Leonid's notes

Бенджамин Дизраэли и Дэниел О'Коннелл

2012-01-28T19:06:00.000+02:00

Бенджамин Дизраэли был премьер-министром Великобритании в 1868-м, а затем в 1874 - 1880 годах. По происхождению он был еврей. Хотя он крестился в детстве и всю жизнь был англиканином, своего еврейского происхождения он никогда не отрицал и не чурался.

Дизраэли в 1878-м году. Фото из Википедии

Рассказывают, что однажды на заседании парламента Дизраэли сцепился с известным борцом за свободу Ирландии Дэниелом О'Коннеллом, и последний прошелся, что Дизраэли-де еврей. Дизраэли на это невозмутимо ответил: "Да, я еврей. И когда предки этого досточтимого джентльмена были дикарями на неизвестном острове, мои были жрецами в Храме Соломона!" ("Yes, I am a Jew, and when the ancestors of the Right Honourable Gentleman were brutal savages in an unknown island, mine were priests in the Temple of Solomon"). Действительно ли его предки были когены, или про Храм Соломона он добавил для красного словца - неизвестно.

Но не стоит думать, что выдающийся ирландский патриот О'Коннелл был какой-то антисемит. Напротив, в своей борьбе за равноправие католиков он рассматривал евреев как народ, подобно ирландцам пострадавший от притеснений на религиозной почве, а потому скорее союзный, чем враждебный. Более того, в 1846-м году он добился, что британский закон, требовавший от евреев ношения особой одежды, был отменен. О евреях он говорил: "Ireland has claims on your ancient race, it is the only country that I know of unsullied by any one act of persecution of the Jews"

Памятник Дэниелу О'Коннеллу в начале одноименной улицы в Дублине

2012-01-25T19:03:00.000+02:00

Получил совершенно шедевральный спам. Особо любимые фразы выделил:

Есть такое предложение - у меня есть 23 М долларов наличными - которые я продаю за 22,5 М долларов по СВИФТ-103 - по КОНТРАКТУ.То есть ваш доход 500,000,00(пятьсот тысяч) долларов за трое суток. Сумма КОНТРАКТА 22,5 М долларов.Доставка наличных производится курьером по указанному вами адресу.Отправить СВИФТ можно из одной страны - а наличные получить в другой (за доставку плачу я при условии если мне это будет выгодно,а если не выгодно - то извините).
Процедура - сначала согласовываем банк отправки ,потом подписываем КОНТРАКТ,потом по КОНТРАКТУ отправляем СВИФТ ,доставка наличных производится в течении трёх суток после доставки СВИФТА мне. Разумеется СВИФТ МТ-103 должен быть наполненным.Смысл сделки в том что у вас есть безнал ,который нужен мне - а уменя нал ,который нужен вам - другими словами - меняемся с доплатой - доплачиваю я.
Сумма денег меньше чем 22,5 М долларов - конкретно не интересна.Гарантия - только сам КОНТРАКТ. Наличные скопились в ячейке,а в банк на счёт ложить дороже,дешевле поменяться. 23 М - это всё что у меня есть - больше денег у меня нету.Связь только по почте. Посредники на предмет получения комиссии договариваются с отправителем СВИФТа.
Фёдор Фёдорович.

Фёдор Фёдорович жжот!

Угадайте, что это?

2011-10-08T19:21:00.001+03:00

Мусоробол

2011-09-24T20:26:00.001+03:00

Оригинальный способ приучить людей бросать мусор в урны. Интересно, сработает ли?

FAIL соискателей работы

2011-09-08T13:15:00.001+03:00

За последние два дня получили два замечательных письма от людей, ищущих работу.

1. Парень пишет письмо следующего содержания:

Здравствуйте! Хочу работать у Вас. Опыта работы в IT нет. Есть медицинское образование и желание стать по-настоящему хорошим тестировщиком.

Несколько наивно, НО! Письмо адресовано на 48 адресов всех возможных и невозможных IT-компаний Харькова. У всех у нас он хочет работать.

2. Девушка пишет письмо следующего содержания:

Здравствуйте! Скажите, пожалуйста, у Вас есть вакансия программиста?

Subject письма пустой, а в имени отправителя написано "Аленочка не скажу".

Аленочка! Мы вам не скажем, пока вы не догадаетесь вести себя менее игриво.

А в общем, приятно, что молодые люди не сидят без дела и ищут работу.

Замки

2011-07-10T22:20:00.001+03:00

В Харькове новая традиция: на новый мостик через речку Харьков влюбленные вешают замки. Считается, что если пара расстанется, то замок сам собой раскроется и упадет в реку.

Настенная роспись

2011-07-10T12:21:00.001+03:00

Анекдот из интернета

2011-05-16T10:25:00.001+03:00

- Я хочу назвать сына Сергей.
- Имя Сергей уже занято. Попробуйте Сергей2850.

Some debugging is needed

2011-04-30T20:45:00.002+03:00

This is a sign posted on the wall in Dublin airport. Obviously, they do not properly debug their collection points!

Писанки из цветов на пл. Свободы

2011-04-25T21:55:00.001+03:00

See the full gallery on Posterous

Апрельский снег на руинах империи

2011-04-16T11:23:00.001+03:00

Это обветшавшее здание - НИИ напротив нашего офиса. Белые черточки - снег 15-го апреля.

Уроки танцев для математиков

2011-04-15T16:02:00.002+03:00

Кролик на станции метро "Университет"

2010-12-21T13:08:00.001+02:00

Пара смешных вопросов из харьковского что-где-когда

2010-12-06T14:31:00.001+02:00

Вот пара вопросов из харьковского что-где-когда. Угадать невозможно, но ответы смешные.

1. Британское королевское общество защиты животных от жестокого обращения опубликовало отчет, в котором отмечалось, что в этом году участились случаи жестокого обращения с домашними животными, особенно собаками. Заглавие статьи об этом отчете в одном журнале лишь одной буквой отличалось от названия известного непростого литературного произведения второй половины 20-го века. Как называлась статья?

Ответ: "Трудно быть догом".

2. В производстве сусального золота кроме первой и второй применяется еще и галерея. Какие два слова мы заменили словом "галерея"?

Ответ: в производстве сусального золота применяется первая, вторая и третья ковка. Для тех, кто не понял, почему галерея: произнесите "третья ковка" слитно.

Black logon screen on Windows Server

2010-11-27T19:41:00.003+02:00

One day I was logging on to one of our Windows servers and was greeted by the following:

The screen was completely black except for the Windows Server logo. It's not a screen saver! Frankly, I freaked out. What kind of black screen of death that was? Then I realized the server wasn't dead. The screen was black, but fully functional. If you can see the little white vertical bar under the logo, that's the insertion point in the password entry field. So, with some blind typing I was able to log in. But what's the problem?

What do you know, it's a known one and has a Microsoft KB article 906510 dedicated to it. Turns out, it happens if for some reason the key HKEY_USERS\.Default\Control Panel\Colors gets reset to all zeros. The key allows to customize the colors used by the logon screen; in this case the colors are "customized" to all black! Why would it happen, I don't know. I suspect, what triggered the problem was the server running out of space on its system drive some time before. Windows servers have a tendency to tolerate this very badly, as I once wrote. The solution is to export this key from some other Windows server and import on the affected server.

И еще этимологические изыскания

2010-11-27T18:45:00.001+02:00

Ну и еще на тему происхождения слов. Кто-то когда-то утверждал, что есть такой древнй корень к-р-м, означающий что-то скрытое и защищенное, как-то: укромный, кромешный, карман, закрома. При определенной фантазии сюда же можно приплести Кремль (крепость), и даже Крым. Название полуострова просходит от названия одной из столиц Крымского ханства Кырым (сейчас Старый Крым), а слово Кырым по одной из версий означает "крепость".

Все это, конечно, весьма умозрительно. Словарь Фасмера свзявает укромный, кромешный, и закрома со словом "кром", т.е. "край" (отсюда же "кромка"). Как ни странно, Кремль все же связан с этим корнем, якобы происхождение слова такое: кремлевская сосна - это особо крепкая сосна, растущая на краю (кромке) леса. Видимо, из таких сосен и строили кремли.

