EXPRESS.NEWALIVE.NET

Так называемое Bloatware – беда любого устройства, купленного в ритейле. Если на устройстве есть операционная система и предусмотрен выход в Интернет, производитель обязательно напихает туда кучу всякого “жизненно необходимого” дерьма, в лучшем случае о существовании которого пользователь может и не знать. Иначе же оно постоянно предлагает купить “полную версию”, дать ему разрешение на всё для “улучшения качества” и “удобства использования”. “Мы передаём данные партнёрам (далее идёт список) для предоставления Вам персонализированного доступа, с учётом Ваших интересов и предпочтений”. Далее требуется разрешить приложению доступ к геолокации, списку контактов, отмечать лица на фото, читать текст с экрана и так далее. И единственное, для чего это приложение существует – навязывать вам игры, разработчики которых заплатили производителю вашего устройства и предлагать рестораны, которые так же не за “спасибо” рекламируются всем, кто по стечению обстоятельств оказался в той же части города. Вы участвуете в похоронной процессии, а смартфон в кармане блямкает, так как за углом есть замечательный стрип-клуб. Microsoft просит за лицензию на Windows $200 и первое, что вы увидите после нажатия кнопки “Пуск” — это Candy Crush и Bubble Witch. И периодически этот список будет пополняться сам, даже если ничего из этого вы никогда не откроете. Другими словами, Microsoft удостоила вас чести за ваши 200 баксов получить цифровой рекламный буклет. Им уже заплатили все, кто в этом буклете представлен, а теперь платите вы, покупая лицензию на Windows. Вообще, для того чтобы брать деньги с пользователя за Adware нужен талант. У маркетологов Microsoft он определённо есть. Когда начинаешь настраивать только что купленный гаджет от Samsung, удивляешься: почему они вообще берут за них деньги? Ведь за стоимость производства и даже доставки к вам под дверь, давно заплатили Facebook и Verizon. А учитывая то, сколько “предложений” ещё будет продано в явной и завуалированной форме, за время эксплуатации этого гаджета, Samsung должна платить потребителю, а не наоборот. Основная проблема на устройствах с Android в том, что Bloatware обычно “вшито” в систему. У пользователя нет прав доступа к системному разделу ОС. А Facebook платит не за то, чтобы приложение можно было взять и удалить в один клик сразу после покупки гаджета. Все эти “жизненно важные” приложения установлены именно в системный раздел. Максимум, что может сделать пользователь – “заглушить” приложение, удалив все его обновления и сделав его “неактивным”. Практика показывает, что “неактивные” приложения нередко “просыпаются” после системных обновлений. Я видела китайский смартфон со вшитыми приложениями Yandex, Yandex Browser и Yandex Launcher, где этот самый Launcher вообще никак нельзя убить. То есть Самсунговский One UI можно просто отключить, предварительно поставив сторонний Launcher. Вы делаете сторонний Launcher приложением по умолчанию, перезапускаете смартфон и далее пользуетесь тем, к чему привыкли и что вам больше нравится. Yandex же подстраховался на этот случай. При отключении у приложения от Yandex всех прав на изменения системных настроек и установке галки “по умолчанию” на другой продукт, Yandex делает вид, что всё в порядке. После перезагрузки смартфона все снятые галки опять на месте и Алиса издевательски: “Чем Вам помочь”? Та же беда с браузером. Его можно отключить, но когда он включен, он всегда “по умолчанию”. Забавно, когда в Yandex начинают рассуждать о честной конкуренции, показывая пальцем в сторону Google. Вообще, идея с системными разделами – идея правильна. То, что происходит на рынке со вшитыми приложениями — это юрисдикция антимонопольных ведомств. С технической же точки зрения — это система защиты. И это не только защита “от дурака”, не позволяющая пользователю удалить “звонилку” с телефона. В Linux существует достаточно продвинутая система прав доступа и в Android, как в ОС на ядре Linux, она используется именно для защиты данных. Всё, что ставит пользователь со своими пользовательскими правами, не может получить права на запись в системных разделах. По той же причине устройства на Android практически неубиваемые. Если там нет физических и аппаратных повреждений, то как бы не был загажен смартфон пользователем, простой сброс “к заводским настройкам” приведёт его в то состояние, в котором он был при покупке. Да, телефон может заглючить из-за косого обновления от производителя или несовместимых приложений, но пользователь не имеет возможности что-то сломать без возможности восстановления. Многие слышали о “рутировании”. Root-доступ — это права администратора в Linux. Как на ПК пользователь с root-доступом может сделать что угодно, так и на “рутированном” гаджете. Официально Google осуждает подобные практики, но на деле серьёзно этому не противостоит. В Google Play море всяких приложений, для работы которых нужен root-доступ. Вы не найдёте там приложений, предоставляющих этот доступ, но поиск в Google покажет всё, что для этого нужно. Если всё так просто, то почему root-доступ не предоставляется как на ПК, например? Потому что в реальности не всё так просто. Если не брать во внимание защиту “от дурака”, что немаловажно для тех же гарантийных центров, наличие в смартфоне возможности повышения прав до администраторских приведёт к резкому появлению вирусов и прочего ПО, ворующего данные и включающие устройства в бот-неты. Смартфон на Android, в плане безопасности станет тем же, чем являются ПК на Windows XP. В связи с тем, что официальных инструментов “рутирования” не существует, доступны только кустарные, что несёт в себе дополнительные риски. Даже если вы безоговорочно доверяете команде, которая предоставила вам инструмент для “рутирования” и они действительно не вшили туда что-либо мерзкое, то это всё равно ещё одна лишняя дверь для эксплойтов и шанс “окирпичить” ваше устройство, даже если вы очень осторожны. По той же причине банковские приложения либо отказываются работать на “рутированных” устройствах, либо путём оферты и предупреждений о возможных рисках снимают с себя всю ответственность. Root-доступ – не абсолютное зло, и при определённых условиях, и с определёнными навыками пользователя имеет право на существование. Но “рутировать” смартфон только для того, чтобы вычистить bloatware – идея плохая. Рассмотрим вариант удаления хлама без root-доступа… Android – система многопользовательская, как бы глупо это не звучало. Это мы и будем эксплуатировать в дальнейшем. Нам понадобится ПК на Linux, Windows или Mac. Я приведу пример установки соответствующего ПО на Mac, но не смогу объяснить возможные нюансы, так как лично никогда этого не делала на Маках. На ПК нам нужно поставить ADB-инструменты для доступа к гаджету через консоль с ПК. Самый простой способ поставить ADB на Windows — это Chocolatey. Посмотрите соответствующую статью о Chocolatey, если не знаете, что это такое. Для установки через Chocolatey используйте следующую команду в PowerShell: choco install adbТак же ADB — это часть Android Studio, со всеми вытекающими. Установка этого набора только для ADB мне кажется излишней. Для Mac используйте следующее: ruby -e “$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install)”brew