Залізо: Edimax OAP1300 — Qualcomm IPQ4018, 256 МБ RAM, Macronix MX25L25635E 32 МіБ SPI-NOR, U-Boot 2012.07 ("ELX version: 1.0.0").

1. Що насправді було не так

Сам U-Boot був цілий. Завантажувачі QCA (SBL1, MIBIB, QSEE) — цілі. Калібрування радіо — ціле. Не стартувала тільки ОС.

На розділі прошивки за адресою 0x180000 лежав файл оновлення з веб-інтерфейсу Edimax (OAP1300_v2.4.2.5.bin), записаний у флеш «як є». А цей файл — це:

[ заголовок Edimax з рядками версій ][ AES-зашифрований payload ]

Ентропія payload — 7.99 біт/байт, тобто він зашифрований. Розшифрувати й покласти його у флеш вміє тільки апдейтер самої прошивки. А bootipq в U-Boot чекає на 0x180000 готовий FIT-образ (магія d0 0d fe ed), бачить 00 00 00 00 — і мовчки виходить.

Не повторюйте цього. Ніколи не робіть sf write файлу .bin з сайту Edimax напряму на 0x180000. Він зашифрований. Образ, який ви пишете туди, має починатися з d0 0d fe ed.

2. Що потрібно

Залізо

• Друга, робоча OAP1300 як донор (ідентичне залізо)

• USB–UART адаптер (CP2102) на serial-хедер — 115200 8N1

• Тупий / некерований PoE-свіч — не керований офісний свіч

• Mac або Linux-машина з дротовим Ethernet-портом

Тупий свіч — принципово. Керований офісний свіч через STP ізолював порт точки, і кожна TFTP-передача таймаутила — це блокувало відновлення тижнями. Некерований PoE-свіч, у якому тільки точка й комп'ютер, без аплінку, просто форвардить кадри й ні в що не втручається.

Файли

Роботу робить один файл: work_hlos_rootfs.bin — це те, що реально лежить у флеші донора в області HLOS + rootfs (0x180000–0x1000000, 0xe80000 байт): готовий FIT-ядро (ARM OpenWrt Linux-3.14.43), за ним squashfs-корінь. Жодних даних, унікальних для конкретного пристрою, він не містить.

3. Підключення

 OAP1300 ──PoE+дані── [ тупий PoE-свіч ] ──дані── Mac (en18)
 (мертва точка)          без аплінку              192.168.102.90/25

 serial-хедер OAP1300 ──── CP2102 ──── Mac USB   (115200 8N1)

У свічі — тільки точка й Mac. Serial — це окремий шлях.

Три перемички йдуть на пади TX / GND / RX поряд з U13 на платі.

4. Підготовка хоста (macOS)

# en18 = дротовий порт Mac
sudo ifconfig en18 inet 192.168.102.90 netmask 255.255.255.128 up
sudo arp -s 192.168.102.9 00:03:7f:ba:db:ad
sudo python3 tftp_recv.py
# TFTP server listening on 0.0.0.0:69  dest=/private/tftpboot
# waiting for tftpput from U-Boot...

Лишіть це працювати. Покладіть work_hlos_rootfs.bin у /private/tftpboot/.

Вбудований tftpd у macOS часто не відповідає. tftp_recv.py — це маленька заміна (~150 рядків), яка обробляє обидва напрямки й опції blksize, які узгоджує U-Boot.

5. Відновлення мертвої точки

Крок 1 — зловити U-Boot prompt

Подайте живлення на точку, бомблячи Ctrl-C на serial-консолі.

U-Boot 2012.07  ·  ELX version: 1.0.0
Hit any key to stop autoboot:  2  1  0
(IPQ40xx) #

Крок 2 — направити U-Boot на хост

setenv ethaddr 00:03:7f:ba:db:ad
setenv ipaddr 192.168.102.9
setenv serverip 192.168.102.90
sf probe 0
# SF: Detected MX25L25635E with page size 4 KiB, total 32 MiB
ping 192.168.102.90
# host 192.168.102.90 is alive

ethaddr виставлено в SROM MAC, щоб запис ARL внутрішнього свіча й статичний ARP на хості збігалися.

Якщо ping не проходить — зупиніться тут. Полагодьте лінк, перш ніж чіпати флеш.

Крок 3 — завантажити образ у RAM

tftpboot 0x84000000 work_hlos_rootfs.bin
# ...
# Bytes transferred = 15204352 (e80000 hex)

Переконайтеся, що розмір рівно 0xe80000. Недотягнута передача тут перетворюється на биту прошивку.