Мне триста лет, я выполз из тьмы

2010-11-22T22:16:00.001+02:00

На работе объяснял сотруднице новое задание. Молодая девушка, недавно закончила технический ВУЗ, сейчас в аспирантуре. Сказал "я дам тебе новое задание..." и задумался над следующей фразой. Чтобы заполнить паузу вставил: "Я дам вам парабеллум..." На ее лице промелькнуло удивление. Я переспросил, знает ли она, откуда эта фраза. Она не знала. Они не такие как мы.

Windows tools: handle and taskkill

2010-11-20T21:08:00.001+02:00

It's been a while since I posted on system administration! Here are two findings - probably trivial, but new for me.

Who's locking?

Say you can't open, move or delete a file on a Window system because it is locked by another process. How do you find out which process is responsible? To handle this question use Handle, a utility from Sysinternals suite. Basic usage:

handle <file name>

<process name> can be the full file name or any part of it. There are a few handy options, e.g. -c to close the handle in question. Handle is pretty much an equivalent of fuser(1) on Linux.

Killing hung service

It happens from time to time that a service gets stuck in "Stopping" or "Starting" state. How can you kill it without rebooting the entire machine? On Windows Server 2003 or 2008 the built-in taskkill command-line utility can help. Use the following syntax:

taskkill /fi "SERVICE eq <servicename>" /f

where <servicename> is the name of the service that has hung (you can see it under "Service name" in service's properties window in Services console). For example:

taskkill /fi "SERVICE eq TlntSvr" /f

kills Telnet service, if it happens to get stuck. Taskkill has many options, e.g. it can kill a process by PID with /pid switch. The /f switch forces termination of an unresponsive process.

Еще этимологические изыскания

2010-11-20T17:43:00.001+02:00

Раз уж зашла речь о происхождении слов, хочу поговорить о корне "г-р-д", очевидно, обозначающем нечто защищенное и окруженное стеной, как то: город, ограда, огород. В чешском языке находим слова "hrad" (замок) и "zahrada" (сад). Как видим, если восточные славяне ограждали свои огороды, то западные - сады, как, впрочем, и не только они, как сейчас станет ясно. Движемся дальше на запад. В английском языке от этого же корня слова "guard" и "garden" (во французском "jardin", в немецком "garten"). Сюда же нужно отнести слова "yard", о происхождении которого New Oxford American Dictionary прямо сообщает "Old English geard ‘building, home, region’, from a Germanic base related to Russian gorod ‘town’", и "ward", которое по тому же словарю восходит к "variants of Old French garde, garder; compare with guard". Интересно, как буква g перешла в w, но раз уж это произошло, то, очевидно, от того же видоизмененного корня немецкое слово "Warte" ("сторожевая башня; наблюдательная вышка"). (Замена d - t не должна нас смущать, для немецкого она вообще характерна: dance - tanz, drink - trinken и т.п.). В украинском обратите внимание на слово "варта". Далее, в хорватском языке находим слово "vrt" - сад (так и пишется, без гласных; произносится примерно как "вырт"). Наконец, возвращаясь к русскому языку, находим, что слово "ворота" все от того же корня. Хотя тут можно было заподозрить связь с "воротом" и вращением, словарь Фасмера связывает ворота с "англос. weor, wor "ограда дома, двор, улица", алб. vathe "ограда, двор, загон, овчарня", тохар. warto "сад, роща", др.-инд. vrtis ж. "забор, ограда".

Этимологические изыскания

2010-11-14T23:44:00.001+02:00

Как пишут в Монголиаде (а также и в Википедии), у монголов отряд из 100 воинов назывался "jaghun". Интересно, не от этого ли слова происходит украинское слово "загiн"? Странно, но в 5-томном этимологическом словаре украинского языка это слово отсутствует.

Наши "проблеммы"

2010-10-18T12:23:00.000+03:00

Проблема №1: научиться грамоте.

Машина Яндекса в Харькове

2010-09-06T11:59:00.000+03:00

Стойка на крыше явно предназначена для камер, кроме того, фирма neq4, как написано на их сайте, делала панорамы Киева для карт Яндекс. Т.о. на картах Яндекса появится street view Харькова?

"С днем рождения, Украина"

2010-08-14T13:49:00.002+03:00

Ко Дню Независимости Украины канал "Интер" выпустил серию роликов, в которых представители нац. меньшинств поздравляют Украину с днем рождения и поют гимн на своем языке.

По-моему ролик о евреях выглядит несколько нелепо:

Учитель говорит на странной смеси идиша с ивритом, почему-то вставляя "урок истории" на русском. UPD: дата провозглашения независимости Украины называется неверно: 13 ава 5751 года соответствует 24 июля 1991, а не 24 августа.

Зато хорошо видны витражи в киевской синагоге на Подоле, сделанные лично Женей Котляром :-).

Все ролики можно увидеть здесь: http://inter.ua/uk/video/episode/independence

Redirecting a Samba share to another server

2010-07-10T21:56:00.000+03:00

In this post I'll describe how to configure Samba to redirect a share to another server. A typical example when this might be useful is as follows. You have a share, say \\server\work that you need to migrate to new hardware, so that it becomes \\newserver\work. However, you don't want all your users to remember that the files are at a new location. You'd like your users to continue using the old address \\server\work and be transparently redirected to \\newserver\work. This is possible with MS DFS (distributed filesystem) support via msdfs proxy directive. It seems like a more obscure directive not very well documented and described, so I'll try to report my experience with it.

The first thing to do is to enable MS DFS in Samba on the global level by specifying:


host msdfs = true

in the [global] section of smb.conf.

Then in the section for your share, you remove the path directive and insert two MS DFS-related directives, msdfs root and msdfs proxy:


[work]
msdfs root = true
msdfs proxy = \newserver\work

Note a few things about this configuration:

You MUST NOT have the path directive in the share definition
The value of msdfs proxy directive is the new location of the share to redirect to; notice though, that's a single backslash in the beginning of the value, NOT the double backslash you could have expected!

That's all, now \\server\work transparently redirects to \\newserver\work. Clients may need to be rebooted to start working properly with the redirected share. In my experience, clients can't access the share right after the reconfiguration, but it starts working after some time (not sure how much time) or after the client reboots.

Per-client-IP configuration for VSFTPD

2010-07-10T21:20:00.000+03:00

Recently I needed to configure VSFTPD FTP server to behave differently depending on the client IP address. Specifically, the task was to limit the number of connections to no more than 3 per client IP, but lift this restriction for one specific IP address (which was our own office address). The per-IP limit itself is easy to implement with max_per_ip configuration setting (see VSFTPD FAQ). The trick was specifically in making our office address the exception to this limit.

While per-user configuration is easy to implement with user_config_dir setting (and it is described in the FAQ), per-IP configuration is less obvious, so I thought I would document my findings.

The path to per-IP configuration lies via interaction with tcp_wrappers. Just in case you don't know, tcp_wrappers is a tool for filtering incoming network requests, and VSFTPD makes use of it. So, the first thing to do, is to enable tcp_wrappers support in VSFTPD, by making this setting in vsftpd.conf:


tcp_wrappers=YES

Then proceed to enter the default configuration in the main vsftpd.conf file. In my case, I set max_per_ip to limit connections per IP address:


max_per_ip=3

The next step is to configure tcp_wrappers. Add a line similar to the following to /etc/hosts.allow file:


vsftpd:1.2.3.4/255.255.255.255:setenv VSFTPD_LOAD_CONF /etc/vsftpd/vsftpd.conf.special

This must be a single line, even though Blogger may wrap it. It consists of 3 fields, separated bu the ':' character. The first must be vsftpd. The second contains your "special" IP address for which you want to enable a special configuration. As shown above, it may include a netmask so that you can apply the special configuration to a subnet (see man page for hosts.allow for details). Finally, the third field instructs tcp_wrappers to set an environment variable VSFTPD_LOAD_CONF to the name of a configuration file that will apply to your special IP address(es). The name of the variable must be exactly this; the value may be any filename you like. Once tcp_wrappers set this variable, VSFTPD will load the configuration file specified in it for the IP address(es) from the second field.