cask install android-platform-toolsВ репозиториях вашего дистрибутива Linux также должно быть всё необходимое. Например, для Arch это пакеты “android-tools” и “android-udev”, для Ubuntu “android-tools-adb” и “android-tools-fastboot”. На стороне устройства нужно включить режим разработчика. В этом нет ничего страшного и на некоторых устройствах он уже включен. Режим даёт доступ к некоторым настройкам, которые в повседневном использовании устройства не нужны. В настройках вашего устройства, в самом низу, в разделе “об устройстве” нажмите семь раз на номер сборки. Пункт так же может быть спрятан в подразделе “Информация о ПО”. После чего вы увидите сообщение о том, что режим разработчика включен. Убедитесь, что в корне раздела с настройками появился пункт “опции разработчика”, также, в самом низу. Зайдите в него и найдите пункт, связанный с отладкой по USB (в разделе “отладка”). Включите его. Убедитесь, что сам режим “разработчика” включен в этом меню. Самый верхний пункт. Далее возьмите кабель от вашего зарядника и с его помощью подключите устройство к ПК. Далее, в терминале ПК введите следующую команду: adb devicesВыдача будет примерно следующей: * daemon not running; starting now at tcp:5037
* daemon started successfully
List of devices attached
RE6D13KSX7K deviceТо есть всё работает и внизу список устройств. Оно одно, и мы видим его серийный номер. При первом подключении устройство будет “неизвестным” (unknown). Это защита устройства. На нём вы увидите всплывающее окно с предложением запретить или разрешить отладку. Разрешите отладку и поставьте соответствующую галку, которая добавит ваш ПК в “доверенные”, дабы этот промт не появлялся при каждом подключении. После чего введите вышеуказанную команду снова. Если всё в порядке, то можно удалять bloatware. Введите следующую команду: adb shell pm list packagesЭта команда выдаст весь список установленных приложений, включая “системные” навязанные, а также реально системны, удаление которых нарушит работу вашего устройства. Список будет длинным. Строки в нём выглядят следующим образом: package:com.whatsapp
package:com.explusalpha.Snes9xPlus
package:com.android.companiondevicemanager
package:com.android.mms.service
package:com.samsung.android.rubin.app
package:com.android.providers.downloads
package:com.google.android.apps.enterprise.cpanelИ так далее. Ещё раз повторю, если вы снесёте что-то реально нужное, то тем самым повредите свой аппарат. Как отличить реально системные приложения от bloatware, если тут не всегда понятно, что к чему? В первую очередь, не трогайте то, в чём сомневаетесь. Например, я знаю, что без Яндекса телефон точно сможет работать, и я не буду страдать без Алисы и того факта, что “в целях улучшения качества обслуживания” список моих контактов окажется на серверах Яндекс со всеми последующими “чудесами”, которым подвержена любая персональная информация в России. Я уже не говорю о том, что приложения, котором всё запрещено и они уважают эти настройки, просто болтаются на устройстве и потребляют системные ресурсы без какой-либо пользы. И так, если вы хотите удалить тот же Яндекс, указанный здесь для примера, то самым безопасным способом будет уточнение его системного имени. Для этого идём в Google Play через браузер, на ПК. Ищем там нужное приложение, переходим к нему и смотрим на ссылку в адресной строке. В конце всегда указано системное имя приложения. Мы видим, что этот пакет с Алисой и прочим, занимающий на устройстве более полутора гигов места, в системе скромно называется “плагин”, а именно “ru.yandex.searchplugin”. Для удаления этого приложения введите следующее: adb shell pm uninstall -k –user 0 ru.yandex.searchpluginДолжно появиться сообщение об успешном удалении. Таким образом, командой “adb shell pm uninstall -k –user 0” можно удалить любое приложение, не важно, насколько “намертво” оно вшито. Обратите внимание на параметр “–user 0”. Как было сказано выше, Android, как и любая другая ОС на ядре Linux – многопользовательская система. Вряд ли вы практикуете коммунизм со своими гаджетами, поэтому скорее всего у вас один реальный пользователь в смартфоне. Он же номер “0”. Вышеприведённой командой мы убили приложение для конкретного пользователя. В системе оно осталось, но никак не задействовано. Это не то же самое, что “выключено”. Для текущего пользователя оно больше не существует. В Google Play мы не видим предложения “удалить обновления”, так как приложение удалено. Если вы передумали и хотите снова поставить это приложение, то установите его через Google Play и оно встанет как нормальное приложение, перестав быть “системным”. Но если вы всё же снесли что-то, что удалять не следовало (например, сам Google Play), и гаджет ещё не умер, то приложение можно восстановить. Воспользовавшись тем, что у нас есть “бэкап”, на примере того же Яндекса вводим следующее: adb shell cmd package install-existing ru.yandex.searchpluginЭто вернёт удалённое приложение. Для поиска конкретного приложения используйте опцию “grep”. Пример: adb shell pm list packages | grep facebookДанная команда покажет всё, что связано с Facebook. С Facebook вообще интересно в ряде случаев, так как вшитое приложение имеет собственный установщик, способный, судя по всему, обходить Google Play при скачивании других прелестей от Facebook, например при установке мессенджера, инициированной из основного приложения Facebook. Всё это безболезненно можно удалить. Обратите внимание, что здесь мы используем “adb shell”. Это подразумевает то, что само устройство у нас подключено и работает. Но есть так же “fastboot”. Эту команду можно использовать, когда устройство не совсем “кирпич”, но уже почти присмерти. fastboot devices
fastboot rebootПервая команда покажет список устройств, вторая сделает попытку устройство перезагрузить и так далее… Это отдельная тема и имеет нюансы для разных устройств. И так, из всего вышесказанного можно понять, что для удаления мусора root-доступ не нужен. Но удалять что-либо нужно с пониманием процесса и с осторожностью. Например, я знаю, что теоретически с устройств от Samsung можно удалить их фирменный One UI, предварительно установив другой Launcher, но на сколько это безопасно? Версия One UI указана в списке “основного” ПО в описании прошивки. При следующем системном обновлении могут возникнуть неприятности. В нормальных устройствах на Android существует два типа обновлений: Обновления приложений через Google Play или другой магазин, а также системные обновления. Патчи безопасности ядра, заплатки на известные эксплойты других системных компонентов и прочее. Если у вас дешёвый китайский смартфон, который никогда не видел и не увидит системных обновлений, то с него можно относительно безболезненно удалить практически всё, заменив это аналогами из Google Play. Но если разработчик вашего устройства периодически выпускает системные обновления, то слишком “вычищенная” система может сильно усложнить процесс обновления, или вовсе привести к тому, что обновления устанавливаться не будут. Как и во всём другом, что связано с гаджетами и компьютерами, осторожность и внимательность поможет вам избежать непредвиденных финансовых расходов и прочих неприятностей.

