laboratoř UNIX

• laboratoř Rotunda
• Počítače
• Domovské adresáře
• Email
• Kvóty na odchozí data
• WWW stránky
• Výměnná média
• Vypalování
• Tisk
• Software
• Ctecka pametovych karet
• Připojení laborkových disků odjinud
• Dlouhodobé výpočty
• Adresáře pro projekty
• SSH
• Problémy

Počítače

• Počítače UNIX

Domovské adresáře

• jsou umístěny v AFS filesystému, který nepoužívá standardní unixová práva, ale vlastní ACL-ka (Práva UNIX)
• dokumentace k AFS je na googlu, zejména je potřebná User guide
• důležité AFS příkazy jsou:
  • fs - nastavování přístupových práv (viz. fs help, Práva UNIX)
  • tokens - vypíše platné AFS tokeny
  • unlog - zrušení AFS tokenu
• ověřování hesel dělá kerberos5, důležité příkazy jsou:
  • klist -T - vypíše kerberos5 tickety a AFS tokeny
  • kinit - přihlášení do kerberos5 a AFS (běžně není potřeba)
  • kinit -R - prodloužení platnosti kerberos5 ticketu a AFS tokenu, nechce heslo (tickety platí 1 den, prodlužovat je lze 1 týden)
  • kdestroy - zrusi kerberos5 tickety a AFS tokeny
• /afs/ms/u/?/login_name - domovský adresář, standardní disková kvóta 50 GB

Email

• login_name@lab.ms.mff.cuni.cz
• defaultně se maily doručují do souboru $HOME/mail/INBOX
  • pro správné fungování musí mít uživatel postman (který je ve skupině daemons) právo číst soubory $HOME/.forward, případně $HOME/.procmailrc (standardně .forward směřuje na $HOME/mail/.forward, a uživatel postman má v $HOME jen právo vypsat seznam souboru) a zapisovat do adresáře $HOME/mail (nastaveni prikazem “fs setacl $HOME/mail postman write”)
• pošta je přístupná také přes SSL pop a imap na adrese pop-lab.ms.mff.cuni.cz a imap-lab.ms.mff.cuni.cz
• přes poštovní server neprojdou viry a přílohy s dvojitou příponou (např. *.doc.exe), místo toho je adresátovi doručen mail informující o zachycení viru
• mailům, které jsou pravděpodobně spam, se do “Subject:” přidá text “****SPAM****” a obsahují hlavičku “X-Spam-Flag: YES”, podle které se dá filtrovat v ~/.procmailrc nebo ve skriptech. Také je změněn adresát na login+spam a je možné ho zachytávat pomocí ~/.forward+spam

Kvóty na odchozí data

• protože často chodí stížnosti kvůli sdílení filmů…, počítají se odchozí data pro každého uživatele a při překročení kvóty se daný uživatel omezí
• kvóta je 2GB/týden, stejná jako na koleji, pokud někdo ze studijních důvodů potřebuje více, lze to po dohodě individuálně nastavit
• v pondělí se každému uživateli sníží počet přenesených dat o kvótu (minimum je ovšem 0 :-), takže pokud někdo kvótu překročil několikrát, tak zůstane ještě další týden blokován
• odchozími daty se myslí data odcházející ven z budovy, provoz do malostranských sítí se nezapočítává. Také se nezapočítávají spojení uskutečněná dovnitř přes sshd
• omezení uživatele znamená, že jsou mu zablokována všechna příchozí spojení a je mu nastaven limit počtu odchozích paketů za sekundu
• všechno výše uvedené platí pro linux-y, na ostatních systémech se data nepočítají, ale jsou na nich blokována veškerá příchozí spojení z venku kromě ssh
• napočítaná odchozí data lze podle UID zjistit v souboru /afs/ms/common/rw/ip_useracct/quota (updatuje se každých cca 15min) nebo skriptem quota_net_status.sh

WWW stránky

• vlastní webové stránky je možno vytvářet v adresáři $HOME/WWW
• adresáře, kam má www server vidět musí mít práva “rl” pro uživatele www (nastaví se pomocí “fs setacl ~/WWW www read”)
  • pro všechny nadřazené adresáře musí mít www server práva lookup (fs setacl DIR www l)
    • pro standardní nastavení na čtení jen z ~/WWW tedy stačí příkazy:
      • fs setacl ~/WWW www read
      • fs setacl ~/. www l
  • pak již běží PHP skript pod právy uživatele a tudíž může číst a zapisovat kamkoli do uživatelského adresáře (pro projektové www stránky to neplatí a musí se případně nastavit právo zápisu pro uživatele www: fs setacl DIR www write)
• další informace jsou na WWW
• často kladené otázky jsou na WWW FAQ