So, in the additional configuration file (in my example, /etc/vsftpd/vsftpd.conf.special) you can override everything you want for your special addresses. In my case I just needed to turn off per-IP restiction:


max_per_ip=0

That's it. I find it rather convoluted, but it works and achieves a useful purpose.

Новости

2010-05-30T12:52:00.000+03:00

Уже много лет читаю новости на сайте korrespondent.net. К сожалению, последнее время новости все более однообразные. Вот как выглядят типичная сводка новостей на Корреспонденте:

В Брюсселе Янукович перепутал рояль с унитазом.
Фотогалерея: в Мариинском парке на Януковича нагадила птичка.
Янкович побеждает во втором сете (примечание: Янкович это не опечатка! Это теннисистка!!).
Тимошенко создала Комитет защиты украинских животных от иностранных растений.
ВО Свобода представило театрализованное действо "Приключения Бандеры в стране овощей". В спектакле берут участие Богдан Бенюк в роли Бандеры и Олег Тягнибок в роли доктора Хауса.
В России в результате теракта самолет упал на участников акции протеста "Синее ведерко", вследствие чего протестующие провалились в шахту, спровоцировав там взрыв метана. Участники акции задержаны милицией.
Чемпион мира по версии WQQ в пятом полусреднем весе Пакьяо Будвейзер оказался на 1 грамм тяжелее претендента на этот титул украинца Джамиля Пупко.

И, наконец, главная новость дня:

Активистки движения FEMEN провели в Севастополе топлесс-акцию протеста против пребывания на территории Украины Черноморского Флота России. Моряки в восторге.

И последняя новость:

В знак протеста против публикации предыдущей новости движение FEMEN проводит топлесс-акцию в редакции журнала Корреспондент. Видео через пару часиков, а пока мы заняты!

Скамейка в Киеве

2010-05-15T21:40:00.000+03:00

Трудности перевода: православные раввины

2010-05-09T21:32:00.000+03:00

Прочитал известную книжку Ричарда Фейнмана "Вы, конечно, шутите, мистер Фейнман!". Бросился в глаза такой пассаж:

Во время конференции я жил в Еврейской богословской семинарии, где учились молодые раввины – полагаю, что они относились к православной церкви.

Ну и каша же была в голове у переводчика!

Парадокс лжеца

2010-05-01T22:00:00.001+03:00

Парадоксом лжеца называется следующее простое утверждение:

Это утверждение ложно

Парадоксальность в том, что невозможно решить, истинно оно или ложно. В самом деле, допустим, что оно истинно. Т.е. действительно это утверждение ложно. Т.е. оно ложно. Т.е. мы начали с предположения, что оно истинно, и пришли к выводу, что оно ложно. Противоречие! То же самое получится, если мы предположим, что это утверждение ложно. Т.е. неправда, что это утверждение ложно. Значит, оно истинно. Т.е. мы начали с предположения, что оно ложно, и пришли к выводу, что оно истинно. Опять противоречие!

Получается, что как ни крути, а это утверждение нельзя назвать ни истинным, ни ложным. Последние две с половиной тысячи лет философы не могут решить, как же это понимать. Я же попробую предложить свое объяснение.

Я вижу объяснение в следующем. Не всякий набор слов является осмысленным утверждением, которому можно приписать истинность или ложность. Парадокс лжеца только похож на осмысленное утверждение, - и в этом подвох! - на самом же деле является бессмысленным набором слов. Проблема в ссылке на "это" утверждение, которое еще не определено. Сейчас я постараюсь объяснить это более наглядно.

Мой аргумент будет понятен программистам, хотя, подозреваю, непонятен всем остальным. Высказывания можно представить в виде функций, возвращающих логическое значение. Парадокс лжеца можно записать таким образом:

bool liars_paradox()

{

return liars_paradox() == false;

}

Видно, что определение этой функции содержит бесконечную рекурсию. Определение ссылается само на себя. Поэтому функция liars_paradox никогда не возвратит результата true или false. Соответственно, парадокс лжеца не является "утверждением", о котором имело бы смысл говорить, истинно оно или ложно.

Кстати, столь же парадоксальной является фраза "Это утверждение истинно". Можно предположить, что оно истинно - это ничему не противоречит. Но с тем же успехом можно предположить, что оно ложно - и это тоже ничему не противоречит! Т.о. эта фраза одновременно и истинна и ложна, что, конечно, эквивалентно тому, что она не истинна и не ложна, как парадокс лжеца (истинна - значит не ложна, ложна - значит не истинна). На самом деле, конечно, эта фраза столь же бессмысленна, и по той же самой причине, что и парадокс лжеца.

Аналогия с функциями позволяет также прояснить, почему парадокс лжеца так похож на осмысленное утверждение. Можно взять произвольный набор слов, скажем "черный вчера наверно", и никто и не подумает спрашивать, истинно ли это "утверждение" или ложно. Но парадокс лжеца настолько похож на осмысленное утверждение, что такой вопрос задается. Дело же в том, что фраза "черный вчера наверно" просто синтаксически неверна, и этот "syntax error" легко определяется каким-то аналогом компилятора в нашем мозгу. Парадокс же лжеца содержит семантическую ошибку, т.е. ошибку времени выполнения, найти которую, как известно любому программисту, гораздо сложнее.

Блюстительница нравов

2010-05-01T20:53:00.000+03:00

Мама рассказала следующую историю.

Когда она училась в школе, у нее была одна очень строгая учительница. Учительница имела славу блюстительницы нравов. Она тщательно следила, чтобы мальчики не приближались к девочкам ближе пионерского расстояния, от девочек же требовалась сугубая скромность в одежде. В частности, она требовала, чтобы девочки носили чулки даже летом. "Но ведь жарко!" - протестовали школьницы. "В школу с босыми ногами нельзя!" - отрезала учительница.

Лишь много лет спустя мама узнала, что все это время строгая учительница жила в гражданском браке с директором школы, который был старше ее более чем на 20 лет и оставил ради нее жену с тремя детьми. Они прожили вместе до самой его смерти, так и не поженившись, так как жена директора не давала ему развода.

Рациональность и эмоции

2010-04-24T14:52:00.000+03:00

Отец сформулировал следующий афоризм:

Рациональные люди отличаются от эмоциональных только тем, что для своих эмоциональных поступков находят рациональное обоснование

Дилемма заключенного

2010-04-24T14:24:00.002+03:00

В теории игр рассматривается задача, известная как "Дилемма заключенного". Полиция арестовала двух преступников при совершении мелкого ограбления. Полиции известно, что они совершили другое, крупное ограбление, но у полиции нет доказательств этого. Преступникам предлагается признаться в совершении крупного ограбления, причем им обещают следующие условия:

если оба признаются, то оба получат по 5 лет за крупное ограбление;
если оба не признаются, то оба получат по 2 года за мелкое ограбление (их участие в крупном ограблении останется недоказанным);
если же один признается, и даст показания против другого, а второй не признается, то первый за помощь следствию выйдет на свободу, а второй попадет за решетку на 10 лет.

Как следует поступить преступникам? Поставим себя на место одного из них. Разумеется, нужно рассмотреть варианты, что будет, если партнер признается, и что, если партнер не признается. Результаты такого размышления легко представить в виде таблицы:

	Партнер признается	Партнер не признается
Я признаюсь	5	0
Я не признаюсь	10	2

Столбцы таблицы - возможные решения партнера, строки - наши решения, числа в таблице - количество лет, которое получит наш преступник при таком стечении обстоятельств. Теперь рассмотрим, что будет, если партнер признается (первый столбец). Нам лучше признаваться - получим 5 лет, а не 10. А что будет, если партнер не признается (второй столбец)? Тоже лучше признаваться - получим 0 лет, а не 2. Получается, что в любом случае лучше признаваться.

