ventricola

Коллеги пишут нам о полезных программах -  собственно, почему бы и нет?!

Общеизвестно, что с древнейших времен не только юзеры, но и сисадмины локалхостов, да что тут говорить, даже матерые ветераны страдали.

В сети за много лет накопилось огромное количество свидетельств поиска страждущими способов добавления компьютеров с урезанными версиями Windows (Home, Starter и т.п.) в домен Active Directory. Большая часть свидетельств содержит сведения о том, что страждущие так и не обрели желаемого, обломались и продолжали пребывать в унынии и страдании.

В то время как выход есть, и он прекрасен и прост. Много лет существует и развивается незаслуженно малоизвестный, но прекрасный свободный проект pGina, который позволяет легко организовать, по крайней мере, часть нужного, а именно аутентификацию.

С одной стороны это решение не может претендовать на полноценный клиент для AD, про групповые политики и другие радости вам придется забыть. Но пользователей оно аутентифицирует на ура и с минимальными трудозатратами.

С другой стороны этот проект позволяет совсем избавиться от AD, и даже про samba не вспоминать, потому что ежели кроме аутентификации ничего не нужно, то настроить сервис можно даже на OpenLDAP с минимумом телодвижений. Что для людей, у которых преимущественно *NIXы всякие да радиусы с такаксами, а Windows мало и спорадически,  может быть очень и очень приятственно.

Ну вот засим и все. Настройка и сопровождение никаких проблем и хлопот не сулят, поэтому откланиваюсь, до новых встреч.

Однако каков оказался ажиотаж от поста https://pikabu.ru/story/garri_potter_i_analnyiy_zondwwsecure..., ужс! Несмотря на то, что он не был никоим образом ответом на https://pikabu.ru/story/nash_quotproblemnyiyquot_secure_boot..., автор @ahovdryk решил написать мне темному тупому гуманитарию ответ - https://pikabu.ru/story/secure_boot_vol_2_pogovorim_o_svobod....

Я поначалу пробовал написать развернутый коммент с ответами на ответ, но он получился очень уж большим, так что придется новым постом.

Итак начнем, помолясь, продолжим врать и лгать наперекор священным продажам и адептам MCSA .

Итак, что там пишет @ahovdryk:

@ahovdryk:

В том числе почему свободу иногда нужно зажимать.

@ventricola:

Дело в том, что это одна из технологий существенно ограничивающих цифровую свободу, ну и как результат свободу в целом.

@ahovdryk:

Дело в том, что это враньё. Возникло ли это враньё из-за неграмотности или злого умысла я судить не берусь, но факт остаётся фактом.

Это все личное мнение @ahovdryk, как и мое иное мнение, фактами здесь и не пахнет. Причем налицо двоемыслие про свободу нужно зажимать, но что она зажата - вранье!

Эта технология была введена именно с той целью, что я уже писал: никому кроме очень странных личностей не нужны неопознанные модули в UEFI. Причём для любителей свободы существует следующий интересный факт: вы можете подписать свой модуль своим самопальным ключом и самолично добавить этот ключ в список разрешённых.

Это не так, это возможно там, где разрешат демиурги, количество таких девайсов исчезающе мало. Про это в моей статье и написано. Я отвечал в комментариях к своему посту про это:

@electronik:

Если каждый сможет подписывать бинари, то теряется весь смысл SB. Это как с ssl сертификатами, их должен выдавать только удостоверяющий центр. А по второму пункту, я во всех uefi на oem матерях всегда видел пункт удалить ключи.

@ventricola:

Эдак можно утверждать, что если каждый будет на моем компе админом это очень плохо. Не вопрос. Только это мой комп - хочу буду админом, хочу бомжей из интернетиков админами напущу.

С сесуребутом все не так, админы-демиурги на моем компе все в майкрософте, а бомж - я, захотели в майкрософте - пустили меня на комп, посчитали, что небезопасно - выгнали меня нах на мороз. Что не так-то, небезопасно ведь!

Зачем какому-то бомжу давать возможность подписывать загрузчики на его же железе, когда демиурги лучше знают, как нужно.

Вот сетап моего рабочего ноута. Кто покажет пальцем, где найти key management? Ткните носом уже:

@ventricola:

Это один из анальных зондов, навязанных пользователям IBM PC совместимых платформ, избавится от которого крайне сложно.

@ahovdryk:

Это тоже враньё. Первое я уже упоминал ранее - сертифицированные для Windows системы на IBM PC-совместимых машинах обязаны иметь возможность этот "зонд" отключить, что прямо противоречит заявляемым оппонентом целям технологии.

Это верно для Windows 8. А современные сертифицированные системы как? Обязаны иметь возможность отключать, нет? Как в будущем будет? Обязаны будут? @ahovdryk, вы прочитайте стандарт, приведите из него значимые куски текста. Потом напишете у кого вранье.

@ahovdryk:

То есть для 99% пользователей это не составит никакого труда после прочтения справочной информации о своей материнской плате. Повторяюсь: вообще никакого труда.

А как дальше, про горизонт планирование слышали, как будет через 5, 10 лет?

@ahovdryk:

Коллеги и сочувствующие, нас опять обманули. Das U-Boot вообще не предназначен для домашних компьютеров. OpenBIOS просто не способен выполнить свои задачи без coreboot или U-Boot. Coreboot написан с целью выполнения минимально необходимых для загрузки задач. То есть на нетривиальных конфигурациях ваша система с прошивкой coreboot может запросто не загрузить что-то такое бесполезное и никому не нужное как SaS/RAID контроллер.

