Astra Linux и жадность⁠⁠1

Меня некоторое время назад "обязали" пройти "обучение" и опосля экзамен для сертификата, что я умею оным админить.

Обучение:
Прошел обычное и "продвинутое".
Ничего нового не рассказали, вводная posix shell. Отчасти даже глубокая и полезная чтобы пересесть с Windows.
Мультиплексоры, LUKS, LVM, UGO и ACL, работа с модулями ядра, башизмы, vi -- полезные навыки.

Экзамен: его писал админ-извращенец.
Первый раз завалил, потому что не готовился. Все о чем мне рассказывали на подготовках я делал и знаю как делать. Но все же это такая деятельность которая не каждый день.
Опосля, задания вспомнил, стряхнул пыль со знаний и все получилось.
Думал, что на второй заход будут какие-то другие вопросы. Нет, те же самые.

Как экзамен проходит: Тебе нужна вэбка и комп с *одним* монитором. Надо будет показать на вэбку, что вокруг нет других людей, отложить телефон. На столе можно иметь бутылку воды прозрачную и ручку с бумагой.
Дальше тебе дают RDP до машины где валяется VmWare гипер с экзаменационной машиной. Сворачивать RDP нельзя, в сеть выходить тоже (ее на машинах нет).
Время: 3 часа.

Сами задачи простые на первый взгляд,
Тебя встречает ОС которая не грузится, надо понять почему и починить.
Окей, ребут, лезем редачить опции ядра, выставляем init=/bin/bash, монтируем найденный руками корень, смотрим на /etc/fstab и руками исправляем опечатки.
Так же система загружается в консоль, а не в графику. Чинится изменением таргета с multiuser на graphical.
Дальше там всякие упражнения на grep, find, (s)tar, LVM, mount, apt, UGO, ACL и их мандатный доступ.
Позабавило, что они просят тебя __написать__ systemd mount. Что как бы классная тренировка, если ты не знаешь, что systemd генерирует mount'ы самостоятельно на основании fstab при загрузке. Можно сидеть над man и вычитывать опции, а можно по классике добавить строчку в fstab и ребутнутся. Задание выполнено.
Написаны задания иногда кривовато, заумно, но человек с опытом быстро разберется.

Но одно из заданий меня убило:
Пропишите umask пользователей в /etc/passwd, поле gecos, и заставьте pam его оттуда читать и применять.
Umask! в Gecos!
Отчасти я понимаю, что это такой "хитрый" способ забрать у пользователей возможность собственноручно поменять bashrc. Но мать твою! Заведи отдельный конфиг в etc!

Сам дистрибутив:
В плане графики они придумали свое окружение, Fly. Которое выглядит как допиленные немного кеды. Но говорят, что не кеды. А в процессах plasma...
И по виду это 4-е кеды, а не пятые. Ну да бог с ним.
Они взяли debian old stable, настроили его и сверху навесили свой софт для мандатного доступа (патченое ядро и невыгружаемые модули). Нормальной cli документации нет, а с GUI настраивается довольно просто.
Безопасность!
Но это аукается тем, что помимо unix ограничений у тебя появляется новая крутилка доступа. Которая по умолчанию запрещает root пользователю быть администратором.
При наличии верных UGO прав, их модуль не даст тебе прочитать или изменить параметры. Машину ребутнуть ты тоже не сможешь.
Реальным админом машины будет админ выставленный в их софте.

Что касается остального ПО: У ребят свои репозитории. Некоторый софт патченый. К примеру, если поставить astra 1.3.7 любого уровня "защищенности", то ssh с явным разрешением на вход root в конфиге наплюет на тебя и не даст логина. Все.
Решение: как-то таки пролезть к машине, удалить openssh-server и тут же его поставить из репозиториев, а не с CD/DVD.
Поменяется бинарник и все заработает.

Подлянка меня так же ждала когда я с apache2 игрался.
Я понять не мог, почему при правильно настроенном apache2, сервер выдает "Anouthorized access". Но я не прикручивал авторизации! И шифрования не включал. Мне нужен был http репозиторий!
Оказывается, что бинарник тоже патченый и пускает соединения только тех, кто прошел через локальный pam. Иначе -- отворот.
Решение: в конфиге выставить "AstraMode=off".

Потому что это сделано для того чтоб бабло пильнуть) на курсы будут отправлены бюджетники, а оплачиваться курсы будут из налогов, а тема с самообразованием не прокатит тк нужны будут корочки выданные за определенный набор часов.
Вначале делается система, ставится прайс на обучение как везде, делаются презентации, "конкурс", потом система расползается и стоимость поднимают, а уже всё использование согласовано. Найти кто во главе всея астролинукса, явно не случайно поднявшийся частник.

Вам минусы или плюсы? Если первое - то система представляет из себя старую кастрированную  версию дебиана. Знающие плюются. Плюсы - позиционируют себя как система, сертифицированная в системах сертификации средств защиты информации Минобороны РФ, ФСТЭК и ФСБ России. Включена в Единый реестр российских программ Минкомсвязи России. В целом, наверное достаточно стабильная система (все-таки на дебиане основана) для госсектора с их требованиями по безопасности, тогда как для обычного домашнего/офисного использования не пригодна ввиду устаревшего кода.

Ничем. Это кастрированный дебиан,  с парой корявый фич. Зато сертификация

А вот тут, пока не установишь, не узнаешь)))

МРД, ЗПС, УД1.

если вы не знаете эти слова, курсы вам точно не нужны.

Это дебиан с натянутым на него 2м кде. Даже коменты на английском местами не потерли.

КриптоПро есть в репо и две самописные утилиты для ввода в домен виндовый (одна для сссд, вторая не помню что)

Редос это центось если память не изменяет, причем которую особо не трогали ( что в принципе хорошо)

Альт уже серьезно пиленный продукт и разрабы свои есть, но соответственно что случится доку в зубы.

Твои онлайн курсы не имеют никакой юридической силы. Можешь сколько угодно смотреть видосы на Ютубе.