Заметим, что оба преступника будут рассуждать одинаково, поэтому оба признаются и получат по 5 лет. Это действительно логично, т.к. не признаваясь каждый рискует "загудеть" на все 10. Интересно же здесь вот что: если бы оба не признались, то получили бы только по 2 года - что, безусловно, предпочтительнее для каждого. Результат несколько парадоксальный: каждый, действуя в своих интересах, тем не менее оказывается в неоптимальной для себя ситуации. Почему так получается?

Размышляя над этим вопросом понимаешь, что многие жизненные ситуации подобны дилемме заключенного, и на этом простом примере становятся понятны многие механизмы работы человеческого общества. Поэтому дилемма заключенного интересует философов еще больше, чем специалистов по теории игр.

Проблема наших заключенных в том, что они не могут скооперироваться. Если бы они могли договориться не признаваться и быть уверенными в выполнении договора, то получили бы лучший результат. Но как быть уверенным? Даже если полиция даст им возможность обсудить ситуацию, и они договорятся, это ничего не меняет - один из двоих всегда может предать, т.к. к этому у него есть прямой стимул - выйти на свободу. Кооперация позволяет людям сделать то, на что без кооперации они не способны - но добиться кооперации нелегко.

Итак, заключенным мало договориться действовать сообща, надо еще как-то исключить возможность предательства. Как этого можно достичь? Например, если наши преступники высокоморальные люди, и для них нарушить слово чести - хуже, чем попасть за решетку на 10 лет, то можно быть уверенным, что договор не будет нарушен. Также, договор может быть гарантирован неизбежностью наказания за его нарушение: например, заключенные сообщают о своем договоре на свободу, и если один из двоих сдаст другого и сам выйдет, то дружки преданного убьют предателя. Эти соображения дают нам некий намек на то, почему и как в человеческом обществе появились мораль и право.

Более того, обеспечивая выполнение договора тем или иным способом, заключенные, казалось бы, ограничивают свою свободу действий. Тем не менее, именно это ограничение позволяет им достичь результата, который невозможен без такого ограничения. Так что свобода - странная вещь, иногда ее ограничение позволяет нам сделать больше.

Литература:

Ross, Don, "Game Theory", The Stanford Encyclopedia of Philosophy (Fall 2009 Edition), Edward N. Zalta (ed.), URL = <http://plato.stanford.edu/entries/game-theory/>.

Анти-спам в Google

2010-04-15T20:23:00.001+03:00

Получил сегодня при поиске в Google такое сообщение:

Оказывается, поисковые запросы тоже проверяются на вирусы...

Об отпуске

2010-04-08T16:32:00.002+03:00

- Я только что с моря, плавал в маске!
- Чтобы рыбы не узнали?!

О физике

2010-03-11T21:28:00.002+02:00

Первое и второе начала термодинамики можно сформулировать так:

Количество постоянно, а качество ухудшается

Но это очень пессимистическая формулировка. Энтропия возрастает только в замкнутой системе. Если же над системой совершать работу, то энтропия может и уменьшится. Поэтому более конструктивно будет сказать так:

Хочешь повысить качество - работай!

И это следствие фундаментальных законов природы!

Креативная дверь в Харькове

2010-03-10T12:31:00.000+02:00

Впрочем, по виду, за этой дверью пусто...

Сердце Харькова

2010-02-11T21:04:00.000+02:00

Вот интересно, почему Профиль Google показывает как "Мои места" угол улиц Красноармейской и Славянской? Видимо, по мнению Google в этом скромном месте напротив вокзала находится истинный центр Харькова.

Где я был

2010-01-19T22:10:00.009+02:00

По наводке Паши Бернштама (картинка кликабельна):

Lingvo 12 на Windows 7

2009-11-20T13:59:00.003+02:00

Lingvo 12 не хочет запускаться под Windows 7: выдается такое сообщение:

"Нет доступа к файлу c:\ProgramData\ABBYY\Lingvo\12.0\Licenses\Licensing.bin"

Проблему можно решить, если выдать права на "Полный доступ" на указанный файл группе "Пользователи" (по умолчанию эта группа имеет доступ только на чтение).

How to open Outlook Developer Reference in Office 2007

2009-11-10T19:40:00.003+02:00

If you are a developer working with Outlook, you will definitely need Outlook Object Model reference that ships with Outlook. Unfortunately, getting to it in Outlook 2007 is not exactly straightforward.
The standard way, apparently envisioned by Microsoft, is as follows. First, you need to enable Developer tab in Outlook. For this:

On the Tools menu, click Options.
On the Other tab, click Advanced Options, and then select the Show Developer tab in the Ribbon check box.

Once that's done, you'll need to do the following:

Open an old email or create a new one.
In the email viewing/editing window, click on Developer tab
Press Visual Basic button
Once Visual Basic editor opens, select Help from the menu or toolbar.

Cumbersome to say the least! Fortunately, there's a quicker way. Just run the following command (in cmd window or through a shortcut):

c:\Program Files\Microsoft Office\Office12\CLVIEW.EXE OUTLOOK.DEV Outlook

CLVIEW.EXE is Office 2007 help viewer. The path to it may need to be adjusted depending on the location of your Office 2007 installation.
This method of course works for other Office applicaitons: all you need to do is replace OUTLOOK.DEV with WINWORD.DEV or EXCEL.DEV in the first command line parameter. The second command line parameter is just window title, so it can be anything.

Delphi 5 on Windows 7

2009-11-06T14:03:00.004+02:00

Delphi 5 may seem like an ancient tool nowadays, but some of us need to use it. Here are some pitfalls of running Delphi on Windows 7:

1. Delphi fails to compile a project with a type library (*.tlb file) with the following error:

[Error] RLINK32: Error opening file: "...tlb"

The message is in fact misleading, since the TLB file itself is perfectly accessible. Monitoring the compilation process with Sysinternal's Process Monitor revelead that Delphi tries to write a temporary file named dfwtemp.tlb to its bin folder (under Program Files), which under Windows 7 is not permitted unless you run Delphi as administrator.

To resolve the problem, grant full access on Delphi bin folder to the Users local group.

2. Windows 7 no longer opens old help files (hlp extension). For some reason Microsoft decided not to include WinHlp32.exe anymore, even though the one from Windows XP works perfectly. To be precise, there IS a file named WinHlp32.exe in Windows directory, but it DOES NOT open HLP files; instead it shows a message that this functionality is no longer available.

To read Deplhi's HLP files (or any other HLP files), copy winhlp32.exe from an XP computer to Windows directory. This is not going to be easy though, since Windows 7 is very fussy about overwriting anything in Windows directory. To overwrite the existing dummy file (which is owned by a pseudo-user TrustedInstaller), first take ownership of it, then grant yourself full access, then copy the file "as administrator".

Administration under Windows 7

2009-11-03T12:47:00.006+02:00

I received a new computer with Windows 7, and here are the first impression of doing system administration tasks from this new OS:

1. Windows Server 2003 admin pack no longer works, need to download Remote Server Administration Tools for Windows 7 from here.