Да, да, такое до UEFI было абсолютно невозможно, кроме UEFI никто не справится, никто-никто. UEFI уникален, без него просто никуда, даже ДВД без винды не посмотреть. А сесуребут вообще ниспослан богами от руткитов, буткитов и чтобы мы там не загрузили вдруг чего неправильного.

Google разрешила себе удалять приложения со смартфонов и планшетов Android-пользователей, Microsoft: We can remotely delete Windows 8 apps - это прекрасно хули, а без сесуребута такое качественно проделывать невозможно. Поэтому будет сесуребут.

@ahovdryk, вы бы лучше пример вот такой вот нетривиальной конфигурации привели из своего опыта работы, который без UEFI никак не загрузить.

@ventricola:

То есть некая группа Microsoft и ко пролоббировала принятие стандарта, который не позволяет мне использовать такие ОС, какие я хочу, сам я создавать цифровые подписи никак не могу, и сделать с этим ничего нельзя.

@ahovdryk:

Нам лгут. Причём лгут вопиюще нагло. Давайте ещё раз посмотрим в список членов UEFI Forum.

Вот есть UEFI, а вот есть Secure Boot, статья была про сесуребут, даже в названии про UEFI вообще ничего. Но опять, @ahovdryk, вы приплетаете весь UEFI к вопросу про сесуребут и игнорируете вопрос про то, кто еще из форума может подписывать загрузчики. А я задавал вопрос в комментах, кто кроме майкрософта может. @ahovdryk, вы предпочли не отвечать и проигнорировать, но притянуть к сесуребуту весь UEFI форум, который ничего не подписывает и не будет. При этом форум вполне себе общественная организация, а про общественность майкрософт я ничего такого слыхал. А в моем первом посту тоже про это было, но @ahovdryk решил таких мелочей не замечать.

@ahovdryk, скажите все-таки вот каноникал, как член форума может подписывать загрузчики? Кто из перечисленных вами может?

@ventricola:

Сделайте, ладно, так, чтобы я сам мог определить, что безопасно, а что нет.

@ahovdryk:

Проблема в том, что вы как раз этого и не можете сделать. Вы не можете определить безопасность за пределами своей сферы компетентности.

Я-то конечно темный тупой гуманитарий, но, @ahovdryk,  вам не стоит уравнивать всех с собой по уровню развития, это порочная практика никого не доводила до добра. Вот я себе небезопасный загрузчик скомпилировать могу, а загрузить сесуребутом на прекрасном железе без легаси или key management почему-то не могу. На телефонах такое уже в полный рост. Теперь дело за ПК.

@ahovdryk:

И возникает вопрос - стоит ли комфорт дураков безопасности остальных пользователей?
Заражённая машина - источник опасности для соседей. В Сети мы все соседи. Часть наших соседей некомпетентна. Либо мы усложняем процедуры безопасности и отбираем у пользователя свободу сходить пописать в работающую трансформаторную будку, либо гонясь за эфемерной свободой наслаждаемся вирусными эпидемиями.

И мыслепреступления тоже угрожают безопасности, @ahovdryk, вам нужно для натягивания или сову взять побольше или глобус поменьше. А еще если все хорошие люди соберутся и убьют всех плохих людей, сразу заживем. Это, конечно, если к вопросу цыган, жыдомасонов и ниггеров еще не приплести.

@ahovdryk:

Поставьте ключ Canonical и не ходите никуда ни на какую сертификацию. Много где он есть и так. Но что ещё смешнее - есть shim, через который и грузится на фиг не нужный в этом режиме GRUB. Ещё смешнее эта претензия выглядит оттого, что вам никто не мешает новую "бинарь" подписать старым ключом! Оппонент просто не понимает как работает критикуемая им технология!

Конечно не понимает, куда ж ему. Демиург с удовольствием даст тупому оппоненту возможность работать как ему нужно, если это правильно, а если по мнению демиурга оппонент работает неправильно, то не даст.

@ventricola:

На мобильных результаты уже видно, где вендор даст возможность разблокировки загрузчика, там грузитесь, а где не даст, там "бюстгальтер женщины самоклеящиеся толчок вверх хлопок бюст без бретелек установить белье".

@ahovdryk:

И я напомню оппоненту откуда эта радость вылезла. А вылезла она из-за двух вещей: руткитов и косоруких пользователей, которые своими неграмотными действиями кирпичили аппараты и задалбывали техподдержку. Потому что современный пользователь некомпетентен. Это положение де-факто. И вот тут мы и наталкиваемся на причину по которой FOSS-ключей нет в UEFI производителей. Потому что производителям это не нужно. Вообще и совсем. А производителям это не нужно, потому что пользователям не нужна система в которой vi/vim считается текстовым редактором. Впрочем, проблема глубже.

Давайте я попробую развить. Людей лучше сразу в детстве усыплять, а то жить небезопасно. А тех кого в детстве не усыпили и кто сопротивляется - мучительно ликвидировать. Так как они угрожают безопасности первых. А у вас наверное и Сертификат Майкрософт есть?