Крок 4 — стерти й записати розділ прошивки

Тільки від 0x180000. ART на 0x170000, U-Boot і environment не чіпаємо.

sf erase 0x180000 0xe80000      # ~60 с
sf write 0x84000000 0x180000 0xe80000     # ~60 с

Крок 5 — перевірити зворотним читанням

sf read 0x86000000 0x180000 0xe80000
cmp.b 0x84000000 0x86000000 0xe80000
(IPQ40xx) #      # тиша = ідентично. будь-яке "differ" = переписати.

Крок 6 — перезавантажити й дати відпрацювати bootipq

Просто reset. Не запускайте вручну bootm 0x84000000#config@4. Тільки bootipq робить правку device-tree, яка каже ядру, що флеш — 32 МіБ; без неї розділ /factory (він лежить вище 16 МіБ) не монтується, і точка падає в режим калібрування ("ART").

reset
## Booting kernel from FIT Image at 84000000 ...
   Using 'config@4' configuration
   Verifying Hash Integrity ... crc32+ sha1+ OK
   Uncompressing Kernel Image ... OK
Starting kernel ...

Крок 7 — переконатися, що вона піднялась як AP

Configuring QCA WiFi device[0] ... Wlan is in AP Mode
 DES SSID SET=OAP1300-ECB828_A
CMD[led_ctl 5g off]
cmd>  WAL channel change freq=2427 ... rx_ok=1 tx_ok=1

Радіо сканує, VAP піднятий, немає art mode, немає I/O-помилок mtdblock11. Збирайте пристрій і налаштовуйте через веб-інтерфейс як нову точку.

6. Карта флешу

З smeminfo в U-Boot. Відновлення чіпає один рядок.

7. Як зняти образ з донора

Якщо у вас немає work_hlos_rootfs.bin, зніміть його з робочої точки в її U-Boot prompt. Тільки читання — на донор нічого не пишеться.

setenv ipaddr 192.168.102.9
setenv serverip 192.168.102.90
sf probe 0
sf read 0x84000000 0x180000 0xe80000
tftpput 0x84000000 0xe80000 work_hlos_rootfs.bin
# Bytes transferred = 15204352 (e80000 hex)
bootipq        # відправити донор назад у продакшн

Передача 15 МБ друкує ~20 с # у консоль. Якщо відкрити нову serial-сесію, поки це ще «стікає», ви прочитаєте застарілі байти. Натисніть Ctrl-C кілька разів і зачекайте 2–3 с, перш ніж довіряти тому, що читаєте далі.

8. Глухі кути, для протоколу

• Відновлення по UART. У цьому U-Boot немає loadb / loadx / loady. TFTP — єдиний спосіб залити байти у флеш.

• OpenWrt EAP1300 initramfs. Вантажиться, потім плата робить хардовий ресет на ~1.5 с — апаратний watchdog OAP1300 цим образом не «гладиться».

• Клонування ART чи всіх 32 МіБ. Не потрібно й не бажано — власне калібрування й MAC мертвої точки були цілі. Битим був тільки розділ FIT.

• «bootipq не працює». Працює. Ранні логи виглядали як збій через проблему з serial-буфером вище; ручний обхід bootm ...#config@4 потім давав симптом режиму калібрування. Щойно на місці валідний FIT, звичайний через bootipq працює.

Hardware: Edimax OAP1300 — Qualcomm IPQ4018, 256 MB RAM, Macronix MX25L25635E 32 MiB SPI-NOR, U-Boot 2012.07 ("ELX version: 1.0.0").

1. What was actually wrong

U-Boot itself was fine. The QCA bootloaders (SBL1, MIBIB, QSEE) were fine. The RF calibration was fine. Only the OS wouldn't start.

The firmware partition at 0x180000 held the Edimax web-UI update file (OAP1300_v2.4.2.5.bin) written to flash raw. That file is:

[ Edimax header with version strings ][ AES-encrypted payload ]

Entropy of the payload is 7.99 bits/byte — it's encrypted. Only the running firmware's own updater can decrypt it and place it in flash. U-Boot's bootipq expects a bare FIT image at 0x180000 (magic d0 0d fe ed), read 00 00 00 00, and bailed out without printing anything.

Do not repeat this. Never sf write the .bin from the Edimax website straight to 0x180000. It's encrypted. The image you flash there must start with d0 0d fe ed.

2. What you need

Hardware

• A second, working OAP1300 as the donor (identical hardware)

• USB–UART adapter (CP2102) on the serial header — 115200 8N1

• A dumb / unmanaged PoE switch — not a managed office switch

• A Mac or Linux box with a wired Ethernet port

The dumb switch matters. A managed office switch STP-isolated the AP's port and every single TFTP transfer timed out — this blocked the recovery for weeks. An unmanaged PoE switch with only the AP and the computer on it, no uplink, forwards frames without interfering.

Files

One file does the job: work_hlos_rootfs.bin — the donor's on-flash HLOS + rootfs region (0x180000–0x1000000, 0xe80000 bytes). It's a bare FIT kernel (ARM OpenWrt Linux-3.14.43) followed by the squashfs root, and carries no per-unit data.