2. Even then, Dial-in tab is not available. There is an old workaround from Windows XP time that still works though. Its descrption can be found in many places, including here, but here's brief recap:

Copy/Paste the following to a Dialin.reg file:

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\RasDialin.UserAdminExt]
@=""

[HKEY_CLASSES_ROOT\RasDialin.UserAdminExt\CLSID]
@="{B52C1E50-1DD2-11D1-BC43-00C04FC31FD3}"

[HKEY_CLASSES_ROOT\RasDialin.UserAdminExt.1]
@=""

[HKEY_CLASSES_ROOT\RasDialin.UserAdminExt.1\CLSID]
@="{B52C1E50-1DD2-11D1-BC43-00C04FC31FD3}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MMC\NodeTypes\{19195a5b-6da0-11d0-afd3-00c04fd930c9}\Extensions\NameSpace]
"{B52C1E50-1DD2-11D1-BC43-00C04FC31FD3}"="RAS Dialin - User Node Extension"

Merge the Dialin.reg file with your Windows XP registry, or run regedit /s dialin.reg.
Copy 3 DLLs from a Windows Server 2003 domain controller's system32 directory to your computer's system32 directory: mprsnap.dll, rasuser.dll, rtrfiltr.dll and register rasuser.dll with regsvr32. This can be automated by the following sequence of commands:
```
CD /D %SystemRoot%\System32
copy \\ServerName\Admin$\System32\mprsnap.dll *.*
copy \\ServerName\Admin$\System32\rasuser.dll *.*
copy \\ServerName\Admin$\System32\rtrfiltr.dll *.*
regsvr32 rasuser.dll
```

3. There's no Exchange System Manager for Windows 7 (at least for Exchange 2003). The one from Exchange 2003 doesn't work. The ESM for Vista works, but its installer fails to install it on Windows 7 (it strictly checks for Vista). Some generous soul has hacked the install to work on Windows 7 and made it available for download from this page: http://nwcalc.web44.net/Win7/. See the discussion here

Samba shares inaccessible after power failure

2009-10-13T13:36:00.003+03:00

A test Samba server (domain member with ADS security) suffered a crash due to power failure, and after that its shared became inacessible: when Windows clients tried to access them, password dialog was shown and the correct password was not accepted.

Samba log showed the following:

[2009/10/08 13:22:25, 1] smbd/sesssetup.c:reply_spnego_kerberos(316)
  Failed to verify incoming ticket with error NT_STATUS_LOGON_FAILURE!

Winbind log showed the following

[2009/10/08 13:13:45, 5] nsswitch/winbindd_user.c:winbindd_getpwnam(353)
  Could not parse domain user: lz

The problem was resolved by removing all *.tdb files in /var/lib/samba.

WARNING. This was a test server, so removing the files were not a problem. If it were a production server, removing windbindd_idmap.tdb would destroy the mapping of Windows and Unix users, and thus all file permissions on Samba shares would be screwed up. On a production server one would try to rescue at least windbindd_idmap.tdb.

О сыре

2009-10-02T12:57:00.000+03:00

Маасдам - must die

Что есть истина?

2009-06-07T14:45:00.006+03:00

"Что есть истина?", говорят, спросил Понтий Пилат у Иисуса.

Спустя около 1900 лет польский логик Альфред Тарский задался тем же вопросом, но не из религиозных соображений (Тарский родился евреем, принял католицизм, но на самом деле был атеистом), а из сугубо математических. Тарского беспокоило, что математика оперирует тем, что он называл "семантическими понятиями" (например, "истина" или "доказательство"), не имея четких их определений. Тарский взялся исправить эту ситуацию и создал метод определения истины для формальных языков. Важнейшей, на мой взгляд, особенностью определения истины Тарского является то, что понятие истинности высказываний какого-либо языка L определяется не на самом этом языке, а на его метаязыке - т.е. более широком языке, на котором можно говорить о высказываниях языка L. Если здесь возможно выйти за пределы языков формальной логики и рассмотреть некий всеобщий человеческий язык, т.е. совокупность всех высказываний, которые человек теоретически в состоянии сделать на любом естественном языке, языке математических формул, языке программирования и т.п., то получается, что истинность этих высказываний может быть определена только на метаязыке, т.е. языке более широком, и потому автоматически выходящем за пределы познаваемого человеком.

"Г-сподь Б-г ваш - истина", - так завершается главная еврейская молитва "Шма".

Лучшие вопросы туристов в Риме

2009-05-19T20:24:00.002+03:00

В Сикстинской капелле: "А где же Сикстинская Мадонна?"
На площади Навона: "А кто такой Навон"?
В соборе Св. Петра:
Экскурсовод: "Вот какого надгробного памятника удостоился скромный рыбак из Галилеи".
Турист: "А Галилея что, названа в честь Галилео Галилея"?

Network access blocked to a server

2009-04-13T15:16:00.003+03:00

A domain controller running Windows 2003 Server SP1 ran out of disk space. When I tried to connect to it to clean up the disk, I found that the server was not accessible from network. Even ping didn't work. I logged in to the server's console and found the following events in the system log:

Source: IPSec
Event ID: 4294
Description:
The IPSec driver has entered Secure mode. IPSec policies, if they have been
configured, are now being applied to this computer.

Event type: Error
Source: IPSec
Event ID: 4292
Description:
The IPSec driver has entered Block mode. IPSec will discard all inbound and outbound 
TCP/IP network traffic that is not permitted by boot-time IPSec Policy exemptions. 
User Action: To restore full unsecured TCP/IP connectivity, disable the IPSec 
services, and then restart the computer.  For detailed troubleshooting information, 
review the events in the Security event log.

The explanation was found in the following Microsoft KB article: http://support.microsoft.com/kb/912023. Apparently, the IPsec security policy registry key got corrupted, and IPsec panicked and blocked all access to the computer. The solution was, as described in the KB article in detail, to remove the following registry key: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local.

Первоапрельские тезисы - 2009

2009-04-12T14:19:00.008+03:00

С некоторым опозданием, сводка первоапрельских новостей.

В мире высоких технологий. Netcraft сообщает о резком всплеске популярности браузера Lynx вследствие массовых проблем с безопасностью в других браузерах. Особенно популярен стал Lynx на банковских сайтах.

Google сообщает о запуске CADIE, первой в мире системы с подлинным искусственным интеллектом.

Opera вводит с своем браузере новую возможность: управление выражением лица (face gestures): "By using an internal technology dubbed Face Observation Opera Language, we are able to recognize pre-determined facial expressions and match them to commands on the Opera browser."

Qt Software запустило новое сообщество: qtoverload.com.

The eBook Russia сообщает о новом устройстве для чтения с революционно изогнутым экраном.

IETF выпустило RFC5514, предлагающий новый способ решения проблемы внедрения IPv6: IPv6 over Social Networks

Издательство O'Reilly готовит новую книгу "Mastering cat", посвященную UNIX-ной команде cat, и публикует интервью с автором.

Наконец, газета Guardian переходит с бумажного издания на Twitter.

Переходим к новостям политики. Жена Ющенко (якобы) сообщила своему мужу-президенту, что снова беременна. На сайте программы Подробности сообщили, что Кабмин ввел временную администрацию в НБУ (кто бы ввел временную администрацию а Кабмин?). Korrespondent.net не очень смешно пошутил, что Валуев уходит в монастырь (ссылку дать не могу, новость снята). Зато их же шутка о том, что с 1-го мая в Киеве будут продавать не более одной бутылки водки в руки имела большой резонанс, так что Киевской администрации пришлось даже выступать с официальным опровержением.

В Бельгии пошутили, что королевский дворец продадут российскому бизнесмену.

Наконец, Паше Бернштаму присвоено очередное воинское звание.

Setting ip IPsec tunnel from Linux to Cisco PIX

2009-04-11T16:01:00.004+03:00

In this post I am going to put down my experience setting up a IPsec tunnel from a Linux router to a Cisco PIX device. I'll explain the setup, the solution, and the pitfalls encountered along the way.

Setup

We have a LAN using IP subnet 192.168.0.0/22, connected to the Internet through a Linux router, whose external IP address is 80.1.1.1 (address made up for the sake of example, of course). The goal was to connect to a network within customer's LAN through IPsec tunnel. The destination net was 194.1.1.2/32 (yes, the netmask here is 32, since this actually was a single host; but I'd like to talk about it as a subnet, because in the case of a true subnet our solution would be the same, just netmask would have less bits). Even though the destination's IP address is "external-looking", it is blocked off the Internet by a firewall and is only reachable through IPsec via an external gateway whose address is 194.1.1.1. The following crude ASCII art diagram illustrates the setup:

                              80.1.1.1     
   Our LAN     |------------|/              
---------------+Linux router+--------------|
192.168.0.0/22 |------------|              |
                                           |
            IPsec tunnel                   |
    ---------------------------------------|
    |194.1.1.1
    |         \|---------|  Dest. subnet
    |----------+Cisco PIX+----------------
               |---------|  194.1.1.2/32

Additional complication was that our IP address range 192.168.0.0/22 was in use in the customer's LAN, thus we could not allow our packets to go into their network with their original source IP addresses. To circumvent this, our first step was to set up SNAT to masquerade all our outgoing packets as coming from IP address 172.16.1.1.