@ventricola:

Ну а у на PC прилетели полезные автоматические обновления и нужна срочная перезагрузка, подождите пока установятся обновления, не выключайте компьютер.

@ahovdryk:

У человека, который евангелист FOSS, не хватило компетенции прочитать 10 слов, благодаря которым перезагрузку в Windows 10 можно отложить на несколько суток. А почему обновления теперь приходят так? А я напомню. Все помнят вирусные эпидемии Kido, Conficker, Xorer, TDSS? Все они до единого эксплуатировали давно закрытые в Microsoft уязвимости. Пользователи просто решали, что безопасно, а что нет. И отключали обновления. С закономерным фееричным результатом. Вот вам циферка для размышления: от публикации до эксплуатации уязвимости проходит около трёх суток. Обновления нинужны(sic!).

Во первых, @ahovdryk, вы про меня ничего кроме постов не знаете, а суждения лучше выносите о родителях. А про обновление нинужны, это вы написали, и мне свои фантазии приписывать не нужно.

Да и вот про десяточку расскажите подробнее, почему описанное мной поведение  - поведение по умолчанию, почему это нормально, и еще раз пропойте мантру, что проблемы совсем нет. Потом подумайте о том, что через полгодика возможность отложить перезагрузку можно будет совсем выключить и все всё сожрут, и сделать будет ничего нельзя.

А так-то проблем нет Windows 10 update reboots computer while user is logged in despite group policy setting, Windows 10 update reboots computer - всего 198 млн результатов.

@ahovdryk:

Уважаемый FOSS-евангелист. Лично я считаю, что ваша свобода размахивать кулаками (читай: сидеть на необновлённой машине с недоверенным кодом в прошивке) заканчивается в вашей не подключённой к Интернет локальной сети. Требовать, чтобы все могли так лазить в Сети это превращать регулируемый перекрёсток в бомбейский. Тоже вид свободы, чего уж там. Вы тут не одни. Вообще и совсем. Ваша реальная доля у пользователей это 3%.

Вот и статистика подтянулась из надежных источников, вы еще напишите сразу, что-то типа того, что 95% населения полные идиоты. Напомните наконец когда вы последний раз проводили обследование моей машины и где вы видели, что я размахивал кулаками? Опять фантазии?

Про 3% осмелюсь спросить про гугл на винде? Яндекс? Википедию? Чего там еще? Порнохаб на винде же?

@ahovdryk:

Давайте не будем нечестными, причисляя к пользовательским машинам сервера, суперкомпьютеры, встроенные системы и всякое такое. Эти вещи администрируются квалифицированным персоналом. Когда персонал неквалифицирован - беда происходит абсолютно на любой системе. Если вы побежите причислять к *nix системам Android, то я вас огорчу - по любой классификации Android не Linux.

Напомните что и кто куда причислял? Это по какой такой классификации Android не Linux, раскройте уже мне глаза? Вы же знаете, что такое Linux?

@ahovdryk:

Тем более, повторюсь, ни у Canonical, ни у Red Hat почему-то не возникло проблем с ключами Microsoft. Может, они как-то не так как вы свободу понимают? И да, может, прекратите врать?
Кстати, загрузить Linux в Secure Boot без Microsoft'овских ключей вообще-то вполне реально. Так что об этом, конечно же, многие фанаты FOSS тоже лгут.

Ух ты вокруг сплошные вранье и ложь, по-мнению @ahovdryk. Да вообще проблем никаких нет, наговаривают поди. Вот и рхел и убунта доброю  волею майкрософт без проблем грузятся. @ahovdryk неведомо, что некоторые могут сами в ОСи, что есть linux from scratch, что с самого начала истории ПК некоторые опасные дураки вместо игр рубились в изучение и написание своих недоОС just for fun.

Несколько дней назад наш уважаемый коллега @ahovdryk опубликовал пост об Secure Boot. В целом все описано довольно понятно и доступно, за исключением одного аспекта, одного НО, за что же эта технология подвергается такой критике.

Дело в том, что это одна из технологий существенно ограничивающих цифровую свободу, ну и как результат свободу в целом. Это один из анальных зондов, навязанных пользователям IBM PC совместимых платформ, избавится от которого крайне сложно.

Давайте попробуем разобраться по порядку, иначе будет непонятно.

Secure Boot является частью спецификации UEFI, которая, в сущности, является международным стандартом программного обеспечения для низкоуровневой инициализации компьютеров, а в IBM PC используется вместо древнего BIOS.

BIOS и вправду очень стар, у него масса недостатков и рудиментов, нет 64битной реализации, нет механизма работы с дисками большого объема и т.д.

Эти недостатки не современные, не сегодняшние и не вчерашние, они были с BIOS всегда, если кто помнит, проблемы с объемом дисков всплывали в прошло неоднократно и успешно решались. Помнит кто про 32ГБ? А ведь было много и раньше, еще с мегабайтов. Решались проблемы с CHS/LBA разметкой, с флагом активности в MBR, и еще овер 9000 вещей были доработаны в BIOS за его более чем 30-тилетнюю историю. В принципе, он еще может выполнять свои функции после доработки напильником.

UEFI быстрее, выше, сильнее, нет вопросов, современный UEFI представляет собой практически полноценную операционную систему и позволяет, например, использовать ПК вместо DVD или mp3 плеера, на загружая основную ОС. UEFI умеет 64 бита, т.е. может адресовать всю доступную память и полноценно использовать регистры; он же умеет в диски большого объема, кроме того относительно неплохо умеет в сеть. Ну это если про существенные преимущества, а не про двд плеер.