Go to Source
Author: Tatyana

Pritunl – Корпоративно ориентированный OpenVPN, IPsec и WireGuard VPN сервер. Звучит жутко, но вполне подходит для частного использования в личных целях. По сути, это GUI, позволяющий легко развернуть VPN сервер любому желающему. Если автоматическое развёртывание OpenVPN не удовлетворяет ваших требований, а ручная настройка утомляет, или просто хочется чего-то более профессионального, то этот материал для вас. Ближайший по характеристикам продукт – OpenVPN Access Server от OpenVPN Inc, но в отличии от Access Server, Pritunl в бесплатной версии поддерживает работу не только с OpenVPN, может работать с IPv6 “из коробки” и не имеет ограничений на количество аккаунтов и одновременно подключенных устройств. Так же это Open Source. С тарифами на платную версию можно ознакомиться в нижней части главной страницы проекта. Там же расписаны различия в версиях. Для частного же использования вполне достаточно бесплатной версии Pritunl. Так же доступно демо сервера. Это корпоративная версия, но по ней можно составить впечатление о работе любой версии продукта. Например, в бесплатной версии вы не можете объединять сервера в кластеры и использовать перенаправление портов. И так приступим к установке. Как и в остальных подобных материалах, я рекомендую DigitalOcean в качестве хостинг-провайдера за их соотношение цены и качества. Низкие цены, отличное качество. Ссылка реферальная, но ни к чему вас не обязывает. Однако, регистрация по ней окажет поддержку данному сайту. Так же вы получите $100 на месяц, что позволит вам экспериментальным путём подобрать себе нужную конфигурацию VPS. Для “домашнего” VPN на 5-10 устройств вполне достаточно минимальной конфигурации с 1 GB оперативной памяти и 1 TB трафика в месяц, что обойдётся вам в $5 (+ НДС вашего региона). На серверах DigitalOcean используется KVM-виртуализация, что означает, что оплачиваемые ресурсы полностью ваши, а не делятся между клиентами. Оплата почасовая, но счёт выставляется раз в месяц, первого числа. Если же у вас уже есть сервер, то следующий абзац можно пропустить. После регистрации и активации аккаунта, вы попадёте в контрольную панель вашей учётной записи. Виртуальные сервера (VPS) в DigitalOcean называют “Droplets” (капли). В соответствующем раздела нажмите “Create” для создания нового дроплета. Выберите конфигурацию (ОС и её версию, локацию, тарифный план и прочее). Вся документация для Pritunl ориентирована на Red Hat, клоном которой до недавнего времени являлась CentOS. Лично для меня это проблема и в данном материале я использую Debian 10. Но также приведу команды из официальной документации, которые применимы к CentOS. Локации доступны в Северной Америке, Европе и в Юго-Восточной Азии. Выберите наиболее предпочтительную. Так же я рекомендую включить поддержку IPv6 и мониторинг. Дополнительной оплаты это не требует, но связано с некоторым геморроем, если добавлять эти опции после создания VPS. Так же будет добавлен локальный сетевой интерфейс, что раньше было опцией. Это означает, что если у вас более одного сервера в одном дата центре, то связь между ними может осуществляться по локальной сети. Все остальные опции на ваше усмотрение. После установки всех параметров своего VPS нажмите “Create Droplet” для применения. Создание VPS займёт около минуты, после чего вы получите письмо с подтверждением. В разделе “Droplets” теперь отображается созданный VPS. Здесь можно посмотреть все данные и характеристики. Используйте ssh-ключ, или Root пароль для доступа к серверу через консоль. Я использую пароль, так как закрываю 22-й порт файрволом. Вы можете использовать стандартный файрвол на стороне ОС, или воспользоваться внешним, в разделе “Networking”. Опция так же не требует дополнительных расходов. Я рекомендую внешний, так как он элементарно прост и позволит вам восстановить доступ к серверу в случае ошибок с настройками Iptables. Кроме всего прочего, в панели управления доступна внутренняя консоль для каждого дроплета, которая работает в отдельном окне браузера. Она локальна, что так же позволит получить доступ к серверу, если что-то пошло не так. Обратите внимание, что для удобства лучше подключить к нашему серверу домен. Подойдёт любой домен любого уровня. Если у вас нет домена, его можно купить. Так же можно зарегистрировать домен бесплатно в определённых зонах (в основном национальные зоны некоторых африканских стран). Не забудьте настроить DNS для вашего домена. И так, после того как мы разобрались с сервером, приступим к установке нужного ПО. Имеется в виду, что ОС у нас настроена и находится в актуальном состоянии. Как уже было сказано выше, я использую Debian 10, но дублирую все действия командами для CentOS 8. Если вы так же хотите использовать WireGuard, то нужные пакеты нужно установить отдельно. Можно пропустить, если хотите использовать только OnenVPN. sudo apt install wireguardУбедитесь, что пакеты wireguard-dkms и wireguard-tools так же установились. Должны установиться автоматически как зависимости. sudo dkms status
uname -rПервая команда покажет, всё ли установлено. Обратите внимание, что ядро на VPS как правило имеет в своём имени что-то типа “cloud-amd64”. Для этого вторая команда. Убедитесь, что dkms-модуль установлен именно для текущего ядра.Для CentOS и производных используйте следующее: sudo curl -o /etc/yum.repos.d/jdoss-wireguard-epel-7.repo https://copr.fedorainfracloud.org/coprs/jdoss/wireguard/repo/epel-7/jdoss-wireguard-epel-7.repo
sudo yum -y install kernel-devel kernel-uek-devel wireguard-dkms wireguard-tools
sudo dkms autoinstall
sudo dkms status
sudo rebootОбратите внимание, что для подключения клиентских устройств, на них так же должна быть поддержка WireGuard. В случае с Linux, нужно установить соответствующие пакеты для вашего дистрибутива. Ядро так же должно иметь соответствующую поддержку, что для стандартных ядер всех крупных дистрибутивов не должно быть проблемой. То есть нужно выполнить вышеприведённые действия на клиентской машине тоже. Убедитесь, что на стороне сервера фаервол настроен и работает. Для корректной работы Pritunl нужны открытые tcp-порты 80 и 443 для web-интерфейса, а также любой незанятый udp-порт для OpenVPN. Откройте также любой udp-порт для WireGuard, если собираетесь его использовать. Добавляем нужные репозитории, устанавливаем сам Pritunl и всё необходимое. Обратите внимание, что данные Pritunl хранятся в MongoDB.