3. Wiring

 OAP1300 ──PoE+data── [ dumb PoE switch ] ──data── Mac (en18)
 (dead unit)              no uplink                192.168.102.90/25

 OAP1300 serial header ──── CP2102 ──── Mac USB   (115200 8N1)

Only the AP and the Mac on the switch. Serial is a separate path.

The three jumpers connect to the TX / GND / RX pads next to U13 on the board.

4. Prepare the host (macOS)

# en18 = the Mac's wired port
sudo ifconfig en18 inet 192.168.102.90 netmask 255.255.255.128 up
sudo arp -s 192.168.102.9 00:03:7f:ba:db:ad
sudo python3 tftp_recv.py
# TFTP server listening on 0.0.0.0:69  dest=/private/tftpboot
# waiting for tftpput from U-Boot...

Leave that running. Put work_hlos_rootfs.bin in /private/tftpboot/.

macOS's built-in tftpd frequently won't answer. tftp_recv.py is a ~150-line stand-in that handles both directions and the blksize options U-Boot negotiates.

5. Recover the dead unit

Step 1 — catch the U-Boot prompt

Power the AP while hammering Ctrl-C on the serial console.

U-Boot 2012.07  ·  ELX version: 1.0.0
Hit any key to stop autoboot:  2  1  0
(IPQ40xx) #

Step 2 — point U-Boot at the host

setenv ethaddr 00:03:7f:ba:db:ad
setenv ipaddr 192.168.102.9
setenv serverip 192.168.102.90
sf probe 0
# SF: Detected MX25L25635E with page size 4 KiB, total 32 MiB
ping 192.168.102.90
# host 192.168.102.90 is alive

ethaddr is set to the SROM MAC so the internal switch's ARL entry and the host's static ARP line agree.

If ping fails, stop here. Fix the link before touching flash.

Step 3 — pull the image into RAM

tftpboot 0x84000000 work_hlos_rootfs.bin
# ...
# Bytes transferred = 15204352 (e80000 hex)

Confirm the size is exactly 0xe80000. A short transfer here becomes a bad flash.

Step 4 — erase and write the firmware region

Only 0x180000 onward. ART at 0x170000, U-Boot, and the environment are left alone.

sf erase 0x180000 0xe80000      # ~60 s
sf write 0x84000000 0x180000 0xe80000     # ~60 s

Step 5 — verify by read-back

sf read 0x86000000 0x180000 0xe80000
cmp.b 0x84000000 0x86000000 0xe80000
(IPQ40xx) #      # silent = identical. any "differ" = re-write.

Step 6 — reboot and let bootipq run

Just reset. Do not hand-run bootm 0x84000000#config@4. Only bootipq performs the device-tree fixup that tells the kernel the flash is 32 MiB — without it, the /factory partition (which lives above 16 MiB) fails to mount and the unit drops into calibration ("ART") mode.

reset
## Booting kernel from FIT Image at 84000000 ...
   Using 'config@4' configuration
   Verifying Hash Integrity ... crc32+ sha1+ OK
   Uncompressing Kernel Image ... OK
Starting kernel ...

Step 7 — confirm it came up as an AP

Configuring QCA WiFi device[0] ... Wlan is in AP Mode
 DES SSID SET=OAP1300-ECB828_A
CMD[led_ctl 5g off]
cmd>  WAL channel change freq=2427 ... rx_ok=1 tx_ok=1

Radio scanning, VAP up, no art mode, no mtdblock11 I/O error. Reassemble the unit and configure it through the web UI like a new AP.

6. Flash map

From smeminfo in U-Boot. The recovery touches one row.

7. Taking the image off a donor

If you don't have work_hlos_rootfs.bin, pull it from a working unit at its U-Boot prompt. Read-only — nothing is written to the donor.

setenv ipaddr 192.168.102.9
setenv serverip 192.168.102.90
sf probe 0
sf read 0x84000000 0x180000 0xe80000
tftpput 0x84000000 0xe80000 work_hlos_rootfs.bin
# Bytes transferred = 15204352 (e80000 hex)
bootipq        # send the donor back to production

A 15 MB transfer prints ~20 s of # to the console. If you open a new serial session while that's still draining you'll read stale bytes. Send Ctrl-C a few times and wait 2–3 s before trusting what you read next.

8. Dead ends, for the record

• UART restore. This U-Boot has no loadb / loadx / loady. TFTP is the only way to get bytes onto the flash.

• OpenWrt EAP1300 initramfs. Boots, then the board hard-resets at ~1.5 s — the OAP1300's hardware watchdog isn't serviced by that image.

• Cloning ART or the full 32 MiB. Not needed and not wanted — the dead unit's own calibration and MAC were fine. Only the FIT region was bad.