Тут необходимо понимать, что UEFI не лучший и не худший, причем, далеко не единственный из вариантов эволюции. Я перечислю только открытые: Coreboot, Libreboot, OpenBIOS и Das U-Boot.

Кто-то, наверное, скажет: "Опа, очередной линуксоид!". Неа, я, конечно, FOSS евангелист, по крайней мере в моей жизни и практике FOSS играл и играет огромную роль, даже может линуксоид. Но для меня всех на свете милее FreeBSD, хоть и приходится сейчас, в основном, в Linux.

Вернемся к теме про Secure Boot.

На сейчас, при том, что международный стандарт и множество производителей айбиэмсовместимого железа, загрузчики подписывает только Microsoft. То есть кроме Microsoft никто не может создать цифровую подпись для загрузчика, чтобы UEFI Secure Boot стал считать загрузчик безопасным. Большая часть вендоров сохраняют возможность загрузки старым способом, называя его "легаси", но это необязательный, опциональный вариант, которого может и не быть ( мне, к счастью, такое железо пока не попадалось). Причем биос спокойно может загрузить систему даже с GPT диска, используя protective MBR. GPT разметка, пожалуй, лучшее из всего того, что создано UEFI форумом.

То есть некая группа Microsoft и ко пролоббировала принятие стандарта, который не позволяет мне использовать такие ОС, какие я хочу, сам я создавать цифровые подписи никак не могу, и сделать с этим ничего нельзя. И никто кроме майкрософта не может. Майкрософт это такая международная общественная организация или часть правительства какого-то? Ну пока есть легаси режим загрузки это не проблема, но ситуация будет, думаю, развиваться по ограничительному, а не разрешительному пути.

Сделайте, ладно, так, чтобы я сам мог определить, что безопасно, а что нет. Нет, жри наше говно ложками и не вякай. Не хочешь Secure Boot, на тебе spectre/meltdown, не хочешь meltdown, получи официальный Intel ME.

Вышла новая загрузочная бинарь GRUB, например, добро пожаловать, так сказать, в майкрософт на сертификацию, а пока обождите загружаться. Ну или грузите десяточку, чего уж.

На мобильных результаты уже видно, где вендор даст возможность разблокировки загрузчика, там грузитесь, а где не даст, там "бюстгальтер женщины самоклеящиеся толчок вверх хлопок бюст без бретелек установить белье".  И ничего не сделаешь. Ну а у на PC прилетели полезные автоматические обновления и нужна срочная перезагрузка, подождите пока установятся обновления, не выключайте компьютер. Не сохранили работу, так зато все безопасно.

Хорошо, конечно, удаленно заблокировать потерянный ноутбук как айфон, это возможно с Secure Boot, а можно ли сделать так, чтобы этот ноутбук гарантированно работал как надо и делал то, что нужно, и не зависел от кого-то извне, имеющего на словах самые лучшие побуждения?

Нужно же ведь четко понимать, что айфон блокируете не вы, его блокируют эппл или мейзу с сяоми.

С появлением средств массовой информации мы все даже нехотя пропитываемся ею (информацией) насквозь. К сожалению количество источников не увеличивает качества этой информации.

Газеты, журналы, телевидение, Интернет и т. д. с приходом массового неподготовленного писателя заражаются снижением качества подаваемой информации.

Вокруг нас столько научпопа и псевдонаучпопа, что всякие модные научные словечки в великом множестве прочно вошли в обиход, вошел в нашу повседневную речь и точный термин - "генетический код".

- А-а-а. В его генетический код внесены изменения - он мутирует! А-а-а.

В код. Внесены изменения. В генетический код. Рукалицо.

Слушаешь порой, и вянут уши. Сложно, сложно и противно авторам и переводчикам дается правда о генетическом коде, хотя при некотором рассмотрении проще вещи не найти.

Давайте попробуем в этом разобраться, и нам поможет наш детский опыт и разделение термина на две составляющие - код и генетический.

Начнем с кода. Для полного понимания того, что это такое, нужно понимать, что такое информация, как она передается и что собой представляют процессы кодирования и декодирования. А мы пока попробуем обойтись минимальным минимумом аналогий для неполного, но понимания.

Вот, например, Петя и Маша встретились в парке, и Маша делает вот так:

Что происходит, и как это понимать? Маша, очевидно, передает Пете некоторую информацию, получив которую Петя может продолжать общение дальше в определенном русле. Но все ли так просто?

Мы с детства передаем и получаем информацию, используя все органы чувств. Мы слышим речь родителей, начинаем ее понимать и пытаемся говорить в ответ. Видим мимику и жесты и копируем их. Чувствуем вкусы и запахи, ощущаем прикосновения.

При этом это все физические процессы. Речь - упругие колебания, вкусы и запахи - химия, мимика и жесты - оптические явления. Что же происходит внутри нашего общения?

Мы кодируем и декодируем информацию.

Зная код, обменявшись им с окружающими, мы, используя этот код, облекаем наши мысли в физические процессы, которые передают информацию собеседникам, а те превращают эти физические процессы обратно в образы внутри сознания.

Еще раз, имея код, зная способ кодирования, собеседники (передатчик информации и приемник) могут информацией обмениваться.

