Переезд плюс-минус завершен

[vitus_wagner]

Общий результат:

1. Сэкономить не удалось. vps-ка в итоге обошлась примерно во столько же, сколько канал от провайдера.
В результате, общая сумма порядка 1000 рублей в месяц, вместо 815. Зато исходящий канал шире в 6 раз, а входящий - в два.

2. Никаких vpn-в не понаднадобилось. Почта туда прекрасно ходит по smtp со starttls и авторизацией по сертификату. Почта сюда сваливается на vps-ку а оттуда релеится через нестандартный порт.
скрипт с вызовом nsupdate сидит в dhclient-exit-hook.d и апдейтит зону. Немножко пришлось поразвлекаться чтобы заставить его апдейтить запись $ORIGIN A. Потому что разводить доменные имена пятого уровня мне не захотелось. Не заводить отдельную зону для динамики меня отговорили, а поддомен домена третьего уровня wagner.pp.ru - уже четвертого.

3. Вторичный NS уехал на freedns.afraid.org. Почему не secondary.net.ua? А потому что он не работает с доменами, поддерживаемыми руцентром. whois.ripn.net он знает, а whois.nic.ru - нет. Опять же, там понятие nic-handle нету.
Возможность самостоятельно поредактировать адрес мастера через web-интерфейс признана более предпочтительной, чем наличие знакомого админа.

4. Все ресурсы Кира Злобина, жившие у меня на машине, уехали на vps. Сделал там ему возможность редактирования куска конфига bind и куска конфига апача от своего имени и выдал через sudo право на релоад соответствущих сервисов.

5. Сохранить за моей машиной имя wagner.pp.ru не удалось. bind почему-то нервно отнестся к записи вида @ CNAME. Поэтому пришлось на vps-ке научить apache все запросы на http://wagner.pp.ru редиректить на http://www.wagner.pp.ru

6. В процессе узнал много нового и интересного про то, в какую сторону развивались isc dhcp (клиент и сервер) и postfix. Ну ладно, в особенности работы dhcp я не вникал уже лет десять, а постфикс-то с поддержкой русского TLS я пересобирал всего года три назад.. А оно с тех пор научилось permit_tls_all_clientcerts. В смысле релеить для всех клиентов, чьи сертификаты прошли цепочку верификации. Без всякого складывания хэшей сертификатов в базу.

Comments

[alexkuklin]

6. о! ты меня прямо таки спас! пойду докручивать свой сервер.

[vitus_wagner]

Это ты про permit_tls_all_clientcerts? Только ты это, учти, что вот с CRL его работать все же не научили. Поэтому я, в частности, таки оставил hashmap с фингерпринтами - оттуда сертификат всегда вычистить можно, если хочется перестать ему доверять.

[alexkuklin]

а вот это уже плохо.
придется таки hashmap городить

[edo-rus.livejournal.com]

хм... а каким образом удалось использовать dhcp сервер?

[vitus_wagner]

Посредством чтения его документации. Дело в том, что man dhclient.conf отсылает по некоторым вопросам конфигурирования к man dhcpd.conf - там синтаксис блоков key и zone одинаковый, и чуточку отличается от named.conf. ISC такое ISC.