Một hệ thống (dù chỉ cho phép đăng nhập qua giao thức an toàn như SSH) cũng chưa thể xem là an toàn. Một trong những nguyên nhân là khả năng lộ mật khẩu của người dùng root.

Kẻ có ý đồ xấu thường tấn công một hệ thống bằng cách dò tìm mật khẩu của người dùng root. Nếu mật khẩu yếu thì khả năng hệ thống bị qua mặt là rất cao.

Do đó, ngoài mẹo “chỉ cho đăng nhập qua khóa SSH” thì một trong những mẹo hay được dùng là khóa người dùng root lại. Cách làm rất đơn giản: chỉ cần chạy lệnh sau

$sudo passwd -l root

Tham số -l sẽ khóa người dùng root lại bằng cách đổi mật khẩu của root sang một giá trị mà không một giá trị mã hóa nào trùng khớp cả. Tuy nhiên, cũng cần phải lưu ý là lệnh trên không vô hiệu hóa người dùng root, nên ai đó vẫn có thể đăng nhập thông qua cơ chế khác (không phải dùng mật khẩu) như dùng khóa SSH chẳng hạn.

Tham khảo thêm

• man passwd
• http://www.debianadmin.com/enable-and-disable-ubuntu-root-password.html

Đặt cấu hình (cho máy chủ) bằng cách sửa tệp /etc/ssh/sshd_config sao cho

RSAAuthentication yes
PubkeyAuthentication yes
PasswordAuthentication no

Hai dòng đầu cho phép đăng nhập sử dụng khóa. Dòng thứ ba cấm sử dụng mật khẩu, chỉ có khóa SSH mới được phép đăng nhập.

Tuy nhiên, còn một loại định dạng khác nữa mà nếu bạn không có phần mềm thì sẽ phải loay hoay một lúc. Đó là tệp CHM.

Có hai giải pháp cho vấn đề:

1. Cài đặt phần mềm có khả năng hiểu tệp CHM:

$sudo aptitude install gnochm

2. Dùng công cụ chuyển đổi tệp CHM sang dạng PDF

$sudo aptitude install chm2pdf
$chm2pdf --book source_book.chm destination_book.pdf

Tham khảo

• Dự án chm2pdf

Tôi và đồng nghiệp muốn chia sẻ tệp tin lớn. Mặc dù cả hai đang ở trong một tòa nhà và chung mạng LAN, nhưng mỗi phòng đều có mạng LAN riêng -mỗi mạng đặt 1 tường lửa Linux.

my LAN <-> my FW <-> our LAN <-> his FW <->  his LAN

Vì vậy, chúng tôi quyết định chép qua thư mục chung đặt trên máy chủ khác nằm ở mạng cục bộ chung (our LAN). Khi bắt đầu chép dữ liệu (tổng cộng khoảng 4GB) từ máy của đồng nghiệp tôi lên máy chủ thì chúng tôi mới nhận thấy tốc độ quá chậm: chỉ đạt hơn 600kB/s, trong khi tốc độ LAN là 100Mbps. Ban đầu, tôi nghi ngờ do chính sách kiểm soát chất lượng đang đặt cho tường lửa không cho phép vượt quá ngưỡng nhất định. Nhưng sau khi kiểm tra lại, thì phát hiện ra băng thông đầu ra thấp có thể là card mạng chỉ đạt chuẩn 10Mbps chứ không phải cùng tốc độ với mạng chung 100Mbps.

Vấn đề đặt ra là liệu có cách nào kiểm tra ngay tốc độ của card mạng mà không phải tháo máy. Để nếu biết chắc giả định của tôi là đúng, thì khi đó mới phải tắt tường lửa để thay bằng card mạng khác tốc độ cao hơn.

Giải pháp
Có 3 cách để kiểm tra, chạy một trong các lệnh sau ở dòng lệnh,  sau đó đọc thông tin liên quan đến tốc độ thẻ mạng

$dmesg | grep eth0
$sudo mii-tool -v eth0
$sudo ethtool eth0

dmesg cho thông tin dạng

[ 6904.129021] skge eth1: Link is up at 100 Mbps, full duplex, flow control both

mii-tool cho thông tin dạng

eth1: negotiated 100baseTx-FD flow-control, link ok

ethtool cho thông tin dạng

Settings for eth1:
…

Speed: 100Mb/s
Duplex: Full

Bài học

Khi thiết kế và bố trí các trang thiết bị mạng, nếu không lưu ý sẽ gây ra hiện tượng nút cổ chai ở khối máy chủ hoặc bộ định tuyến/tường lửa.