Процессы передачи информации окружают нас с самого начала даже в утробе и до конца - биение материнского сердца, упомянутые выше разговорная речь, осязание, жесты, мимика, запах и вкус еды, далее письменная речь, парфюмерия и косметика, жаргон, азбука морзе, шрифт Брайля, шифры и т. п.

А что такое генетический? Это, соответственно, относящийся к части биологии - генетике, изучающей закономерности наследственности и изменчивости. Последние два термина достойны отдельного разговора, а здесь ограничимся пока только упоминанием генетики.

Кто помнит школьную программу по общей биологии, вспомнят и центральную догму молекулярной биологии: упрощенно ДНК->РНК->белок.

Я напомню здесь, что при всем многообразии различных химических веществ входящих в состав клеток живых организмов, белки и нуклеиновые кислоты (ДНК и РНК) занимают среди них совершенно особое уникальное место, обеспечивая практически все особенности живых организмов, отличающие их от неживых предметов. При этом можно вспомнить слова великих о жизни - "Жизнь есть способ существования белковых тел", чтобы понять, насколько существенным считалось биологическое значение белков учеными более 100 лет назад. Надо сказать, что к текущему времени в этом мало что изменилось.

Белки и нуклеиновые кислоты в отличии от других веществ, входящих в состав клеток, являются нерегулярными биологическими полимерами, состоящими из нескольких мономеров. Нуклеиновые кислоты - из нуклеотидов (5 основных), а белки - из аминокислот (20 основных). И нуклеотиды и аминокислоты первоначально расположены в соответствующих полимерах последовательно один за другим в виде цепи. Потом эти цепи собираются в норме в разнообразные трехмерные структуры, практически полностью зависящие от первоначальной последовательности. Разнообразие возможных комбинаций цепей белков состоящих из 20 аминокислот - 104857600000000000000000000 (1.05*10^26), при этом типичные белки содержат десятки и сотни аминокислотных остатков. Разнообразию трехмерных структур белков мы обязаны своим биологическим существованием таким как есть.

Теперь нужно упомянуть откуда берутся белки и нуклеиновые кислоты и можно будет переходить к сути статьи.

Белки производятся в клетке на рибосомах с использованием матрицы РНК, в которой записывается последовательность аминокислот белка в виде последовательности нуклеотидов РНК. То есть из РНК читается информация о последовательности аминокислот в белке с одновременным синтезом белка. Этот процесс называется - трансляция.

РНК производятся на матрице ДНК, то есть из ДНК считывается информация о последовательности нуклеотидов в молекуле РНК с одновременным синтезом РНК. Этот процесс называется - транскрипция. Потом с РНК происходит ряд дополнительных преобразований, о них позже.

ДНК производятся на матрице существующих ДНК перед делением клетки, то есть информация о последовательности нуклеотидов в новой молекуле ДНК считывается из существующей молекулы ДНК с одновременным синтезом новой ДНК. Этот процесс называется - репликация (редупликация) ДНК.

Вернемся к центральной догме молекулярной биологии:

Генетический код непосредственно связан с процессом трансляции и аминоацетилирования (в следующих статьях), когда последовательность нуклеотидов в молекуле РНК используется для синтеза белка, то есть для создания цепи аминокислот с совершенно определенной последовательностью.

Генетический код это способ передачи информации о последовательности аминокислот в белке при помощи последовательности нуклеотидов в молекуле РНК.

Еще раз, генетический код это способ передачи генетической информации. К сожалению, устоявшаяся биологическая традиция в этом месте вносит дополнительные терминологические затруднения. Поскольку "передача генетической информации" является строгим термином обозначающим репликацию, а передача информации от РНК к белку в процессе трансляции называется - "реализация генетической информации". Ну тут уж ничего не поделать - так исторически сложилось. Но сущность генетического кода такова же как и сущность разговорной или письменной речи - они не есть информация, они лишь способ ее передачи.

Генетический код нельзя изменить без искажения передачи всей информации о структуре белков, и, соответственно, без утраты возможности правильного синтеза всех белков клетки.

Если речь идет о мутациях - меняется генетическая информация, меняется ДНК, но не генетический код. Надеюсь, что кому-то станет немного понятнее.

Предыдущая часть.

После долгих раздумий о судьбах мира и созерцания пупка было принято волевое решение продолжить писать всякое. Однако я считаю, что для дальнейшего продвижения в дебри эзернет простого резонерства на тему фреймов, без ухода хотя бы немного в практическую плоскость, недостаточно, нужно добавлять хотя бы зачатки того, зачем это все. А если отбросить разные сантименты, то на вопрос зачем же все это, ответ будет однозначным - в подавляющем большинстве случаев для передачи IP.

И здесь для дальнейшего движения в правильном направлении об этом самом IP нужно бы хоть немного рассказать.

Тут я начну не с истории, а с практики. Представьте обычную советскую семью поклонников продукции эплл, у них в квартире наверняка есть устройства, которые что-то передают по IP. Предлагаю рассмотреть пылесос, который по заполнению мусорника отправляет в облако эппл соответствующие фоточки голой хозяйки данные о необходимости почистить или заменить пакет, ну и периодически шлет сообщения о необходимости замены расходников на новые оригинальные. Ну или в крайнем случае утюг, утюг может быть был бы даже лучше, но пусть все-таки будет пылесос. Облако в свою очередь шлет что надо в АНБ хозяйке на айфон. Большая часть коммуникаций работает в IP сетях. А IP сети, прошу прощения за тавтологию, в свою очередь в ethernet сетях.