• "bootipq is broken." It isn't. Early logs looked like it failed because of the serial-buffer issue above; the manual bootm ...#config@4 workaround then caused the calibration-mode symptom. Once a valid FIT is in place, plain bootipq works.

sudo dnf install grub2-pc-modules

Добавляю новий диск 10мб /dev/sdb

parted /dev/sdb
mklabel gpt
mkpart primary 1MiB 3MiB
set 1 bios_grub on
quit
grub2-install --target=i386-pc /dev/sdb
grub2-mkconfig -o /boot/grub2/grub.cfg

Перезагрузка, после в ВМ установить тип загрузки BIOS и выбираем загрузку с нашого нового диска.

DISM /Online /Cleanup-Image /CheckHealth

Выполняет более глубокую проверку системного образа на наличие повреждений.Показывает, есть ли ошибки, но не исправляет их.

 DISM /Online /Cleanup-Image /ScanHealth

Если были найдены ошибки, эта команда автоматически скачивает и исправляет поврежденные файлы из Центра обновления Windows.

DISM /Online /Cleanup-Image /RestoreHealth

Восстановления компонентов с помощью дисков

dism /online /cleanup-image /restorehealth /source:wim:D:\sources\install.wim:6 /limitaccess

Проверка целостности системных файлов

sfc /scannow

Включите компоненты обновлений Windows

sc config trustedinstaller start=auto
sc config wuauserv start=auto
sc config cryptsvc start=auto
sc config bits start=auto
net start trustedinstaller
net start wuauserv
net start cryptsvc
net start bits

Сброс компонентов Центра обновления Windows

net stop wuauserv
net stop cryptSvc
net stop bits
net stop msiserver
ren C:\Windows\SoftwareDistribution SoftwareDistribution.old
ren C:\Windows\System32\catroot2 catroot2.old
net start wuauserv
net start cryptSvc
net start bits
net start msiserver

Диагностика файловой системы

chkdsk C: /f /r

Управление Обновлениями через powerShel, удаление зависших обновлений.

Проверьте список установленных обновлений:

 Get-HotFix

В стандартных модулях PowerShell. Remove-WindowsUpdate не является стандартной командой в PowerShell. Устанавливаем.

Install-Module -Name PSWindowsUpdate -Force -SkipPublisherCheck
Import-Module PSWindowsUpdate

Удаляем ненужный update на примере KB5043080

Remove-WindowsUpdate -KBArticleID KB5043080  -Confirm:$false

Проверка журнала обновлений Windows

C:\Windows\Logs\CBS\CBS.log

<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
    <settings pass="oobeSystem">
        <component name="Microsoft-Windows-Shell-Setup" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS">
            <FolderLocations>
                <ProfilesDirectory>d:\Users</ProfilesDirectory>
            </FolderLocations>
        </component>
    </settings>
</unattend>

• Установить винду, когда система попросит ввести пароль для Администратора, нажимаем Shift+F10(командная строка)

• diskmgmt.msc Переназначаем диски. Диск где будут профиля должен называется D:\

• Profile.iso монтируем в сдром например как R

• Вводим команду:

•       %windir%\system32\sysprep\sysprep.exe /oobe /reboot /unattend:r:\unattend.xml
  

• Где r:\ место с файлом unattend.xml

Если просто нужно убрать SID с ОС то запускаем.

•     %windir%\system32\sysprep\sysprep.exe /generalize /oobe /reboot
  

1. Создайте записи SRV в домене и во внешнем DNS

   Чтобы создать запись SRV во внутреннем DNS, выполните следующие действия:

   1. Войдите в контроллер домена, на котором размещена зона litwareinc.com.

   2. Щелкните правой кнопкой мыши зону litwareinc.com и выберите «Другие новые записи».

Для внешнего DNS

Также нужно обязательно удалить запись "А" autodiscover.(ваш домен) так как мы для автонатройки будем использовать запись SRV

Для проверки записи используем сайт https://www.nslookup.io/

Запрос в том же формате что и в DNS

Можно через cmd

Проверяем с внешним DNS

nslookup -type=SRV autodiscover.tcp.домен 8.8.8.8

Пробуем подключить outlook из вне. Получаем предупреждение что будет использоваться другое доменное имя.

Соглашается.

Далее вы столкнетесь с ошибкой аунтификации, если у вас в AD не прописаны домены.

Идем в "Active Directory - домены и доверие" правой кнопкой -свойства

Прописываем все свои домены.

После чего переходим в ту учетную запись которая не может войти и указываем правильный домен для нее.

ВСЕ!!!