Luôn ưu tiên sử dụng thiết bị mạng có băng thông rộng nhất, tốc độ cao nhất dành cho các điểm kiểm soát đó. VD: ưu tiên sử dụng bộ chuyển mạch (switch thay vì bộ tập trung (hub) để đấu/kết nối với khối máy chủ vì lưu lượng qua đó luôn lớn.

Nguồn tham khảo

1. http://www.linuxhomenetworking.com/wiki/index.php/Quick_HOWTO_:_Ch03_:_Linux_Networking
2. http://linuxhelp.blogspot.com/2005/10/find-speed-of-your-ethernet-card-in.html

[1] Update IP addresses at dynamic DNS services Using ddclient

[2] DynDNS Client Setup on Ubuntu

• bản tiếng Việt (trực tuyến)
• bản tiếng Anh (trực tuyến)

Công văn 12966/BGDĐT-CNTT ngày 10/12/2007 của Bộ Giáo dục và Đào tạo

Máy để bàn của tôi chỉ đủ cáp để cắm cho 02 ổ IDE. Hiện tại tôi dùng hết cho 2 ổ cứng, trong đó ổ phụ có 1 phân vùng để làm swap. Vì thế, ổ DVD của tôi phải bỏ ra ngoài. Trong khi tôi có 02 máy chủ -là máy tính bình thường. Thừa chỗ trống và cáp để lắp thêm ổ DVD, nhưng lại chỉ có giao diện dòng lệnh -vì là máy chủ mà. Làm thế nào để ghi được dữ liệu đây?

Xử lý

B1. Chuẩn bị phần cứng: lắp đặt ổ DVD vào máy chủ như thường làm với máy để bàn

B2. Chuẩn bị phần mềm:cần công cụ cdrecord để ghi ảnh ra đĩa CD.

Kiểm tra xem gói cdrecord đã được cài đặt trên máy chủ hay chưa:

aptitude show cdrecord

Nếu trạng thái thông báo là chưa cài thì chạy lệnh sau để cài:

sudo aptitude install cdrecord

B3. Ghi đĩa: tại dòng lệnh, chạy

~$cdrecord dev=/dev/cdrw2 driveropts=burnfree -v -data debian-40r3-i386-CD-1.iso

Chú ý: nếu dùng đĩa CD-RW thì phải xóa trắng trước khi thực hiện B3 bằng lệnh

$cdrecord dev=/dev/cdrw2 blank=fast

Nguồn tham khảo

1. Community Ubuntu Documentation’s CdDvdBurning
2. Burn CD images in Linux command line
3. Linux burn ISO images to Cds and CD-RWs howto

Tôi chủ yếu dùng desktop, cả ở cơ quan và ở nhà, để làm việc và giải trí. Cách đây hơn 1 năm, tôi được cho một chiếc máy tính xách tay IBM Thinkpad A21m. Khá cũ, pin bị chai và rất nặng. Tuy nhiên tôi vẫn sử dụng sau khi nâng cấp thêm RAM, mua thẻ không dây PCMCIA, gỡ bỏ Windows XP và cài Xubuntu. Cấu hình hiện nay của nó:

• PIII 750Mhz
• 384MB SDRAM 100Mhz
• 20GB HDD

Gần đây lại bị hỏng card mạng cắm trong (nên tôi phải mua thêm USB ethernet), trục trặc màn hình, ổ cứng hay treo bất thường, hỏng sound card. Trong khi đó, tôi lại phải đi công tác xa và di chuyển. Có nhu cầu liên lạc qua Internet.

Vì vậy, tôi đã nghĩ tới khả năng mua 1 chiếc máy netbook nhỏ gọn như EeePC mà anh bạn David Tremblay đã từng giới thiệu hơn 1 năm trước.

Đánh giá về AAO

Tính kinh tế

khảo sát giá giữa các công ty phân phối máy tính thì thấy Trần Anh bán rẻ nhất. Khoảng 6,2 triệu đồng (~ $374). Chiếc laptop mà tôi được tặng mua cách đây 3 năm (second hand) cũng đã bằng giá đó.