Что же делает пылесос, когда ему надо передать информацию?! (Предлагаю профантазировать о модели пылесоса с подключением к таймкапсулю по вайфаю).

Предположим, что все автоматизировано, как положено в эппл и пылесос автоматически подключается к сети и получает настройки для сетевого подключения. Внутри пылесоса для функционирования передачи данных в облака при такой схеме должен быть предусмотрен какой-то компьютер-контроллер, который содержит программно-аппаратные средства для осуществления контроля параметров работы пылесоса, обработки данных и передаче данных куда нужно. Как минимум нам интересны сетевая карта вайфая (сетевой интерфейс) и операционная система с tcp/ip стеком.

В момент включения пылесос подключится к вайфай сети, запросит и получит настройки сетевого подключения, в числе которых скорее всего:

1. IP адрес

2. Маску сети

3. Шлюз по умолчанию

4. IP адреса ДНС серверов

В L3 схеме сети это будет выглядеть так:

Отличия вайфай сети от эзернета я пока рассматривать не буду, просто пока примем, что вайфай в таймкапсуле работает в режиме точки доступа, который эмулирует эзернет. Эзернет на схеме показан как труба, к которой подключены маршрутизатор и пылесос, так в схемах сетей обозначают разные шинные топологии.

Итак что же произошло при получении пылесосом настроек сети? Сетевой интерфейс пылесоса произвел автонастройку параметров, необходимых для полноценной передачи данных в соответствии с информацией, полученной от dhcp сервера таймкапсуля. Предположим он получил от домашнего маршрутизатора (таймкапсуля)

1. IP адрес - 192.168.0.100

2. Маску сети - 255.255.255.0

3. Шлюз по умолчанию - 192.168.0.1

4. IP адреса ДНС серверов - 192.168.0.1, 8.8.8.8

Итак зачем все это нужно.

IP адрес - идентификатор хоста в IP сети, уникальное в сети 32хбитное число, представляемое для удобства человека чаще всего как набор из 4х 8мибитных десятичных чисел (байтов или октетов). Октет это восьмиразрядное двоичное число, например 11111111. В большинстве случаев сейчас байт тоже восьмиразрядное двоичное число, поэтому в данном контексте они тождественны.

192.168.0.100 - 11000000101010000000000001100100 или 3232235620 (в десятичной системе), или 11000000.10101000.00000000.01100100 с разделением октетов точками.

Тут нужно опять сделать отступление. Представьте, что вам нужно перемножить 2 числа -

LXXVIII * CXI, для многих задача покажется невыполнимой, потому что я привел числа, записанные римскими цифрами, а данная система записи чисел - непозиционная.

В то врtмя как мы привыкли использовать арабские цифры и позиционную систему записи чисел с основанием в 10.

LXXVIII * CXI = 78 * 111 = 78*100+78*10+78*1 = 7800+780+78 = 7000+800+700+80+70+8 =

= 7000+1500+150+8=8658, ну или в столбик. Эти все итерации в примере возможны потому, что каждая цифра может обозначать разные числа, находясь в разных позициях, позиции определяют соответствующие степени основания системы счисления (для нас привычно степени 10ти - 10^0 - единицы, 10^1 - десятки, 10^2 -сотни и т.д.), а цифра в позиции определяет их количество. То есть 111 = 1 единица + 1 десятка + 1 сотня.

Эти же принципы используются в системах счисления с другим основанием (двоичной, восьмеричной, шестнадцатиричной), нас будет интересовать двоичная система.

В двоичной системе основание не 10, а 10, шутка, а нет, не шутка - основание 2 то есть в двоичной записи - 10, цифр соответственно не 10 (0-9), а 2 (0,1), переход в числа в следующую позицию осуществляется при исчерпании цифр в текущей позиции. То есть как в десятичной системе, пока можно увеличивать число изменяя цифру в позиции, количество позиций не изменяется. Например число будет одноразрядным, пока для единиц хватает цифр - 1, 2, 3, 4, 5, 6, 7, 8, 9, а вот цифры закончились, дальше для увеличения числа нужно изменять разряд. 10,11,12..99, опять закончились цифры уже в десятках, опять добавляем разряд, и следующее число - 100.

Еще раз в двоичной системе цифр только 2 (0,1), поэтому натуральный ряд чисел выглядит так - 1, 10, 11, 100, 101, 110, 111 и т. д. Его не трудно перевести на человеческий (десятичный), это соответственно 1, 2, 3, 4, 5, 6, 7.

Еще раз:

1-1

2-10

3-11 (почти 99)

4-100

5-101 (дальше как с 909)

6-110 (а тут как с 990)

7-111 (а это похоже на 999).

Теперь попробуем подвести это к IP адресам, то есть к их частям - октетам. Возьмем последние октеты наших устройств (таймкапсуль-маршрутизатор - 192.168.0.1, пылесос - 192.168.0.100), то есть 1 и 100, и переведем их в двоичную систему с сохранением количества цифр в октете.

1 - 00000001 (1)

100 - 01100100 (1100100)

Чтобы количество цифр сохранялось равным 8ми (это важно), в части чисел нужны лидирующие нули.