_cmdline-mode on

Пароль 512900

Уcтановка DNS

ssh
_cmdline-mode on
Пароль 512900
system-view
interface Vlan-interface2
Для установки второго dns повторяем команду
dns server 192.168.1
dns server 192.168.1
dns server 192.168.1
dns resolve
display dns server
save

Блок порта (Новый МАС)

HP 1910 Включаем ssh демона

Подключаемся

Включить режим администрирования cmdline-mode on Пароль: 512900

system-view Скрытый режим для разработчика

1.  system-view
    interface gig1/0/9
    port-securit port-security enable
   

hidecmd Включить port-securit port-security enable

Включить ловушку вторжения port-security trap intrusion

Выбор интерфейса interface gig1/0/17

Максимальное количество маков нв интерфейсе port-security max-mac-count 1

Режим обучения port-security port-mode autolearn

1.  port-security port-mode autolearn
   

Действие при обнаружении подменного mac (блокируем mac) /disableport отключаем порт port-security intrusion-mode blockmac Показать количество всех заблокированных MAC-адресов display port-security mac-address block count

Отображение информации обо всех заблокированных MAC-адресах display port-security mac-address block

Информация о настройках на порте display port-security

Отменить редим безопасного порта

1.  interface gig1/0/9
    undo port-security port-mode
    undo port-security intrusion-mode
    undo port-security port-mode
    save
   
    display port-security
   

GigabitEthernet 1/0/1

interface gig1/0/9

port-security max-mac-count 1

port-security port-mode autolearn

port-security intrusion-mode blockmac

display port-security mac-address security

Обеденение свитчей по протоколу IRF lldp enable

display stack members

$subdomain = "mail" #enter subdomain
$domain = "idp.com.ua" #enter domain
$servername = "idp-exh01" #enter server name

Get-ClientAccessServer -Identity $servername | Set-ClientAccessServer -AutoDiscoverServiceInternalUri "https://autodiscover.$domain/Autodiscover/Autodiscover.xml"
Get-EcpVirtualDirectory -Server $servername | Set-EcpVirtualDirectory -ExternalUrl "https://$subdomain.$domain/ecp" -InternalUrl "https://$subdomain.$domain/ecp"
Get-WebServicesVirtualDirectory -Server $servername | Set-WebServicesVirtualDirectory -ExternalUrl "https://$subdomain.$domain/EWS/Exchange.asmx" -InternalUrl "https://$subdomain.$domain/EWS/Exchange.asmx"
Get-MapiVirtualDirectory -Server $servername | Set-MapiVirtualDirectory -ExternalUrl "https://$subdomain.$domain/mapi" -InternalUrl "https://$subdomain.$domain/mapi"
Get-ActiveSyncVirtualDirectory -Server $servername | Set-ActiveSyncVirtualDirectory -ExternalUrl "https://$subdomain.$domain/Microsoft-Server-ActiveSync" -InternalUrl "https://$subdomain.$domain/Microsoft-Server-ActiveSync"
Get-OabVirtualDirectory -Server $servername | Set-OabVirtualDirectory -ExternalUrl "https://$subdomain.$domain/OAB" -InternalUrl "https://$subdomain.$domain/OAB"
Get-OwaVirtualDirectory -Server $servername | Set-OwaVirtualDirectory -ExternalUrl "https://$subdomain.$domain/owa" -InternalUrl "https://$subdomain.$domain/owa"
Get-PowerShellVirtualDirectory -Server $servername | Set-PowerShellVirtualDirectory -ExternalUrl "https://$subdomain.$domain/powershell" -InternalUrl "https://$subdomain.$domain/powershell"
Get-OutlookAnywhere -Server $servername | Set-OutlookAnywhere -ExternalHostname "$subdomain.$domain" -InternalHostname "$subdomain.$domain" -ExternalClientsRequireSsl $true -InternalClientsRequireSsl $true -DefaultAuthenticationMethod NTLM

В скрипте все понятно. Просто меняем $subdomain $domain $servername на свои. Запускаем от имени администратора. Перезагружаем сервер.

Проверяем что все отработало, и ссылки правильные. Запускаем Exchange powershell

Вводим команды

Get-ClientAccessService -Identity idp-exh01 | Format-List Identity, AutoDiscoverServiceInternalUri
Get-EcpVirtualDirectory -Server idp-exh01 | Format-List InternalUrl, ExternalUrl
Get-WebServicesVirtualDirectory -Server idp-exh01 | Format-List InternalUrl, ExternalUrl
Get-MapiVirtualDirectory -Server idp-exh01 | Format-List InternalUrl, ExternalUrl
Get-MapiVirtualDirectory -Server idp-exh01 | Format-List InternalUrl, ExternalUrl
Get-OabVirtualDirectory -Server idp-exh01 | Format-List InternalUrl, ExternalUrl
Get-OwaVirtualDirectory -Server idp-exh01 | Format-List InternalUrl, ExternalUrl
Get-PowerShellVirtualDirectory -Server idp-exh01 | Format-List InternalUrl, ExternalUrl
Get-OutlookAnywhere -Server idp-exh01 | Format-List ExternalHostname, InternalHostname