Đặc tính kỹ thuật

• Chip Intel Atom 1.6Ghz
• 1GB DDR
• 8GB SSD: được đánh giá là nhanh hơn HDD. Đó chính là lý do tại sao AAO khởi động xong trong 15s.
• Màn hình ~9inch, công nghệ LED backlit nên rất nét, gần được như màn hình gương.
• WiFi 802.11 b/g

Độ tiện dụng

Nhẹ, nhỏ gọn: tôi cầm chiếc AAO đặt trong túi da có cảm giác chỉ như một quyển số tay. Rất thoải mái.

Thiết kế nuột nà.

Sự hỗ trợ

Dòng máy này có cộng đồng người sử dụng riêng. Tại đây có thể tìm thấy chỉ dẫn về cập nhật BIOS, cài đặt/nâng cấp phần mềm, phần cứng.

Thông tin tham khảo

1. Acer Aspire One User Opinions
2. Acer Aspire One full review
3. First Atom-based notebook runs Linux
4. Lenovo IdeaPad S9
5. Asus Eee PC
6. Dòng máy netbook của Acer tại Việt Nam
7. So sánh tốc độ ổ SSD với HDD
8. Booting Linux in five seconds
9. Five Things that Netbooks Need?
10. The Dawn of Atom
11. Here Comes the Atom
12. Acer Aspire One Tips & Tricks
13. Installing Opera on Aspire One Linux
14. About the storage expansion
15. Tự nâng cấp RAM cho AAO
16. Moblin for Netbooks and Nettops

Bài này chia sẻ “phát hiện mới” của tôi trong quá trình sử dụng Linux khi hiểu được điều mà Linux muốn nói qua chỉ số “load averages“. Nó khiến tôi không ngừng yêu mến hệ điều hành này, không ngừng tò mò, khám phá và chinh phục những điều mới lạ.

Tình huống thực tế

Đầu tuần trước, tôi nhận được yêu cầu phải trả lại máy đang mượn, vì vậy phải kiếm máy khác thay thế để dựng lại tường lửa. Tất nhiên chẳng có nhiều lựa chọn vì các máy mới, tốt và mạnh thì đang được khai thác rồi. Thế là chỉ có hai PC cũ rích vứt trong kho chả ma nào thèm:

1. Compaq Presario: 486, 24MB RAM, 1GB HDD
2. hoặc Viec (domestic model): PII 233Mhz, 32MB SDRAM 100, 5GB HDD

Cuối cùng phương án (2) được chọn vì không thể kiếm được card mạng ISA cho (1). Việc dựng lại tường lửa mới khá đơn giản vào cuối ngày làm việc (khi tất cả về hết): tắt máy, tháo ổ cứng cũ ra lắp vào máy mới, rồi chạy setup để cấu hình lại mạng.

Ban đầu mọi việc êm xuôi khi tất cả các máy trạm vào Internet như bình thường. Chỉ tới sáng hôm sau. lúc hầu hết đồng nghiệp đi làm và cùng vào Internet. Tốc độ mạng trở nên chậm không thể chịu nổi. Trình duyệt đứng yên với thông báo “Waiting for …“.

Thử kết nối trực tiếp qua modem thì bất ngờ vì tốc độ vẫn nhanh như thường. Chứng tỏ tường lửa “có vấn đề” nên đã không đáp ứng kịp. Nhiều khả năng do máy quá yếu hoặc thiếu bộ nhớ (máy trả lại có cấu hình là PIV 1.8Ghz, 128MB RAM). Nghi ngờ thế nhưng chẳng biết giải quyết như thế nào vì chẳng còn máy nào khác. Chẳng nhẽ lại gỡ tường lửa ra để vào Internet thẳng qua modem.

May mắn là nhờ có JC -một anh bạn làm ở AUF- sau một hồi sử dụng top để phân tích thì thấy “load averages” của tường lửa cao bất thường: 2,79. Và nguyên nhân là tường lửa đã bật dịch vụ squid (web proxy) đòi hỏi truy xuất ổ cứng nhất nhiều VÀ snort -dịch vụ phát hiện đột nhập trái phép- chính là tiến trình chiếm nhiều bộ nhớ nhất.