Далее нужно понять зачем все это. А все это для маршрутизации.

У каждого компьютера, оборудованного сетевым интерфейсом с настроенным IP есть таблица маршрутизации, которая создается после настройки IP адреса на интерфейсе и некоторых дополнительных параметров.

Посмотрим как выглядит такая таблица у пылесоса, после настройки сети.

После добавления IP адреса 192.168.0.100 и маски сети 255.255.255.0 к интерфейсу в таблицу маршрутизации добавилось 2 записи:

1. - 192.168.0.100 255.255.255.255 - локальный адрес

2. - 192.168.0.0 255.255.255.0 - сеть непосредственно подключена к интерфейсу

После добавления шлюза по умолчанию - 192.168.0.1 в таблицу маршрутизации добавилась 1 запись:

3. - 0.0.0.0 0.0.0.0 - через шлюз 192.168.0.1.

Итого, еще раз, в таблице маршрутизации пылесоса появилось 3 записи:

1. - 192.168.0.100 255.255.255.255 - локальный адрес

2. - 192.168.0.0 255.255.255.0 - сеть непосредственно подключена к интерфейсу

3. - 0.0.0.0 0.0.0.0 - через шлюз 192.168.0.1.

Записи обычно сортируются по возрастанию, так что при просмотре это будет выглядеть так:

0.0.0.0 0.0.0.0 - через шлюз 192.168.0.1.

192.168.0.0 255.255.255.0 - сеть непосредственно подключена к интерфейсу

192.168.0.100 255.255.255.255 - локальный адрес

Вот как это выглядит,например, в windows 7:

$ netstat -nr
===========================================================================
Список интерфейсов
14...6c 71 d9 84 cb 57 ......Atheros AR9485WB-EG Wireless Network Adapter
13...74 d0 2b b0 64 a7 ......Qualcomm Atheros AR8161/8165 PCI-E Gigabit Ethernet Controller (NDIS 6.20)
12...6c 71 d9 84 cb 56 ......Устройства Bluetooth (личной сети)
1...........................Software Loopback Interface 1
17...00 00 00 00 00 00 00 e0 Адаптер Microsoft ISATAP
27...00 00 00 00 00 00 00 e0 Адаптер Microsoft ISATAP #2
16...00 00 00 00 00 00 00 e0 Адаптер Microsoft ISATAP #3
15...00 00 00 00 00 00 00 e0 Teredo Tunneling Pseudo-Interface
===========================================================================
IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес  Маска сети  Адрес шлюза  Интерфейс  Метрика
0.0.0.0  0.0.0.0  192.168.0.1  192.168.0.100  20
192.168.0.0  255.255.255.0  On-link  192.168.0.100  276
192.168.0.100  255.255.255.255  On-link  192.168.0.100  276
192.168.0.255  255.255.255.255  On-link  192.168.0.100  276
127.0.0.0  255.0.0.0  On-link  127.0.0.1  306
127.0.0.1  255.255.255.255  On-link  127.0.0.1  306
127.255.255.255  255.255.255.255  On-link  127.0.0.1  306
255.255.255.255  255.255.255.255  On-link  127.0.0.1  306

Здесь кроме тех маршрутов, что я перечислял выше, есть еще несколько, но про них позже.

Теперь надо сказать несколько слов откуда эти маршруты взялись и что с ними можно делать. Представьте, что пылесосу нужно отправить какие-то данные хосту 8.8.8.8, на котором находится публичный ДНС гугла, ну типа "привет, пока, пшел вон, тупая железяка!", так сказать приветствие от IoT компании эппл, сервису компании гугл. Для отправки данного месседжа, его необходимо поместить в IP пакет с соответствующими заголовками, по минимуму как-то так:

1. IP адрес отправителя

2. IP адрес получателя

3. Тип данных

4. TTL и т. д.

Хост готовит пакет, в котором IP адрес отправителя - 192.168.0.100, IP адрес получателя - 8.8.8.8, остальное пока не важно. Далее встает вопрос куда же это отправлять? За ответом хост отправляется выбирать из собственной таблицы маршрутизации маршрут, по которому отправить пакет.

Выбор маршрута происходит просто - из таблицы выбирается маршрут для которого выполняются следующие условия:

1. IP адрес получателя входит в диапазон адресов, описанных сетевым адресом и маской сети

2. Из нескольких подходящих маршрутов выбираются те, у которых маска сети максимальна

3. Из оставшихся выбираются те, у которых метрика минимальна.

Теперь нужно понять, зачем нужны маски и как все это работает.

Для этого нужно еще одно лирическое отступление о битовых операциях, в википедии все описано очень хорошо, немногое необходимое про истину и ложь все должны были в школе изучить, но все таки остановлюсь на этом немногом.

Итак в большинстве машинных языков наряду с арифметическими операциями используются также разные операции логические. Логику сейчас в школе не изучают, что прискорбно, но нам нужен минимум.

Чаще всего эквивалентом истинности чего-либо в вычислениях является двоичная единица, а эквивалентом лжи - ноль.

Теперь к сути операций, сначала Логическое И (умножение или AND):

Истина И Истина = Истина, Ложь И (Истина или Ложь) = Ложь, (если есть хоть немного лжи, то все целиком - ложь) или так:

1 И 1 = 1, 1 И 0 = 0, 0 И 1 = 0, 0 И 0 = 0, или так:

1 * 1 = 1, 1 * 0 = 0, 0 * 1 = 0, 0 * 0 = 0.