sudo tee /etc/apt/sources.list.d/mongodb-org-4.4.list << EOF
deb http://repo.mongodb.org/apt/debian buster/mongodb-org/4.4 main
EOF

sudo tee /etc/apt/sources.list.d/pritunl.list << EOF
deb https://repo.pritunl.com/stable/apt buster main
EOF

wget -qO – https://www.mongodb.org/static/pgp/server-4.4.asc | sudo apt-key add –
sudo apt-key adv –keyserver hkp://keyserver.ubuntu.com –recv 7568D9BB55FF9E5287D586017AE645C0CF8E292A
sudo apt update
sudo apt install pritunl mongodb-org-server
sudo systemctl start mongodb-org-server
sudo systemctl start pritunl
sudo systemctl enable mongodb-org-server
sudo systemctl enable pritunl
Для CentOS:sudo tee /etc/yum.repos.d/pritunl.repo << EOF
[pritunl]
name=Pritunl Repository
baseurl=https://repo.pritunl.com/stable/yum/centos/8/
gpgcheck=1
enabled=1
EOF

sudo tee /etc/yum.repos.d/mongodb.repo << EOF
[mongodb-org-4.4]
name=MongoDB Repository
baseurl=https://repo.mongodb.org/yum/redhat/$releasever/mongodb-org/4.4/x86_64/
gpgcheck=1
enabled=1
gpgkey=https://www.mongodb.org/static/pgp/server-4.4.asc
EOF

sudo yum -y install https://dl.fedoraproject.org/pub/epel/epel-release-latest-8.noarch.rpm
gpg –keyserver hkp://keyserver.ubuntu.com –recv-keys 7568D9BB55FF9E5287D586017AE645C0CF8E292A
gpg –armor –export 7568D9BB55FF9E5287D586017AE645C0CF8E292A > key.tmp; sudo rpm –import key.tmp; rm -f key.tmp
sudo yum install -y mongodb-org pritunl
sudo systemctl start mongod
sudo systemctl start pritunl
sudo systemctl enable mongod
sudo systemctl enable pritunlПосле того, как всё установлено и работает, откройте браузер и введите IP-адрес или доменное имя вашего сервера. Вам потребуется ключ установки. Для его генерации введите следующую команду в терминале: sudo pritunl setup-key Скопируйте результат и введите его в соответствующее поле запроса. Сохраните. На следующем экране вам будет нужен пароль по умолчанию, который генерируется следующей командой: sudo pritunl default-passwordДалее потребуется создать пользователя и указать другие необходимые данные. В соответствующе поля введи имя первого пользователя и придумайте для него пароль. Укажите адреса (IPv4 и IPv6) вашего сервера и порт web-интерфейса. “Lets Encrypt Domain” – доменное имя вашего сервера для сертификата Lets Encrypt. Сертификат будет выписан автоматически. Используется только для https-доступа к web-интерфейсу. Если у вас нет домена и к web-интерфейсу вы обращаетесь по ip-адресу, то оставьте поле пустым. ПО Lets Encrypt должно быть установлено на сервер отдельно. Вы всегда сможете вернуться в это меню по вкладке “Settings”.После этого вы попадёте в контрольную панель вашего сервера. Панель работающего сервера вы видели в демо. Здесь всё будет несколько победнее. Для начала нам потребуется создать “организацию”. Каждый пользователь должен входить в одну из них. Это те же “группы”, но разработчики решили, что корпоративщикам так будет понятнее. Нажмите “Add Organization”. После создания группы добавьте в неё созданного ранее пользователя. Теперь нужно создать “сервер”. Нажмите “Add Server” и заполните соответствующие поля. Поставьте соответствующие галки, если используется IPv6 и WireGuard. Укажите номера портов для OpenVPN и WireGuard. Укажите маски локальных сетей для OpenVPN и WireGuard. Например “10.20.1.0/24” позволит подключить 253 устройства по определённому протоколу. Этим самым вы создаёте эти виртуальные сети. Они не должны совпадать с уже существующими сетями как на стороне сервера, так и на стороне клиента. Существует три, выделенные под локальные нужды подсети, и “десятка” редко используется по умолчанию в домашних маршрутизаторах, но часто используется провайдерами. “Advanced” вкладку в большинстве случаев можно не трогать, за исключением параметра “Allow Multiple Devices”, включение которого разрешит одновременное подключение нескольких устройств одного пользователя. Если вы не хотите под каждое устройство создавать нового пользователя, то включите этот параметр. DNS-сервер. По умолчанию здесь прописаны адреса Google. Если у вас паранойя по поводу Google (хотя они не скрывают, что используют эти данные для показа релевантной рекламы), то рассмотрите другие варианты. Из бесплатных могу порекомендовать публичные DNS CloudFlare. Первый блок пропускает весь трафик; второй блокирует известные сайты со всяким вредоносным кодом; третий делает тоже самое, что и второй, но также блокирует контент для взрослых. CloudFlare клянутся, что не используют логи в коммерческих целях и не хранят их более суток. И их DNS в большинстве случаев быстрее DNS от Google. В первую очередь из-за того, что CloudFlare – лидер на рынке систем распределения контента, и в случае с DNS используется множество серверов по всему миру.После создания “сервера” нажмите “Attach Organization” для подключения к нему ранее созданной группы (организации). На этом сервер настроен и готов к использованию. Нажмите кнопку “Start Server”. Если всё настроено верно, то в окне логов появятся соответствующие строки. Опять же, как выглядит рабочий сервер можно посмотреть в демо. Если в логах вы видите ошибки, то что-то настроено неверно. Самое распространённое, что может прийти на ум в такой ситуации – неверно настроены локальные сети. Так же отсутствие вообще каких-либо логов может говорить о том, что WireGuard не запущен, если он используется в конфигурации. То же касается и OpenVPN. Убедитесь, что процессы обоих запущены и работают без ошибок на стороне операционной системы сервера. Команда “ip a” покажет все поднятые сетевые интерфейсы. Убедитесь, что “tun” (OpenVPN) и “wg” (WireGuard) подняты. Если всё работает, то можно подключаться. Из профиля пользователя скачайте архив с сертификатом (для каждого пользователя). Это tar-архив с OpenVPN сертификатом. На соответствующей странице проекта скачайте клиент для Mac или Windows. Для Linux дистрибутивов подключите