मुश्किल प्रशासनिक परिस्थितियों में इंटरनेट का उपयोग

नमस्कार प्रिय

मैं एक निश्चित समाधान साझा करना चाहूंगा जो अभी भी हमारी कंपनी में प्रयोगात्मक है, लेकिन छोटी ताकतों द्वारा ध्यान में लाया जाता है। हम इंटरनेट पर सामूहिक पहुंच के बारे में बात कर रहे हैं, ऐसी स्थिति में जहां उपयोगकर्ताओं (विभिन्न कारणों से - संगठनात्मक, तकनीकी, प्रशासनिक) के लिए इंटरनेट नहीं देना बेहतर है।

अब तक, हमने काफी सामान्य पहुंच योजना लागू की है। अर्थात्:

• एक समर्पित प्रॉक्सी सर्वर (स्क्विड, बिना विकल्पों के), जो वास्तव में, सामान्य शब्दों में, इंटरनेट के साथ आंतरिक नेटवर्क से जुड़ा हुआ है।
• SEM2 - टेम्प्लेट और इंटरनेट एक्सेस नीतियां बनाने के लिए समाधान।
• डोमेन नियंत्रक (samba + ldap)

इन तीन घटकों को एकीकृत करने से सुविधा और विश्वसनीयता का एक अच्छा संयोजन प्राप्त हुआ। इसके अलावा, यह विधि अब तक कई लोगों के लिए उपयुक्त होगी, लेकिन हमारे लिए वास्तविकता अन्य नियमों को निर्धारित करती है। जब तक कार्यस्थल में इंटरनेट है, सूचना रिसाव का एक मौका है (बहुत सारे तरीके, आप बहस करना चाहते हैं - टिप्पणियों में आपका स्वागत है ..)।

और इंटरनेट तक पहुंच को छोड़ने का फैसला किया गया था, लेकिन इसे ओ_ओ वर्किंग मशीनों से हटा दें। हमारे काम में, हम सक्रिय रूप से लिनक्स (आमतौर पर सेंटोस 4-5-6) और रिमोट एक्सेस का उपयोग करते हैं। ये पूरी तरह से अलग-अलग प्रौद्योगिकियां हैं, प्रत्येक के पास आवेदन का अपना क्षेत्र है, और हम कार्य के आधार पर प्रत्येक समाधान का सक्रिय रूप से उपयोग करते हैं।

• अपनी सुरंगों के साथ ssh आपको लगभग कुछ भी करने की अनुमति देता है। यदि अधिक की आवश्यकता नहीं है;
• आरडीपी;
• एचपी रिमोट ग्राफिक सॉफ्टवेयर (एचपी आरजीएस) कभी-कभी इसकी आवश्यकता भी होती है;
• FreeNX

यह बाद की मदद से था कि उन्होंने चमत्कार काम करने का फैसला किया। सौभाग्य से, ग्राहक (OpenNX, NoMachineNX, Remmina) विभिन्न प्लेटफार्मों के लिए हैं। हमें एक प्रणाली प्राप्त करनी चाहिए जो निम्नलिखित आवश्यकताओं को पूरा करती है

• तैनाती के लिए आसान, अच्छा प्रदर्शन;
• मुख्य नेटवर्क (कार्यक्रम-तर्क स्तर पर) से अलग;
• कहीं भी इंटरनेट का उपयोग - www, मेल, ftp, im। ट्रैफ़िक को बचाने के लिए, एक स्थानीय कैशिंग प्रॉक्सी। अपनी फ़ाइलों को कुछ सीमाओं में रखते हुए।

लोहे पर निर्भर नहीं होने और आसानी से क्षमता बढ़ाने के लिए, हमने एक vmware कारखाने में एक वर्चुअल मशीन बनाई (यह अभी भी स्पष्ट नहीं है कि हमें किस प्रकार की क्षमताओं की आवश्यकता है, शायद हम इसे भविष्य में वास्तविक लोहे में स्थानांतरित कर देंगे)। मूलभूत बातों के लिए, हम XFCE4.8 विंडो प्रबंधक के साथ CentOS6 x86_64 वितरण का उपयोग करते हैं - यह हमें अच्छा प्रदर्शन बचत देगा (केडीई और अन्य भारोत्तोलकों के विपरीत)। वैसे, XFCE के लिए, रूसी भाषी उपयोगकर्ताओं के लिए एक कीबोर्ड लेआउट नहीं मिला। मुझे इसे पूरी तरह से लिनक्स के साथ पुनर्निर्माण करना था और इसे CentOS के लिए rpm के रूप में जारी करना था। OS को स्थापित करने के बाद, उपयोगकर्ताओं के लिए परिचित कार्यक्रमों की अधिकतम संख्या वितरित की गई थी, जैसे कि ओपेरा, फ़ायरफ़ॉक्स, Google क्रोम, साथ ही पिजिन, लिब्रे ऑफिस, एक्रोबैट रीडर और इतने पर, इतने पर ...