То есть если один из операндов - ноль, результат тоже ноль.

Далее Логическое ИЛИ (сложение или OR):

Истина ИЛИ Истина = Истина, Истина ИЛИ Ложь = Истина, Ложь ИЛИ Ложь = Ложь (если есть хоть немного истины, то все целиком - истина) или так:

1 ИЛИ 1 = 1, 1 ИЛИ 0 = 1, 0 ИЛИ 1 = 1, 0 ИЛИ 0 = 0, или так:

1 + 1 = 1 (сумма, конечно, 2, но главное, что она больше нуля, то есть результат суммирования не 0), 1 + 0 = 1, 0 + 1 = 1, 0 + 0 = 0.

То есть если один из операндов - единица, то результат тоже единица.

Логическое НЕ (отрицание или инверсия, или NOT):

НЕ Истина = Ложь, а НЕ Ложь = Истина, или так:

НЕ 1 = 0, а НЕ 0 = 1.

То есть после операции результат будет противоположным операнду.

Теперь вернемся к маскам. Маски представляют собой некий числовой трафарет (похожий на решетку Кардано), который нужен для необходимых в маршрутизации IP пакетов расчетов.

Чаще всего это набор единиц слева направо в 32х-разрядном двоичном числе. Например:

10000000000000000000000000000000 - маска /1 (1 единица) или 128.0.0.0,

11000000000000000000000000000000 - маска /2 (2 единицы) или 192.0.0.0,

11100000000000000000000000000000 - маска /3 (3 единицы) или 224.0.0.0,

11111111.00000000.00000000.00000000 - маска /8 (8 единиц) или 255.0.0.0,

11111111.11111111.00000000.00000000 - маска /16 (16 единиц) или 255.255.0.0,

11111111.11111111.11111111.00000000 - маска /24 (24 единицы) или 255.255.255.0.

Маски (32 бита) накладывается на IP адреса (32 бита), чтобы производить разнообразные расчеты.

В нашем примере с пылесосом маска 255.255.255.0 накладывается на IP адрес интерфейса - 192.168.0.100 для расчетов записей, добавляемых в таблицу маршрутизации:

Повторю еще раз 192.168.0.100 это в двоичной системе -

11000000.10101000.00000000.01100100,

а 255.255.255.0 -

11111111.11111111.11111111.00000000.

Итак на первом этапе стек рассчитывает из комбинации адреса и маски адрес IP сети, непосредственно подключенный к интерфейсу при помощи побитовой операции И:

11000000.10101000.00000000.01100100 И

11111111.11111111.11111111.00000000 =

11000000.10101000.00000000.00000000 или 192.168.0.0.

Расчетный адрес подсети соответственно - 192.168.0.0 с маской 255.255.255.0, нужно отметить, что в знакоместах адреса биты, закрытые единицами маски, не изменились, а в знакоместах закрытых нулями все единицы изменились на нули.

Далее производится операция инвертирования маски - НЕ

11111111.11111111.11111111.00000000 =

00000000.00000000.00000000.11111111

это 0.0.0.255.

Данное число называется wildcard. Это эквивалент количества адресов в данной сети.

Таким образом минимальный адрес в сети, подключенной к вайфай интерфейсу пылесоса -

192.168.0.0, а максимальный (192.168.0.0+0.0.0.255) - 192.168.0.255.

Для адресов из данного диапазона пылесос будет отправлять IP пакеты непосредственно в интерфейс, а хосты с адресами из данного диапазона будут соответственно доступны пылесосу непосредственно, то есть без промежуточных шлюзов.

Все это нужно, чтобы при настройке интерфейса добавить в таблицу маршрутизации запись, указанную ранее:

192.168.0.0 255.255.255.0 - сеть непосредственно подключена к интерфейсу.

А также чтобы определять принадлежность произвольного адреса назначения в IP пакете определенной сети из таблицы маршрутизации.

Например 8.8.8.8 совершенно точно не входит в 192.168.0.0 255.255.255.0, но в таблице маршрутизации была еще одна запись:

0.0.0.0 0.0.0.0 - через шлюз 192.168.0.1,

Как понимать что такое сеть 0.0.0.0 0.0.0.0.

Давайте посчитаем.

Адрес 0.0.0.0 это:

00000000.00000000.00000000.00000000, маска такая же:

00000000.00000000.00000000.00000000, после операции И, получим

00000000.00000000.00000000.00000000, это 0.0.0.0 - адрес сети (а также и минимальный адрес в данной сети), после инверсии маски:

00000000.00000000.00000000.00000000, получим

11111111.11111111.11111111.11111111, то есть 255.255.255.255 (wildcard, количество адресов в сети), после арифметического сложения адреса сети и wildcard (0.0.0.0+255.255.255.255) получим 255.255.255.255 - максимальный адрес в сети.

После данных операций становится понятно, что сеть 0.0.0.0 0.0.0.0 (короткая запись с маской, указывающей на количество единиц маски, - 0.0.0.0/0) содержит все IPv4 адреса в сети IP. Адреса 8.8.8.8, 192.168.0.1 и 192.168.0.100 являются частью данной сети.

Продолжение следует...