соответствующий вашему дистрибутиву репозиторий и установите клиент. Для мобильных устройств официального клиента нет, но для OpenVPN вполне достаточно официального клиента “OpenVPN Connect” от OpenVPN Inc. Он существует как для iOS, так и для Android. Просто скормите ему сертификат и введите логин и пароль клиента вашего сервера. Если вы используете WireGuard на десктопе и соответствующая вкладка не отображается, то это значит, что клиент не видит запущенного WireGuard на вашем ПК. Убедитесь, что при установке WireGuard dkms-модуль был установлен для текущего ядра ОС. Нажмите “Import Profile” и добавьте сертификат из скаченного tar-архива. Выберите протокол (например OpenVPN), введите “пин” (пароль, указанный при создании профиля) и нажмите “ОК”. Соединение должно быть установлено. Настройки самого же клиента минимальны. Реконнект при разрывах связи, автостарт при запуске системы и т. д. Пароль при каждом старте вводить не нужно. Но если вы отключили соединение вручную, то клиент запросит пароль. Стоит также обратить внимание на то, что если вы используете двухфакторную авторизацию от Google, то код придётся вводить каждый раз, что настоящий геморрой. Даже при разрывах связи. Поэтому я не рекомендую эту опцию, если на той нет веских причин. На этом всё. Теперь вы знаете, как поднять свой собственный VPN-сервис.

Go to Source
Author: Tatyana

В современном мире VPN давно перестали быть уделом крупных компаний и гиков. На возрастающий спрос рынок отвечает множеством предложений. Поговорим о разнице между VPN-сервисами и собственном VPN-сервере. Это не первый материал о VPN на этом сайте, и я думаю, что не последний. Поэтому я хочу выделить обобщённую, теоретическую часть в отдельную тему, чтобы больше её не касаться без особой надобности.В современном мире, где данные покупаются и продаются, абсолютной гарантии приватности не может дать никто. Но если сохранность личных данных вам не безразлична, то VPN – достаточно простой и логичный выбор. Virtual Private Network (виртуальная частная сеть) не является физической сетью, как сеть домового провайдера, или локальная сеть за вашим роутером, которая объединяет все устройства в домашнюю сеть. Виртуальная сеть работает поверх физической сети и выполняет функции локальной сети, но не ограничена расстояниями. Компьютеры, находящиеся в разных частях страны или даже мира, подключенные к такой сети, общаются между собой так, как будто они находятся в одном здании и подключены к одной частной сети. Так, например, сотрудники компании, независимо от места своего пребывания, имеют общий доступ к определённым ресурсам компании, закрытым для доступа из внешней сети. Изначально VPN и задумывались как корпоративные сети для организации работы инфраструктуры компаний, без необходимости протягивания физических сетей. С развитием Интернета связь становилась лучше, каналы шире, технологии совершенствовались, и потенциал VPN стал использоваться не только в корпоративном секторе. Шифрование соединения позволяет обезопасить передачу данных; доступность из любой точки мира позволяет обходить цензуру и блокировки по геолокации; относительная дешевизна развёртывания послужила толчком для возникновения множества VPN-провайдеров, ориентированных как на корпоративных пользователей, предоставляющих услуги по организации закрытых сетей, так и на частных, где упор делается именно на выход во внешний интернет и на скрытие своих данных от других клиентов частной сети. На сегодняшний день на рынке существует множество предложений от VPN-провайдеров. Цены варьируются от нуля до внушительных сумм. Сразу хочу оговориться, что бесплатных сервисов VPN не существует. В самых безобидных случаях провайдеры рекламируют таким образом свои платные тарифные планы, и вы получаете сильно ограниченную услугу. Слишком медленная скорость, слишком частые разрывы соединения, лишком серьёзные ограничения по трафику и так далее. Если же ограничений как бы нет, то вам либо вшивают рекламу в трафик и зарабатывают на этом, либо “защищают” вас тем, что сами продают ваши данные. Из-за высокой конкуренции на рынке репутационная составляющая для провайдера важна не меньше доходной. Поэтому вы легко можете найти поставщика услуг с хорошей репутацией и приемлемыми ценами. Одни провайдеры делают упор на доступность, другие на приватность. Но чем выше качество услуги – тем выше цена. Тут всё зависит от ответа на вопрос “зачем вам VPN?”. И так, зачем вам VPN? Имеется в виду, что вы не собираетесь нарушать международное законодательство и всего лишь хотите свести к минимуму цифровой эксгибиционизм. Если вы не параноик, но за вами реально следят, то одной только VPN вы себя не обезопасите. С технической точки зрения тут больше подойдёт TOR, как часть комплексного решения. В случае с VPN ваш трафик шифруется (от вашего устройства до VPN-сервера), ваш интернет-провайдер сможет его перехватить, но не сможет прочитать. Провайдер будет видеть адрес вашего VPN-сервера, объём трафика, время подключения и длительность сессии. То есть видно, что что-то передаётся между вами и определённым адресом, но что именно понять нельзя, без серьёзных технических средств и умения правильно ими пользоваться. Тут всё сильно зависит от того, кто хочет получить доступ к вашим данным и какими ресурсами они располагают. В случае собственного VPN-сервера, точку выхода легко можно отследить. Можно ли получить к ней доступ – зависит от хостинг-провайдера и от того, на сколько длинные руки у ваших преследователей. Если вы хотите обойти региональные ограничения, то VPN поможет только отчасти. Многие стриминговые сервисы, такие как Netflix, применяют много усилий против “неавторизованного доступа”. Трафик VPN имеет ряд признаков. Если сервис и не блокирует VPN-трафик как таковой, или вам удалось скрыть тот факт, что используется VPN, то в 99% случаев у вас будет