Результат команды выглядит так:

enter “about:config” as your url

Accept warnings

Search for “tls”

change “security.tls.version.enable-deprecated” to “true”

possibly change “security.tls.version.min” to “1” or “1.2” but probably best not too

1. Что бы посмотреть консоль нужно установить приложение от HP

[https://support.hpe.com/connect/s/softwaredetails?language=en_US&softwareId=MTX_bc8e3ffa59904ec3b505d9964d](file:////Users/sia/Library/Group%20Containers/UBF8T346G9.Office/TemporaryItems/msohtmlclip/clip_filelist.xml)

Или у нас на шаре O:\IT-WORK\Install\HP Servers\Remote Console

Просто вводим ip сервера к которому подключаемся и пароль.

Откроем терминал и запустим установку cryptsetup (LUKS)

apt install cryptsetup parted

Подготавливаем диск. Запустим консольный или графический редактор разделов, выберем нужный физический диск, удалим с него все разделы и создадим один новый, который будем шифровать.Файловую систему создаваемого раздела указываем как raw (без форматирования).

parted

Приступаем к шифрованию диска

  sudo cryptsetup --verify-passphrase luksFormat /dev/sda -c aes-xts-plain64 -s 256 -h sha512

Описание параметров команды:

—verify-passphrase — требование дважды ввести пароль для исключения ошибки ввода;

/dev/sda — раздел диска, который мы будем шифровать;

-c aes-xts-plain64 — алгоритм шифрования (в нашем примере это AES в режиме сцепления блоков шифротекста XTS);

-s 256 — стойкость шифра (256 бит);

-h sha512 — алгоритм хеширования (SHA-512).

Утилита cryptsetup сначала предупредит об уничтожении всех данных на шифруемом разделе и потребует ввести на клавиатуре YES (в верхнем регистре) для подтверждения, а затем пароль и его подтверждение.

Необходимо придумать как можно более сложный пароль, но при этом следует помнить, что в случае его утери, данные на зашифрованном разделе восстановить будет невозможно.

Через пару минут на накопителе будет создан зашифрованный раздел.

Создаём ФС внутри раздела

С уже созданным разделом мы пока ещё не можем работать, поэтому нам потребуется сначала создать на нём файловую систему. Допускается создавать любую, поддерживаемую используемой ОС.

Подключим зашифрованный раздел:

если второй 

 sudo cryptsetup luksOpen /dev/sdc storage1
Отключить
 sudo cryptsetup luksClose /dev/mapper/storage

Создаём файловую систему ext4 или xfs внутри зашифрованного раздела.

sudo mkfs -t ext4 -m 1 -L storage /dev/mapper/storage

Для veembackup форматим в XFS
sudo mkfs.xfs  /dev/mapper/storage

Описание параметров:

-t ext4 — файловая система (ext4);

-m 1 — изменяем зарезервированный объём свободного места на разделе для суперпользователя (с 5% до 1%);

-L storage — задаём метку тома аналогично внутреннему названию (storage);

/dev/mapper/storage — смонтированный зашифрованный раздел, где storage — указанное при подключении внутреннее название.

Статус диска:

 cryptsetup -v status storage

Проверяем файловую систему

lsblk -f

Монтируем том в папку

blkid получаем UUID диска и монтируем или по имени

mount -U bde1f8a8-6e54-401a-a8dd-eecd69008464 /VeeamBackup
или
mount /dev/mapper/storage /VeeamBackup_PLD/

После перезагрузки сервера, нужно расшифровать диск

sudo cryptsetup luksOpen /dev/sdb storage

вводим пароль.

Подключение ISCSI блочного хранилища

Установка:

apt update
apt install open-iscsi

Затем перейдем в /etc/iscsi и откроем файл iscsid.conf. Найдем и раскомментируем опцию:

node.startup = automatic

иже обязательно закомментируем:

node.startup = manual

Затем зададим параметры аутентификации инициатора, раскомментировав опции:

node.session.auth.authmethod = CHAP
node.session.auth.username = username
node.session.auth.password = password

Сохраним файл и перезапустим службу:

service open-iscsi restart

Список целей

iscsiadm -m discovery -p 10.0.4.18 -t st

Из чего становится понятно, что мы должны подключиться к порталу 10.0.4.18 в режиме обнаружения и получить него все доступные цели

Подключаем все цели:

iscsiadm -m node --login

Отключить цель на примере iqn.2004-04.com.qnap:ts-451u:iscsi.disk02.0bd088:

iscsiadm --mode node --targetname iqn.2004-04.com.qnap:ts-451u:iscsi.disk02.0bd088 --portal 10.0.4.18 -u

Форматируем в xfs

lsblk
sudo mkfs.xfs -f /dev/sdb

Автоматическое монтирование диска:

Определение UUID дисков:

Для того чтобы определить UUID дисков, вы можете воспользоваться командой blkid. Эта команда позволяет вам узнать UUID для всех дисков и разделов в системе. Пример использования:

blkid
/dev/sdc: UUID="d75c50ff-a4b9-41ce-b254-a103d23f5ef1" TYPE="xfs"
/dev/sdd: UUID="6ea8f5f0-d947-4585-805b-3fbde98052d6" TYPE="xfs"

Создание скрипта для монтирования:

Вы можете создать скрипт, который будет монтировать диски на основе их UUID. Например, создайте скрипт с именем mount_disks.sh и откройте его для редактирования:

#!/bin/bash

# UUID дисков
UUID_DISK1="UUID_диска_1"
UUID_DISK2="UUID_диска_2"

# Точки монтирования
MOUNT_POINT_DISK1="/путь/к/месту_монтирования_диска_1"
MOUNT_POINT_DISK2="/путь/к/месту_монтирования_диска_2"

# Монтирование дисков
mount -U $UUID_DISK1 $MOUNT_POINT_DISK1
mount -U $UUID_DISK2 $MOUNT_POINT_DISK2

chmod +x mount_disks.sh

Запустите скрипт, чтобы монтировать диски:

./mount_disks.sh

Создаю демон для автомонтирования:

Создайте файл службы в директории /etc/systemd/system. Например, mcedit /etc/systemd/system/my-iscsi-service.service:

[Unit]
Description=My iSCSI Service
After=remote-fs.target
Wants=remote-fs.target

[Service]
Type=simple
ExecStart=/путь/к/вашему/скрипту.sh

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable my-iscsi-service
sudo systemctl start my-iscsi-service

Атрибуты файлов

Для просмотра атрибутов и их изменения можно использовать команды ниже.

Просмотр:

lsattr

Изменение:

chattr -i

SSH certificat (Настройка ключей SSH )

ssh-keygen -b 4096

1. Выбираем тип database Type- VMFS. Дальше монтируем как обычный Storege.

2. Теперь в системе отображается наш диск, переходим в него и монтируем необходимую VM. Можно полноценно работать с VM, и выполнить ее перенос в не рабочее время на свой основной диск с помощю миграции или клонирования.

3. 

4. После успешной миграции выполняем отключение нашего snapshot storege.

5. 

6. Возвращаемся в HP 3PAR Management Console 4.7.3 и переходим в Provisioning - 3par -Virtual Volumes -Exported. Выполняем Unexport.

7. 

8. Соглашаемся

9. 

10. Быстрый и эффективный способ восстановить VM.

yum install opendkim opendkim-tools

1. Настройка доменов

Если у вас (как и у меня) используется много (почтовых) доменов, вот способ достаточно быстро создать ключи:
прежде всего, создайте текстовый файл со всеми доменами (у меня это /etc/opendkim/domains.txt):

Когда у вас есть все домены в файле, выполните следующее:

while IFS= read -r name; do mkdir -- "/etc/opendkim/keys/$name"; done </etc/opendkim/domains.txt

это создаст подкаталог для каждого домена.

1. Создание ключей

затем создайте ключи:
поскольку это руководство предназначено для большого количества доменов (электронной почты), у меня есть небольшой скрипт (который я хотел бы назвать: DKIM-KeyCreat.sh)
В то время как ключ по умолчанию генерация по-прежнему имеет длину 1024 бита, скрипт создаст ключ длиной 2048 бит.
Синтаксис:

-b 2048 - создает 2048-битный ключ
-d - указывает домен.tld. (это происходит из текстового файла, содержащего ваши домены построчно
-D - указывает каталог, в который записывается пара ключей
-s - указывает селектор.

#!/usr/bin/bash

filename="$1"
while read -r line; do
    name="$line"
    selector="$name$2"
    opendkim-genkey -b 2048 -d $name -D /etc/opendkim/keys/$name -s $selector
    ls -l /etc/opendkim/keys/$name
done < "$filename"

Для идентификации каждого домена необходим селектор. Селектор представляет собой произвольное имя.

Когда вы посмотрите на сценарий, вы увидите, что переменная селектора состоит из имени домена (из файла, который вы предоставляете) и «суффикса селектора», который я предлагаю использовать в качестве даты, ГГГГммдд.
Это обеспечит уникальное имя, например: domain.tld20220825.