Výměnná média

• cd
  • /dev/cdrom,cdrw,dvd,dvdrw
  • /m/cd
• usb/firewire disky (včetně usb floppy a usb zip)
  • /dev/ds/… - názvy zařízení dle “serial”
  • /dev/du/… - názvy zařízení dle “uuid”
  • /dev/dl/… - názvy zařízení dle “label”
  • /m/ds,du,dl/…
    • jako u názvů zařízení
    • připojují se pouze oddíly, na kterých je filesystém
    • podporované filesystémy: ext2(+ext3),reiserfs,vfat
    • pro vfat filesystém jsou vytvořeny další 2 přípojné body (s postfixem _l2 a _utf), které připojují disk s mapováním znaků iso8859-2 a utf-8
    • usb ZIPka vytvoří oddíly jen pokud je při připojování přítomno medium
    • na jeden oddíl můžete koukat v jeden čas jen přes jednu cestu /m/d… Pokud by jste chtěli použít cestu jinou (např. kvůli kódování vfat), musíte původní přestat používat a počkat 5 minut a nebo vytáhnout a znovu zandat zařízení.
    • disky jsou připojovány automounterem a je nastaven timeout 5s. To znamená, že po ukončení zápisu programem se do 5 sekund provede umount (a jeho provedení může trvat déle, než se zapíše obsah cache na disk). Jestli je disk připojen nebo ne se dá ověřit příkazem “df”.
• usb cd
  • /dev/cdrom,cdrw,dvd,dvdrw[1…]
  • /m/cd[1…]

Vypalování

• Vypalování UNIX

Tisk

• Tisk UNIX

Software

• PC Linux
  • Software UNIX - informace o java, matlab, maple
  • bez problémů lze doinstalovat cokoli, co je v distribuci, ozvěte se správci (hledejte příkazem eix, seznam všeho nainstalovaného je “eix -I”)
• Solaris
  • lze doinstalovat cokoli z http://www.opencsw.org/, ozvěte se správci

Ctecka pametovych karet

• Po vlozeni karty je bud potreba pockat na cas */5 (maximalne 5 minut) a nebo zkusit nacist soubor /dev/ds/Generic_STORAGE_DEVICE_* (napr. cat /dev/ds/Generic_STORAGE_DEVICE_…). To zpusobi znovunacteni partition tabulky a karta se objevi stejne jako USB disk (cili v /dev/d? a v /m/d?).
• Po vytazeni karty tam do casu */5 /dev/d? a /m/d? jeste zustanou.

Připojení laborkových disků odjinud

• vzhledem k používání AFS si lze připojit laborkové disky odkudkoli z internetu
• nainstalujte si OpenAFS
• do CellServDB dejte:
  • >ms.mff.cuni.cz
  • 195.113.20.42 #afs1
  • 195.113.20.47 #afs2
  • 195.113.20.48 #afs3
• kerberos je verze 5, konfigurace pro heimdal klienta je v krb5.conf (allow_weak_crypto tam je kvůli klíči AFS serverů, který je stále des-cbc-crc)
• časem snad přibudou SRV záznamy do DNS, pak by ruční konfigurace nemusela být potřeba

Dlouhodobé výpočty

• pokud potřebujete něco dlouho počítat, tak je potřeba správci nahlásit důvod + jména počítačů a procesů, jinak by o tom služby nevěděly a mohly by vám počítací procesy rušit
• musíte si pro dané procesy nastavit/vyřešit následující:
  • počítat s “nice -n 19”
  • příkazem “ulimit -t unlimited” zrušit limit času jednoho procesu
  • vyřešit si to, že po 24 hodinách od přihlášení procesy ztratí právo zápisu na disk (do času 1 týdne to lze udělat pravidelným voláním příkazu “kinit -R”, který bez hesla obnoví kerberos+AFS tickety, pokud před tím již neexpirovaly)

Adresáře pro projekty

• na projekty můžete získat prostor na disku v podadresáři /afs/ms/projects/NAME
• když si uděláte podadresář WWW se správnými právy (“fs setacl DIR www l” a “fs setacl DIR/WWW www read”), budou stránky přístupné na adrese http://www.ms.mff.cuni.cz/projects/NAME
• pro zřízení kontaktujte správce a uveďte název projektu (NAME) a aspoň jednoho člena (ostatní si pak můžete přidat sami příkazem “pts adduser -user LOGINNAME -group project_NAME”).

SSH v laboratoři

• v rámci laboratoře funguje přihlašování na jiné počítače přes ssh bez zadávání hesla
• pro připojení bez zadávání hesla odjinud než z laboratoře je potřeba:
  • mít nainstalovaný kerberos (MIT nebo Heimdal)
  • mít openssh s podporou kerberos gssapi
  • mít v /etc/krb5.conf záznamy pro real MS.MFF.CUNI.CZ, konfigurace pro heimdal je v krb5.conf (allow_weak_crypto jen pro krb5 není potřeba)
  • přihlásit se do realmu MFF.CUNI.CZ příkazem “kinit loginname@MFF.CUNI.CZ” (@MFF.CUNI.CZ lze vynechat, když je nastaven jako default realm), pro uživatele s původním MS heslem se místo MFF.CUNI.CZ použije MS.MFF.CUNI.CZ
  • použít “ssh -K loginname@u-plXX.ms.mff.cuni.cz”, “-K” není potřeba zadávat, pokud se v “ssh_config” povolí opšny GSSAPIAuthentication, GSSAPIDelegateCredentials, GSSAPITrustDns
• může se stát, že odjinud než z laboratoře bude port 22 blokován kvůli skriptům zkoušejícím hesla, pak lze místo něj použít port 322

Problémy

• některá řešení Problémy UNIX
• s ostatními dotazy a problémy se obracejte na službu v laboratoři