IP-адрес, принадлежащий тому или иному дата центру. То есть стриминговые сервисы часто блокируют сети хостинг-провайдеров. В случае собственного VPN-сервера обойти это можно только путём размещения сервера у кого-нибудь дома. То есть для доступа к североамериканскому Netflix из Европы, вам нужен друг в одном из штатов, подключенный к какому-нибудь местному провайдеру типа AT&T, Verizon и т. д., согласившейся разместить у себя сервер. Звучит страшно, но при современных технологиях “сервер” может занимать места не больше смартфона и потреблять энергии не больше слабого ночника. Но для оплаты услуг контент-провайдера потребуется местная платёжная система (местный аккаунт PayPal, или банковская карта, выпущенная местными банком). Многие VPN-провайдеры предлагают доступ к региональным стриминговым сервисам как опцию к тарифу. Работает это с разной степенью стабильности, в зависимости от поставщика услуг. Практически никогда не работает стабильно на тарифных планах дешевле $10 в месяц. Другими словами, если региональные ограничения касаются только IP-адреса, принадлежащего той или иной стране, то собственный VPN-сервер поможет. Если контент-провайдер предпринимает какие-то более серьёзные шаги для региональных ограничений, то тут нужен VPN-провайдер, предоставляющий услуги доступа именно к этому сервису. То же касается и торрентов в большинстве стран. Если VPN-сервис не указывает чётко свою позицию по поводу торрентов, то лучше поискать другой. В случае собственного VPN, то же самое относится к хостинг-провайдеру. Многие провайдеры просто режут весь p2p-трафик, не зависимо от того, что именно вы скачиваете. Со мной был случай, когда у меня возникли проблемы с активацией подписки по вине сервиса; ждать не хотелось; p2p-трафик шёл через провайдера, где он разрешён; но соединение с трекером было установлено через другого провайдера. То есть просто обмен данными с трекером. Пиры даже не видели этот IP. В пределах часа мне прилетел страйк от HBO со ссылкой на “легальные” способы просмотра контента. Ссылка вела туда же, где у меня ранее возникли проблемы с активацией подписки. Пришлось объясняться с хостинг-провайдером. Так же возникли вопросы к торрент-трекеру. Либо он дырявый, либо сливает данные тем, кто их запрашивает. В случае же обхода цензуры, выхода в Интернет через публичные Wi-Fi сети и просто для большего контроля за собственными данными, VPN незаменима, если соблюдать элементарные меры предосторожности. Например, если вы используете VPN в связке с DNS-сервисом провайдера, то смысл в нём теряется, так как провайдер видит все логи (куда заходили, когда, на какое время и так далее). Сопоставить эти данные с IP-адресом VPN-сервера и вашим домашним, смогли бы даже специалисты из Роскомнадзора. О крупных интернет-провайдерах и говорить не стоит. При покупках через VPN можно заплатить НДС того региона, к которому относится IP-адрес сервера. Досадно, если в вашем регионе он ниже. И так далее. Стоит понимать, что основная уязвимость любого решения – сам пользователь. Технические средства – всего ли инструменты, которыми нужно пользоваться правильно. Теперь о разнице при использовании собственного VPN-сервера и покупке услуг у VPN-провайдера. В случае собственного VPN-сервера вы получаете полный контроль над сервером. Логи могут не вестись вовсе, либо только те, которые нужны именно вам. При правильной настройке у вас будет скорость соединения, доступная только на премиум планах VPN сервисов. Нет ограничений на количество пользователей и устройств. Всё это при цене в районе пяти долларов. При этом надо понимать, что хостинг-провайдер теоретически будет иметь доступ к серверу, на котором размещён VPN. На практике root-доступ будет только у вас и даже при наличии бэкдоров, провайдер должен иметь целью копаться именно в вашем сервере. Но при физическом нахождении в юрисдикции определённого государства, при запросе от какого-либо ведомства этого государства, провайдер может слить данные по DNS и ваши личные данные (контактные данные, платёжные данные и прочее), даже если непосредственно на стороне VPN логирование не ведётся. Вам необходимо обладать минимальным набором навыков в управлении операционной системой (в данном случае Linux) и установке прикладного ПО (в данном случае VPN). Стоит понимать, что скорость соединения зависит от многих факторов. Например, от мощности как самого устройства (ПК, смартфон, ноутбук и так далее), так и от мощности сервера. Шифрование трафика и степень его шифрования требует определённых системных ресурсов как на стороне устройства, так и на стороне сервера. По той же причина скорость VPN всегда низкая, если приёмником является бюджетный домашний роутер. Так же важно на сколько хорош ваш домашний провайдер. Соединение между вашим провайдером и сервером должно быть быстрым, что напрямую зависит от удалённости сервера. Если вы находитесь за Уралом, а сервер в Калифорнии, то независимо от того на сколько хорош ваш провайдер, потеря будет как минимум в отклике, что негативно скажется на онлайн-играх, например. На собственном примере замечу, что 150-ти миллисекунд (плюс / минус 20) вполне достаточно в PVE играх. В моём случае не важно, где сервер. Если он, как минимум, на том же континенте, то отклик будет в районе 50-ти – 60-ти миллисекунд. Если планируется большая нагрузка на сеть (десятки одновременных подключений с большими потоками данных), то цена такого сервера может вырасти, так как потребуется более быстрый CPU. В случае собственного сервера выходной адрес будет один. То есть нужно определиться, где именно вам нужен VPN-сервер. Большинство VPN-сервисов включают в свои тарифные планы десятки стран. Практика показывает, что обычный пользователь использует только две-три из них. Если вам нужна только пара локаций, то собственный сервер всё равно будет дешевле. При этом у вас будет полный контроль. Таким