The Cisco PIX was managed by the customer, and thus outside of our control. I was responsible to set up our Linux router.

Solution

Now I will jump forward and describe the solution that worked.

Some theory on IPsec and indispensable guidance on setting up IPsec in Linux can be found at Linux IPsec HOWTO. The solution below was based on the information obtained from the HOWTO.

SNAT

As mentioned above, our first step was to set up SNAT for our packets going off to the customer's net:

iptables -t nat -A POSTROUTING -d 194.1.1.2/32 -j SNAT --to-source 172.16.1.1

Note that this is independent of IPsec. It just tells the kernel to masquerade any packets going out to 194.1.1.2/32 as coming from source address 172.16.1.1 (which does not need to correspond to any physical network interface of the router). Before any tunnel was set up, I could test the SNAT by pinging 194.1.1.2 and watching the source address of outgoing packets with tcpdump.

Kernel security policy

The next step is to set up kernel's security policy. Simply put, we need to tell the kernel that whenever it sees a packet going to 194.1.1.2/32 it has to send it through tunnel that runs from 80.1.1.1 (our external address) to 194.1.1.1 (customer's external address). This is achieved with the following script:

#!/bin/sh

SRCNET="172.16.1.1/32"
DSTNET="194.1.1.2/32"
TUNNEL_LOCAL="80.1.1.1"
TUNNEL_REMOTE="194.1.1.1"

/sbin/setkey -c  >/dev/null 2>&1 << EOF

spdadd $SRCNET $DSTNET any -P out ipsec
            esp/tunnel/$TUNNEL_LOCAL-$TUNNEL_REMOTE/require
            ;

spdadd $DSTNET $SRCNET any -P in ipsec
            esp/tunnel/$TUNNEL_REMOTE-$TUNNEL_LOCAL/require
           ;
EOF

Note that we only tell the kernel to use ESP and not AH. Many sources would tell you to use both, and this is a good thing to do; it's just that in our case, for some reason, the customer insisted on using ESP only. Also note that the SRCNET is set to 172.16.1.1/32, as the SNAT we set up earlier will modify the packets' source addresses before IPsec sees them. Had we not used SNAT, SRCNET would have been 192.168.0.0/22.

Now the kernel knows when to use the tunnel, but to create the tunnel a security association should be set up between our router and the remote Cisco box. This is the job of racoon daemon, and I'm moving on to describe its configuration.

Racoon and ISAKMP

Racoon speaks ISAKMP protocol in order to create the tunnel. A detailed description if ISAKMP is outside the scope of this post, but it is important to know that creation of the tunnel proceeds in two phases. At phase 1 racoon negotiates a preliminary secure connection to the remote site called ISAKMP Security Association (SA). At phase 2, using the existing ISAKMP SA, it is able to privately talk to the remote site and negotiate the parameters of the IPsec tunnel itself. At phase 2 the actual IPSec Security Association (SA) is created.

There are many details of ISAKMP that racoon needs to negotiate with the remote end of the tunnel. Description of them all is outside of our scope now. Our customer wanted to use the following parameters:

Phase 1:

Authentication Method: RSA-Key
Diffie-Hellman Group: 5 (1536 bit)
Encryption Algorithm: AES-256
Data Integrity Algorithm: SHA-1
Use aggressive mode: No
Lifetime: 86400s (1 day)

Phase 2:

Encapsulation (ESP or AH): ESP
Encryption Algorithm: AES-256
Authentication Algorithm: SHA-1
Perfect Forward Secrecy: No
Lifetime: 3600s (1 hour)

Let's to go over these requirements and try to make sense of them.

Phase 1:

Authentication Method: RSA-Key. There are several possible authentication methods, such as pre-shared key or RSA keys (or, rather, X509 certificates). We are going to use certificates.
Diffie-Hellman Group: 5 (1536 bit). Diffie-Hellman algorithm is used to exchange session keys between the IPsec peers. The "group" is one the algorithm's parameters. The important thing is that both peers use the same value.
Encryption Algorithm: AES-256. This just means that out of the multitude of encryption algorithms they want to use AES with 256-bit long keys.
Data Integrity Algorithm: SHA-1. Similarly this just means that of all the hash algorithms they want to use SHA-1.
Use aggressive mode: No. Aggressive mode is an optional feature of Phase 1 negotiation that "reduces the number of round-trips at the expense of not providing identity protection" (RFC2408). They don't want to use it. I guess they care about identity protection.
Lifetime: 86400s (1 day). This means that the ISAKMP SA that we establish at Phase 1 will have lifetime of 1 day, and after that will have to be renegotiated.

Phase 2:

Encapsulation (ESP or AH): ESP. IPsec uses two protocols, ESP and AH. For some reason, they only want to use ESP (this is why when setting up kernel security policy above I told it to use ESP only).
Encryption Algorithm: AES-256. Just using the same encryption algorithm as in Phase 1.
Authentication Algorithm: SHA-1. Just using the same hash algorithm as in Phase 1.
Perfect Forward Secrecy: No. Perfect Forward Secrecy is an optional feature of Phase 2 negotiation, which means that "disclosure of longterm secret keying material [RSA private key in our case] does not compromise the secrecy of the exchanged keys from previous communications". For whatever reason, they don't want to use it.
Lifetime: 3600s (1 hour). This means that the IPsec SA that we establish at Phase 2 will have lifetime of 1 hour, and after that will have to be renegotiated, so that if anyone is eavesdropping on us, they won't have much time to brute-force our keys.

The above requirements translate into the following racoon config that can be added to /etc/racoon/racoon.conf. The comments in the config below explain how config directives correspond to the requirements.

# The following section tells racoon how to conduct Phase 1 
# negotiation to the remote peer 194.1.1.1
remote 194.1.1.1
{
  # We are NOT using aggressive mode, therefore the mode is "main"
  exchange_mode main;
  # The peer identifies themselves by their IP address. See below in "Pitfalls" 
  # section on why this directive was necessary.
  peers_identifier address;
  # We will not verify the peer's certificate. See below in "Pitfalls" 
  # section on why this directive was necessary.
  verify_cert off;
  # The following line specifies the location of our certificate and private key
  certificate_type x509 "ipsec.cer" "ipsec.key";

  proposal {
    # for encryption algorithm we will use AES 256
    encryption_algorithm aes 256;
    # for hash algorithm we will use SHA1
    hash_algorithm sha1;
    # we will authenticate with X509 certificate (called rsasig here)
    authentication_method rsasig;
    # We will use Diffie-Hellman group 5
    dh_group 5;
    # Lifetime of phase 1 association will be 24 hours
    lifetime time 86400 sec;
  }
}

# The following section tells racoon how to conduct Phase 2
# negotiation for packets exchanged between subnets 172.16.1.1/32 and
# 194.1.1.2/32. Notice that here we use "internal" source and destination
# subnet addresses, and NOT tunnel endpoint addresses.
sainfo address 172.16.1.1/32 any address 194.1.1.2/32 any
{
  # Lifetime of Phase 2 association will be 1 hour
  lifetime time 1 hour ;
  # for encryption algorithm we will use AES 256
  encryption_algorithm aes 256 ;
  # for authentication algorithm we will use SHA1
  authentication_algorithm hmac_sha1;
  # For compression algorithm we will use "deflate". This wasn't in the specs,
  # but it's the default
  compression_algorithm deflate ;
}

Pitfalls

IPsec is a complex protocol and many are the pitfalls on the road to a successful IPsec tunnel.