Ssh पर लॉग ऑन करना सभी को डोमेन व्यवस्थापक के समूह को छोड़कर निषिद्ध था। फ़ायरवॉल (iptables) के साथ सभी संभव स्थानीय सेवाएँ बंद कर दी गईं, जिससे केवल dns, cup तक पहुँच बनी। नेटवर्क के अंदर बाकी सब कुछ निर्दयता से -जे रिजेक्ट हो जाता है।

स्क्विड को स्थानीय रूप से स्थापित किया गया था (लिपियों को /etc/profile.d/ में डाला गया था, जिसके आधार पर एक्सपोज़िंग * _प्रोक्सी वेरिएबल्स चला गया), जो विशेष रूप से कैश के लिए होगा। उपयोगकर्ता के होम फोल्डर को एक अलग सेक्शन में ले जाया गया, उन्होंने इस पर जर्नलिंग कोटा शामिल किया।

फ़्रीनक्स सर्वर के लिए प्रति उपयोगकर्ता 1 कनेक्शन की अनुमति दी गई। दोनों दिशाओं में अक्षम क्लिपबोर्ड।

नतीजतन, हम अपने आप में सिस्टम प्राप्त करते हैं। डोमेन प्रमाणीकरण के साथ केवल nx क्लाइंट, की-ओनली एंट्री की सहायता से ही इस तक पहुँच प्राप्त करें। स्थानीय मशीनों से कोई संबंध नहीं है। दूरस्थ nx मशीन में कुछ भी स्थानांतरित करना लगभग असंभव है, और इसलिए, अतिरिक्त डेटा इंटरनेट पर नहीं मिलेगा।

एक और डेढ़ के एक साथ एक दर्जन सक्रिय उपयोगकर्ता हैं (काम बड़ी संख्या में लोगों को प्रवेश करने की अनुमति नहीं देता है)। फिलहाल वर्चुअल मशीन के पैरामीटर - 2 कोर, 8 जीबी रैम, एचडीडी और इतने महत्वपूर्ण नहीं हैं। यदि आवश्यक हो, तो आप एक आभासी मशीन के आकर्षण सहित जोड़ सकते हैं।

इसने प्रदर्शन के संबंध में कुछ बिंदुओं को बताया। व्यक्तिगत उपयोगकर्ता कई टैब के साथ ओपेरा खोल सकते हैं और इस तरह बहुत सारी मेमोरी काट सकते हैं। संसाधनों को सीमित करने का प्रयास किया गया। सीमाओं का उपयोग करके। लेकिन इससे अच्छा कुछ नहीं हुआ और cgroups के साथ प्रयोग शुरू हुए। वे केवल इस तंत्र द्वारा ब्राउज़रों तक मेमोरी सीमित करते हैं, काम सीमित करते हैं, लेकिन उपयोगकर्ता इसे पसंद नहीं करते हैं :)। हम समझौते की तलाश कर रहे हैं।

मैं कब से विशेष कॉन्फिगर नहीं करता काफी सरल घटकों के सभी। NX ने बहुत सारे नियमावली रखी, iptables की स्थापना की, भी, कुछ भी जटिल नहीं है :) लेकिन अगर आपके पास प्रश्न हैं - लिखें।

उपयोगकर्ताओं के लिए शुरू करना आसान बनाने के लिए, एनएक्स क्लाइंट खुद (बायनेरिज़) को नेटवर्क शेयर पर डाला जाता है, और पूर्व-कॉन्फ़िगर एनएक्स सत्र के लॉन्च के साथ बैच फ़ाइल का शॉर्टकट उपयोगकर्ताओं के डेस्कटॉप पर डाला जाता है। एक बैंग के साथ विशिष्ट मशीनों पर स्थापित किए बिना काम करता है।