Theo anh giải thích, tải trung bình của máy mà > 1 là chứng tỏ hệ thống thiếu tài nguyên nên các tiến trình phải chờ đợi đến lượt. Trong trường hợp của tôi, vì không thể bổ xung thêm phần cứng (RAM) nên cách tốt nhất là tắt các dịch vụ không quan trọng trên tường lửa đi.

Sau khi lần lượt tắt squid, rồi snort thì các con số tải trung bình giảm dần đáng kể cho tới mức < 1. Hệ quả là giao diện web quản trị Smoothwall phản ứng rất nhanh (hầu như tức thì), và đương nhiên các máy trạm vào Internet chỉ trong tích tắc.

Bình luận

Thoạt đầu Linux bị coi là khó sử dụng, nhưng cái chính là không phải lỗi ở Linux mà là vì người dùng không chuyên, ít kinh nghiệm và kiến thức để hiểu Linux. Tôi đã dùng Linux đã gần 6 năm nay, vậy mà cũng không để ý đến ý nghĩa của “load averages”. Nếu không vấn đề mà tôi gặp phải đã được giải quyết nhanh gọn và chóng vánh rồi.

Quả thực những thông tin này luôn được Linux cung cấp bằng cách này hay cách khác, dù bạn dùng bản phân phối nào đi chăng nữa, dùng giao diện dòng lệnh hay đồ họa. Chỉ còn chờ người dùng đọc và hiểu nó mà thôi.

Một số công cụ/lệnh hữu ích

• top
• free
• uptime

Nguồn tham khảo

[1] UNIX Load Averages Explained

[2] Examining Load Average

Lỗ hổng này -DNS Cache Poisoning- được đánh giá ở mức độ cực kỳ nghiêm trọng, vì vậy tất cả các máy chủ tên miền cần phải được vá ngay, càng sớm càng tốt. Nếu không, người sử dụng có nguy cơ bị lừa (“phishing” scams). Cụ thể là dù có nhập đúng tên miền cũng sẽ bị dẫn tới các trang web giả mạo. Tại đó, họ có thể bị gài bẫy để cung cấp các thông tin nhạy cảm như tài khoản ngân hàng hoặc thẻ tín dụng…

Tối hôm qua, bản vá cho Debian cũng đã được nhanh chóng đưa lên các kho phần mềm (repository). Tôi chỉ mất 5 phút để cập nhật cho 2 máy chủ Ubuntu đặt ở 2 nơi khác nhau.

Mặc dù thông tin cảnh báo này cũng đã được đưa lên nhiều tờ báo lớn như:

• BBC News
• Tuổi Trẻ

nhưng sau khi tự sử dụng phần mềm kiểm tra DNS Checker do Dan Kaminsky cung cấp, thì tôi và một đồng nghiệp nữa thấy thông báo cả 2 mạng ADSL của FPT và VDC đều “vulnerable”.

Một người bạn trong HanoiLUG cho rằng điều đó chẳng có gì ngạc nhiên. Bởi cá nhân anh cũng đã phát hiện ra từ nhiều năm trước khi đến Việt Nam sống và làm việc, rằng dịch vụ DNS của FPT là tệ nhất. Chả thế mà anh đã quyết định không bao giờ sử dụng DNS của các ISP này nữa, thay vào đó sử dụng các máy chủ DNS gốc (“go strait to root name servers“).

Có hai điều tôi rút ra từ sự việc này:

1. Tốc độ cập nhật bản vá của Linux thực sự nhanh chóng. Thêm một bằng chứng nữa cho thấy tại sao dùng Linux an toàn.
2. Ý thức về an toàn và bảo mật của các ISP lớn ở Việt Nam trong trường hợp này cho thấy họ thật sự chưa thể coi là chuyên nghiệp. Và không biết có bao nhiêu người dùng bình thường bị vạ lây.
3. Mặc dù ông Vũ Quốc Khánh có trả lời VietnamNet rằng VNCERT đã gửi công văn từ ngày 9/7, thì việc thông báo rộng rãi muộn (ngày 23/7) chẳng biết có đem lại giá trị cảnh báo về nguy cơ và mức độ nguy hiểm của lỗ hổng nếu các ISP không ý thức được trách nhiệm của họ, trong khi bản chất về lỗ hổng có thể đã bị tiết lộ trước khi Kaminsky chính thức đăng đàn.

Đọc thêm

• Phishing and Malware Protection
• Google safe browsing
• How Can I Avoid Being Infected with Badware?