Parameters

Parameters offered by the initiator side (such as encryption algorithms, lifetimes, Diffie-Hellman group, etc.) must be exactly the same as expected by the remote side. In theory ISAKMP is supposed to negotiate the parameters, but in practice I found that even the slightest difference led to failed negotiation. The problem is aggravated by the fact that different implementation of IPsec (in our case that of Linux and Cisco PIX) use different configuration syntax and slightly different terminology, so that translating the requirements of Cisco PIX into the configuration language of racoon is not always straightforward.

Identification

In IPsec each party identifies itself to the other party and presents credentials to prove their identity. The protocol allows for several forms of identification, such as:

By IP address (i.e. a peer says "I am the owner of this IP address")
By DNS name (i.e. a peer says "I am the owner of this DNS name")
By distinguished name from an X509 certificate (i.e. a peer says "My DN is as follows")

etc. When you configure a tunnel, you need to specify which form of identification you use. When your credential is an X509 certificate, the best choice is identification by distinguished name, because the certificate is exactly the kind of credential that proves that the DN belongs to you. This form of identification is achieved by the following line in racoon configuration:


my_identifier asn1dn;

However, our customer configured its Cisco to identify itself by IP address. How does one prove with an X509 certificate that the IP address is his? Well, racoon expects that the certificate in this case will have an subjectAltName attribute with the value "IP:xx.xx.xx.xx" (where xx.xx.xx.xx is the peer's IP address). Unfortunately, our customer's certificate did not have such attribute. To work around, I had to turn off the certificate validation with "verify_cert off;" directive.

Tunnel stability

Unfortunately, the tunnel proved to be unstable. Approximately once in several days the remote end would terminate the ISAKMP association. This is not a problem in itself, since racoon is capable of re-negotiating the association when needed. However, apparently the remote end also terminates the IPsec association, but racoon does not notice this; thus it continues to use the IPsec association that the remote end no longer accepts and no data comes through.

In about an hour's time racoon will expire the IPsec connection and re-negotiation a new one, so the tunnel will be re-established. If you can't wait, you can force the renegotiation. One way to do it is to delete all security policy entries with setkey -F command. Another is to remove the IPsec association with racoonctl command (see manpage for details).

Anathem: Bunjo and proton decay

2009-03-11T20:58:00.006+02:00

From Neal Stephenson's Anathem:

Bunjo was a Millenarian math built around an empty salt mine two miles underground. Its fraas and suurs worked in shifts, sitting in total darkness waiting to see flashes of light from a vast array of crystalline particle detectors. Every thousand years they published their results. During the First Millennium they were pretty sure they had seen flashes on three separate occasions, but since then they had come up empty.

Compare this to the following paragraph from Lee Smolin's book "The Trouble with Physics" that tells the story of failed attempt to detect proton decay - the effect that, if observed, would confirm a wonderful physical theory known as SU(5):

... all you had to do was surround the tank with detectors and wait. Funds were raised, and huge tanks were built in mines deep underground. The result were impatiently awaited.
Alter some twenty-five years, we are still waiting. No protons have decayed.

Add to it that Stephenson specifically lists Smolin's book among the sources for Anathem at his Acknowledgements page, while Stephenson's praise for the book is printed on its back cover, and it's easy to imagine that the former quote is a joke at the expense of the latter.

Anathem: Iconographies

2009-02-14T11:37:00.010+02:00

Having finished Neal Stephenson's Anathem I feel like making a few notes.

First and foremost, it's a great book.

For the rest of this post I'll try to decipher some of the iconographies from the book.

Temnestrian Iconography:
It depicts us as clowns... But… clowns with a sinister aspect. [...] [Originates from] The Cloud-weaver, a satirical play by the Ethran playwright Temnestra that mocks Thelenes by name and that was used as evidence in his trial.
This is a reference to The Clouds, a satirical play by the Athenian playwrite Aristophanes that mocked Socrates and contributed to the latter's trial. That Thelenes is Arbre's Socrates is evident from many other references.
Doxan Iconography:
[Originates from] A Praxic Age moving picture serial. An adventure drama about a military spaceship sent to a remote part of the galaxy to prevent hostile aliens from establishing hegemony, and marooned when their hyperdrive is damaged in an ambush. The captain of the ship was passionate, a hothead. His second-in-command was Dox, a theorician, brilliant, but unemotional and cold.
This must be obvious to the American audience, but took me a while to figure out. The moving picture serial is Star Trek, the ship is USS Enterprise, the passionate captain is Kirk, the unemotional and cold theorician is Spock.
Yorran Iconography. This one is from "an illustrated book", but "later they made moving pictures of it":
Yorr is identified as a theorician, but if you see how he actually spends his time, he’s really more of a praxic. He has turned green from working with chemicals, and he has a tentacle sprouting from the back of his skull. Always wears a white laboratory smock. Criminally insane. Always has a scheme to take over the world.
Must be another American pop culture reference. I am not sure, but thinking of Lex Luthor, the arch-enemy of Superman.
Muncostran Iconography:
Eccentric, lovable, disheveled theorician, absent-minded, means well
Saunt Muncoster is Arbre's Einstein, as evidenced by this depiction, as well as the more direct reference in Glossary: "A theor of the late Praxic Age, responsible for crucial advances in what is called, on Earth, general relativity".

Наблюдение

2009-01-04T18:19:00.001+02:00

Сейчас две основные темы новостей: газ и Газа.

Обзоры книг

2008-12-27T17:56:00.007+02:00

Решил поместить здесь несколько мини-обзоров книг по программированию, которые я написал ранее для корпоративного сайта.

С. Макконнелл, "Совершенный код"

Книга посвящена конструированию, т.е. собственно написанию кода. Прекрасный свод советов и правил по написанию "совершенного" кода. Для начинающего программиста незаменимый учебник, но и самому опытному программисту будет полезна для систематизации знаний.

Мартин Фаулер. Архитектура корпоративных программных приложений

Основательный труд по систематизации типовых решений (patterns) для проектирования корпоративных приложений. Автор рассматривает общие проблемы, т.е. на что вообще нужно обращать внимание при разработке архитектуры, и затем предлагает серию типовых решений для каждой проблемы. Книга полезна и как введение в область проектирования корпоративных приложений, и как справочник. К сожалению, автор в основном рассматривает Web-based приложения, и вопросы, типичные для приложений с "толстым клиентом", не рассматривает.

Недостатком книги, на мой взгляд, является порядок изложения. В первой части автор дает обзор проблем, стоящих перед архитектором корпоративных систем, ссылаясь при этом на типовые решения, которые рассматриваются только во второй части. Т.о. понять первую часть зачастую трудно. Рекомендую читать книгу в таком порядке: сначала вводную главу 1, потом вторую часть, где рассматриваются типовые решения, и затем остальные главы первой части, проясняющие где, когда и зачем применять эти типовые решения.

Не могу также не отдать должное переводчику книги на русский язык, который перевел "design pattern" как "типовое решение". Перевод далекий от дословного, но очень удачный по смыслу и гораздо лучше неуклюжих "шаблонов" или даже "паттернов проектирования", встречающихся в других переводах - гениально.

Gamma, Helm, Johnson, Vlissides. Design Patterns

Классическая книга по Design Patterns, известная также как "Gang of Four". Написана в академической манере, подробно и основательно. В книге три основных части. В первой части объясняется, что такое Design Patterns и для чего они нужны. Во второй части на примере проектированя текстового редактора объясняется как Design Patterns возникают в реальной жизни. Третья часть представляет собой каталог 23-х базовых Design Patterns общего назначения. Описание каждого объясняет, откуда этот pattern взялся, когда его следует применять, как реализовывать, для пояснения используются диаграммы и примеры кода. Книгу можно использовать и как учебник, и как справочное пособие.

По-моему, эту книгу обязан прочитать каждый программист, который имеет дело с объектно-ориентированными языками.