Этот скрипт должен быть запущен следующим образом:

./DKIM-KeyCreat.sh /etc/opendkim/keys/domains.txt [selector suffix]
пример
./DKIM-KeyCreat.sh /etc/opendkim/keys/domains.txt 20220825

чтобы просмотреть созданные ключи, вы можете запустить следующее:

while IFS= read -r name; do cat /etc/opendkim/keys/$name/$name*[selector suffix]*.txt ; done </etc/opendkim/keys/domains.txt

Теперь, когда у вас созданы все ключи, вам нужно выполнить настройку,специально для создания большого количества доменов, вот несколько базовых скриптов, которые немного облегчат вам жизнь:

1. Заполняем файл opendkim.conf

Это содержимое файла /etc/opendkim.conf

SendReports     yes   
ReportAddress "domain1.net Postmaster <postmaster@domain1.net>"
ReportAddress "domain2.net Postmaster <postmaster@domain1.net>"
ReportAddress "domain3.net Postmaster <postmaster@domain1.net>"
SoftwareHeader  yes
Canonicalization        relaxed/simple

Вот небольшой скрипт DkimConf-create.sh, чтобы было проще заполнить файл и придать ему нужный формат:

#!/usr/bin/bash
filename="$1"
while read line; do
    name="$line"
    echo "ReportAddress \"$name Postmaster <postmaster@yourmaindomain.com>\""
done < "$filename"

Применение:

./DkimConf-create.sh /path/to/domainlist >> /etc/opendkim.conf

1. Затем для KeyTable

1. /etc/opendkim/KeyTable

domain1._domainkey.domain1.net domain1.net:domain1:/etc/opendkim/keys/domain1.net/domain1.private
domain2._domainkey.domain2.net domain2.net:domain2:/etc/opendkim/keys/domain2.net/domain2.private
domain3._domainkey.domain3.net domain3.net:domain3:/etc/opendkim/keys/domain3.net/domain3.privat

KeyTable-create.sh скрипт "заливки" для больших объемов доменов:

#!/usr/bin/bash
filename="$1"
selector="$name$2"
while read -r line; do
    name="$line"
    selector="$name$2"
    echo "$selector._domainkey.$name $name:$selector:/etc/opendkim/keys/$name/$selector.private"
done < "$filename"

использование:

./KeyTable-create.sh /path/to/domainlist [selector suffix] >> /etc/opendkim/KeyTable

/etc/opendkim/SigningTable

*@domain1.net domain1._domainkey.domain1.net
*@domain2.net domain2._domainkey.domain2.net
*@domain3.net domain3._domainkey.domain3.net

Если закоментировать строку для домена в файле SigningTable то DKIM не будет работать для этого домена

1. Заполняем SigningTable

SigningTable-create.sh скрипт для заполнения файла SigningTable:

#!/usr/bin/bash
filename="$1"
while read -r line; do
    name="$line"
    selector="$name$2"
    echo "$name $selector._domainkey.$name"
done < "$filename"

использовать следующим образом:

SigningTable-create.sh /path/to/domainlist [selector suffix] >> /etc/opendkim/SigningTable

/etc/opendkim/TrustedHosts

mx01.mydomain.net # 1st mail exchanger (MX-Record)
mx02.mydomain.net # 2nd mail exchanger (MX-Record)
192.168.4.5/32 (Mailhost/Exchange Server

1. Настройка DNS записей

Нужно иметь DNS для всех доменов:
Предостережение:
при создании 2048-битного ключа содержимое сгенерированного текстового файла нельзя просто скопировать 1:1,
содержимое файла выглядит так:

# cat /etc/opendkim/keys/domain1.tld/domain1.tld20220825.txt
domain1.tld20220825._domainkey  IN      TXT     ( "v=DKIM1; k=rsa; "
          "p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAzAzvlGEEl5XLGNwHd/3d8f40+rkqvWVqq82iJFGyFcwXuP90hyyeOhvhZYOtktyrnNWqBEoClp0/0NZyZhxr80kIMLvWawhWtnPllIVOyPMsJ/HZFinWoBGNjW2dXykv7UKsLaGmDcm18k/l+HEcMIncnYGCkEIX6KQDlO8A+pqnfSMZxUP4D9lqUhIPPcl1drGb88boT3rOkO"
          "zBRMzerrrr1qsaXI835PfRb4icDZOxE6c9s3qhWnEmci+qumc69VM02dqsXkDgswYyyn0dWyc1A0GRv9+qMdla3KJw28O7gvWFM7l/Yi/OSJ+tntDD2PhdROwMc368GHwqWT+fFhwIDAQAB" )  ; ----- DKIM key domain1.tld20220825 for domain1.tld

Все файли находятся /etc/opendkim/keys/

В DNS ключ вводим одной строчкой без кавычек!

Проверка успешно добавленной записи: https://toolbox.googleapps.com/apps/dig/#TXT/

https://mxtoolbox.com/SuperTool.aspx?action=dkim#

пример: autotrade.kiev.ua:autotrade.kiev.ua20230706

20230706 - селектор который задается при создании ключа

Еще одна проверка:

Отправить письмо на 'check-auth@verifier.port25.com' прийдет письмо ответ со всей инфой