образом, если суммировать всё вышесказанное, то свой VPN-сервер при правильной настройке и надёжном хостинг-провайдере — это хорошая скорость; устойчивое соединение; гарантия того, что ваши данные никто никуда не передаёт; низкая цена. VPN как сервис — это большой выбор локаций; бонусные услуги, такие как доступ к стриминговым сервисам; всю техническую часть берёт на себя VPN-провайдер. С юридической точки зрения использование VPN не влечёт за собой никаких последствий в подавляющем большинстве стран. Даже в России, где периодически возникают всякие инициативы у “патриотов” и борцов за “нравственность”, дело доходит только до хайпа у Соловьёва и заявлений Касперского о намерении “исполнять российское законодательство”. Иногда блокируют сайты VPN-провайдеров (и за одно десятки тысяч сайтов других компаний, находящихся в том же диапазоне IP-адресов). Как уже было сказано выше, провайдеры видят VPN-трафик, но за подключения к VPN ещё никого не посадили. Все спекуляции по поводу блокировок VPN по протоколу – чистой воды популизм. В стране тут же ляжет вся инфраструктура; от банковских операций до удалённой работы. Заблокировать могут IP-адреса сетей популярных VPN-провайдеров, но не протокол. Конечно, теоретически можно отключать от Интернета тех, кто не обосновал использование VPN в письменной форме в местном отделении полиции; заставлять провайдеров навязывать клиентам роутеры со сниферами, блокирующими доступ к VPN, не хранящим данные пользователей на территории России (три года вместе с трафиком), но до этого пока не дошло. И в Китае при желании и некоторой технической грамотности можно безболезненно пользоваться VPN-сетями. То есть понятно почему Российская пропаганда топит против VPN, но это не должно вводить в заблуждение тех пользователей, которые хотят хоть как-то ограничить утечки собственных персональных данных. У Роскомсвободы есть подборка VPN-сервисов с высокой репутацией в плане защиты данных. Если вы предпочитаете кого-то другого, то в первую очередь стоит обратить внимание на юрисдикцию самого VPN-провайдера. Не на количество у них серверов, а именно на их юридический адрес. В случае VPN Каймановы Острова или Белиз, предпочтительнее США или Канады. Если вы не живёте в США, то, возможно, вам не важно, узнает ли NSA ваш домашний адрес или нет. Но покупка VPN у Касперского при домашнем адресе в Химках — это, мягко говоря, глупость. Если же вы предпочитаете собственный VPN-сервер, то вам может помочь подборка на этом сайте.

Go to Source
Author: Tatyana

Для тех, кто никогда не видел десктопных операционных систем на ядре Linux, процесс обновления пакетов в Windows не кажется чем-то особенным. Периодически та или иная программа сообщает пользователю, что есть более свежая версия; пользователь нажимает «ОК», и в лучшем случае программа обновляется. Но чаще всего открывается браузер на странице программы, где предлагается скачать новую версию, за которой тянется куча ненужного дерьма, или платная версия бесплатной программы, если невнимательный пользователь не прочитал описание рядом со множеством галочек и не снял лишние. И так с каждой программой, установленной вручную. Централизованно обновляются лишь компоненты Windows и приложения, установленные через Microsoft Store.В дистрибутивах Linux же есть менеджеры пакетов. Apt в Debian, Pacman в ArchLinux и так далее. Одной командой можно обновить не только компоненты ОС, но и все прикладные программы, установленные в системе. Это вызвано, в первую очередь тем, что исторически программы в Linux зависят от системных библиотек. При установке программы пакетный менеджер проверяет наличие системных зависимостей и устанавливает их отдельно, если обнаруживает, что чего-то не хватает. Поскольку операционных систем на ядре Linux великое множество, то пакет, собранный под Ubuntu, не запустится в ArchLinux в том виде, в каком он есть. И наоборот. Требуется пересборка пакета. Не считая того, что этот процесс требует определённых навыков, косорукая сборка пакета может привести к нестабильной работе как самой программы, так и операционной системы в целом. По той же причине программы в таких ОС распространяются централизованно, через специальные репозитории, от куда их и скачивает пакетный менеджер. Чем больше готовых пакетов под определённый дистрибутив, тем он популярнее. Универсальная система пакетов типа Snap или Flatpak появилась относительно недавно, но при этом пакеты по-прежнему управляются пакетным менеджером. Но независимо от причин, пакетный менеджер – удобный инструмент, экономящий время. В Windows нет официальных пакетных менеджеров. По той простой причине, что у Windows нет форков. Все права принадлежат Microsoft, а там никогда не задумывались о каком-либо едином, удобном для пользователя инструменте управления пакетами. Есть сторонние программы, предлагающие автоматическое обновление установленных программ. Как правило такие программы платные и как правило, это не основная их функция.Проект Chocolatey развивается с 2011-го года и сейчас достаточно удобен и функционален для повседневного использования. Инструмент может не только обновлять, но и устанавливать программы. То есть это полноценный пакетный менеджер. Это не то же самое, что пакетные менеджеры в Linux, так как здесь нет репозитория ПО из-за правового аспекта распространения большинства программ в Windows. Chocolatey больше похож на систему портов во FreeBSD, где он оперирует скриптами, в которых прописан процесс установки. То есть скрипты содержат все инструкции по скачиванию и установке той или иной программы, а пользователю нужно лишь ввести одну команду в терминале и всё остальное будет сделано автоматически. Chocolatey имеет несколько версий, в зависимости от нужд пользователя. Для домашнего использования более чем достаточно бесплатного варианта. Сравнение можно найти на соответствующей странице