष्ट रूप से समझता हूं कि मैं लिनक्स का सिस्टम प्रशासक हूं- मध्य हाथ का ध्यान केंद्रित करता हूं। यह लेख ज्ञान की मात्रा का एक छोटा सा हिस्सा दिखाता है जो रोजमर्रा के काम के लिए आवश्यक है। बस html, bash, python, और C. ज्ञान का एक छोटा सा ज्ञान, एक अनिवार्य आधार के रूप में: सिद्धांत का ज्ञान (IT का, नेटवर्क से प्रोग्रामिंग के लिए), और OS (उपयोगिताओं, सिस्टम एप्लिकेशन) जिसके साथ आपको मूल रूप से काम करना होगा। मुझे लगता है कि यह एक अच्छा जोड़ होगा।