проекта. В бесплатной версии нет рекламы и поп-апов с предложениями купить платную версию. Это простой и удобный инструмент командной строки. Я не буду расписывать все преимущества и аспекты работы Chocolatey, так как это займёт слишком много времени. Всю дополнительную информацию можно найти в Wiki проекта. Я лишь хочу рассказать, как установить Chocolatey на ПК и начать пользоваться. Всё взаимодействие с Chocolatey происходит в PowerShell с правами администратора. Системные требования: PowerShell v3+ и .NET Framework 4+. Если у вас современная и поддерживаемая версия Windows (на момент написания Windows 8.1 и новее), то всё должно быть в порядке. Для начала нужно убедиться, что в вашей системе разрешено выполнение скриптов. Откройте PowerShell и введите следующую команду:Get-ExecutionPolicyПо умолчанию в Windows 10 выполнение скриптов запрещено (Restricted). Для разрешения введите следующее:Set-ExecutionPolicy AllSignedИлиSet-ExecutionPolicy Bypass -Scope ProcessВ первом случае разрешено выполнение скриптов. Скрипты и конфигурационные файлы подписаны доверенным издателем. Во втором случае разрешено выполнение любых скриптов. Параметр «-Scope Process» указывает на то, что правило будет действовать на протяжении текущей сессии PowerShell. То есть после перезапуска PowerShell всё вернётся в исходное состояние и разрешать выполнение скриптов придётся каждый раз при старте новой сессии. Я рекомендую первый вариант, дабы не вводить команду постоянно. Если вы не собираетесь ставить что-то самоподписанное, то этого достаточно. Но убедитесь, что ваше антивирусное ПО в актуальном и рабочем состоянии и это не Windows Defender. При разрешённом выполнении подписанных скриптов есть вероятность установить что-то правильно подписанное, но вредоносное. Вариант без проверки подписи приближает нас к временам Windows 95. Более подробную информацию можно найти здесь. Далее запустите команду установки Chocolatey. Set-ExecutionPolicy Bypass -Scope Process -Force; [System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072; iex ((New-Object System.Net.WebClient).DownloadString(‘https://chocolatey.org/install.ps1’))Если внимательно посмотреть, то в команде присутствует следующее:Set-ExecutionPolicy Bypass -Scope Process -Force;Необходимо для установки Chocolatey. Вы можете убрать эту часть команды, и разрешить выполнение вручную, когда процесс установки вас об этом спросит. В любом случае после установки придётся перезапустить PowerShell, что приведёт к сбросу вышеуказанного параметра.По завершении появится предупреждение, что сессию PowerShell нужно перезапустить. Смотрите выше по поводу разрешения на выполнение скриптов. Теперь Chocolatey работает и можно пользоваться. На скриншоте я показала установку Open Shell (классическое меню «пуск» для Windows). Это просто пример простоты использования. То есть для установки чего-либо нужно ввести команду «choco install имя_программы». Для удаления «choco uninstall имя_программы». Выполнение команды сопровождается запросом на подтверждение выполнения скрипта. На случай если вы передумали, или что-то перепутали. Для автоматического подтверждения выполнения команды используйте параметр «-y» в конце команды. То есть если я хочу установить то же самое, но без лишних вопросов, то нужно ввести следующее:choco install open-shell -yДля обновления всех установленных приложений используется следующая команда:choco upgrade allСписок всех команд и их описание есть здесь. Так же команда «choco –help» покажет подробности в PowerShell. Конфигурационный файл Chocolatey по умолчанию находится по адресу C:ProgramDatachocolateyconfig. С помощью текстового редактора можно отредактировать настройки менеджера. Не нужно этого делать, если на то нет явных причин и понимания того, что за что отвечает.Список поддерживаемых программ можно найти здесь. Там же указаны и команды для их установки. В верхней части присутствует поиск. Обратите внимание на легенду программ в виде круглого значка. Старайтесь использовать только программы, помеченные зелёным значком. Остальные могут вызвать проблемы и предназначены тестерам и разработчикам. Что делать, если программа у вас уже установлена, но вы хотите управлять её состоянием с помощью пакетного менеджера? Проще всего удалить её и поставить с помощью Chocolatey. Но это не всегда удобно. Второй вариант в том, что нужно убедиться, что программа в актуальном состоянии и просто ввести команду установки. Chocolatey распознает наличие программы в системе и добавить её в свой список. Если попытаться сделать то же самое, но с устаревшей программой, то Chocolatey выдаст ошибку с сообщением о несовпадающих хэш-суммах. Обойти это можно с помощью параметра «–ignore-checksums». Пример на том же Open Shell:choco install open-shell -y –ignore-checksumsНе стоит увлекаться этим параметром, так как проверка хэша – часть проверки подлинности программы и гарантия того, что устанавливается именно то, что указано в скрипте установки. В конце хочу обратить внимание на то, что часть программ в Windows имеет вполне вменяемою систему обновлений. Например, Google Chrome по умолчанию обновляется сам без каких-либо вмешательств со стороны пользователя. Нет смысла ставить его с помощью Chocolatey. Я не знаю, что будет, если через Chocolatey установить Office 365 (такая возможность там присутствует). Microsoft Office 365 обновляется через встроенную систему обновлений Windows. Даже если у вас по каким-то причинам отключена система обновлений Windows, то всё равно мне сложно поверить, что обновление Office через Chocolatey пройдёт ровно и без каких-либо последствий. В любом случае, склонность к ламерству, это всегда недостаток. Не существует универсальных инструментов, и работа с любым существующим требует элементарного понимания процессов, стоящих за его использованием.

Go to Source
Author: Tatyana