Гради Буч и др. Объектно-ориентированный анализ и проектирование с примерами приложений

Книга считается классическим трудом по объектно-ориентированному анализу и проектированию. Тем не менее, меня разочаровала. Книга состоит из трех частей: Концепции, Метод и Приложения. Первая часть содержит глубокий разбор основных концепций объектно-ориентированного анализа и проектирования: абстрация, объектная модель, классы, иерархия и т.п. Не совсем понятно, на кого ориентировано это изложение. Опытный программист уже знаком с этими концепциями, а начинающему будет сложно их понять из-за весьма тяжелого научного стиля изложения. Скорее всего, авторы ориентируются на тех, кто занимается computer science именно как science.

Вторая часть, Метод, посвящена методологии и процессу объектно-ориентированной разработки. Опять-таки непонятно, на кого ориентировано изложение. Как введение в этот круг вопросов книга слишком тяжело читается, а отсутствие примеров делает многие утверждения непонятными. При этом широта охвата не позволяет авторам серьезно углубиться в какой-либо конкретный вопрос.

Третья часть, Приложения, описывает применение описанных ранее подходов для проектирования нескольких приложений. Эта часть наиболее интересна. Рассматриваются следующие системы:

Система спутниковой навигации. Проделывается очень высокоуровневое проектирование систем
Система контроля движения поездов. Рассматривается выработка требований
Криптоаналитическая система. Рассматривается более детальное проектирование. Интересно с точки зрения ознакомления с системами искусственного интеллекта
Система сбора данных с метеостанции. Рассматриваются вопросы embedded систем
Web-система планирования отпусков. Рассматриваются вопросы web-систем.

В целом, книга, безусловно, является серьезным научным трудом, но ценность ее для программиста-практика для меня не ясна. Третья часть содержит некоторые интересные моменты, да и то не вся.

Fritz Onion. Essential ASP.NET with Examples in C#

Книга последовательно и доходчиво объясняет принципы технологии ASP.NET. Мне понравилась тем, что описывает архитектуру и "как это работает внутри". Освещаются такие темы как веб-формы, конфигурация (web.config), диагностика и обработка ошибок, валидация, data binding, custom controls, кеширование, state management и безопасность.

Для понимания книги нужно знать немного C#, предварительных знаний по .NET не требуется.

К сожалению, книга посвящена ASP.NET версии 1.1, а в 2.0 уже много поменялось. Также хочу отметить, что прочтя эту книгу уже понимаешь, как работает ASP.NET, но еще не можешь писать ASP.NET-сайты сам; для этого нужно еще прочесть какую-нибудь более практическую книгу, например "ASP.NET 2.0 Website Programming" (см. ниже).

Marco Bellinaso. ASP.NET 2.0 Website Programming: Problem - Design - Solution

Книга по программированию на ASP.NET 2.0, построенная на примерах. Автор описывает создание веб-сайта для вымышленного пивного кабака (!), последовательно добавляя к нему функциональность, т.о. демонстрируя возможности ASP.NET 2.0 и как их использовать.

Помимо прочего демонстрируется использование master pages, membership (системы пользователей/групп и их прав), создание новостей, статей, опросов, email-рассылки, форумов, электронного магазина, персонализация и локализация. В завершение обсуждается deployment сайтов на ASP.NET 2.0.

Для понимания книги необходимо уметь читать код на C# и иметь базовое представление о ASP.NET.

Как Касперский тормозит почту

2008-12-27T17:33:00.003+02:00

С некоторых пор стал наблюдать следующую картину на почтовом сервере: в очереди sendmail'а стоят письма, адресованные локальным пользователям, но не доставляются. Более того, письмо часто адресовано целой группе пользователей, но доставка затыкается на ком-то одном, и все, кто в списке после него, письмо не получают.

Посмотрим, нет ли блокировок почтовых ящиков:


# cd /var/spool/mail
# ls *.lock
lz.lock
#

Ага, один ящик заблокирован (здесь я описываю на примере моего ящика lz, хотя в жизни это были ящики других пользователей). Посмотрим, кто его использует:


# fuser -v lz
                     USER        PID ACCESS COMMAND
lz:                  lz        20384 F.... pop3
                     lz        20476 F.... procmail
#

Похоже, процесс pop3-сервера занял ящик, поэтому procmail не может открыть его на запись. Проверим:


# lsof -p 20384 
COMMAND   PID USER   FD   TYPE   DEVICE     SIZE     NODE NAME
...
pop3    20384   lz    9uR  REG    253,3 11922701 16680817 /var/spool/mail/lz

(здесь число послее опции -p команды lsof - это PID, который вывела команда fuser; и я опустил все строки в выводе lsof, кроме интересующей меня).

Действительно, файл заблокирован на чтение (о чем говорит большая буква R в колонке FD). Но с какой стати процесс pop3 это сделал? Казалось бы, он должен выдать клиенту все сообщения и "отвалить". С помощью strace'а я посмотрел, чем был занят процесс pop3 - оказалось, периодически получает от клиента команды NOOP, и все. Зачем клиент посылает эти команды и не отключается? Я проверил поведение Outlook Express'а на своем компьютере - как и ожидалось, он подключался, забирал почту и отключался, т.е. не висел и команд NOOP не посылал.

Далее я заметил, что пользователи, чьи ящики таким странным образом блокировались, были все время одни и те же. Это побудило меня тщательно обследовать их компьютеры. И тут на сцене появился герой этой заметки - антивирус Касперского. На компьютерах всех пользователей, страдавших от блокировки, работал почтовый антивирус. Отключили почтовый антивирус - проблема ушла.

И черт с этим почтовым антивирусом, все равно почту проверяет ClamAV

Forcing Sendmail to talk plain SMTP

2008-11-23T11:50:00.003+02:00

While routinely checking out our mail queue I noticed a message stuck in it with an explanation I never saw before:


Deferred: 402 4.5.2 Error: command not recognized

Command not recognized? What is that supposed to mean? I ran sendmail -q -v manually and observed the following dialogue:


>>> 220 *******************************
<<< EHLO csltd.com.ua
>>> 402 4.5.2 Error: command not recognized
<<< QUIT
>>> 221 2.0.0 Bye

It looked like the remote mail server did not recognize Extented SMTP EHLO command. However, instead of replying with 500 error code (as it should when it does not recognize a command), it replied with 402 "temporary failure" code. Had it replied with the correct 500 code, our Sendmail would fall back to normal SMTP and retry with HELO command. But with 402 reply our Sendmail deferred the message.

Further analysis showed that the remote site deployed an overly clever Cisco firewall that filtered SMTP traffic. The firewall was configured (intentionally or not) to allow only plain SMTP commands. Anything else, including ESMTP EHLO, it replaced with XXXX. On top of that, the mail server software replied with an incorrect error code to the unknown command.

What a mess. How could I work around this? I had to force our Sendmail to talk plain SMTP to that particular remote server. This can be easily done with mailertable. Assume for the sake of example that the remote domain was brokensmtp.com. In /etc/mail/mailertable, I added the following entry:


brokensmtp.com       smtp:brokensmtp.com

The key here is that I specify smtp mailer instead of the default esmtp. Ran make in /etc/mail directory to rebuild the mailertable, and the issue was solved.

Windows 2003 Server cannot access Samba share

2008-11-07T12:21:00.006+02:00

We migrated a certain application from a Windows XP workstation to Windows Server 2003 and faced the following issue. The Windows Server 2003 computer could not access a share on a remote Samba server that is running in security = server mode. Attempts to access the remote share resulted in this error message:


\\server is not accessible. You might not have permission to use this network resource. Contact the administrator of this server to find out if you have access permissions.

The request is not supported.

For various reasons we could not change the Samba server security mode to ADS. A workaround, however, was found here.

On Windows Server, start Local Security Policies, navigate to Local Policies --> Security Options. Open the "Network Security: LAN Manager Authentication Level" setting and set it to "Send LM and NTLM responses".

After that, remote Samba share is accessible. No reboot necessary.

Анекдоты о кризисе

2008-11-01T11:17:00.003+02:00

- Папа, а нас кризис затронет?

- Сынок, это олигархов он затронет, а нам - капец.

***

Только в Украине! Закажите финансовый кризис, и получите в подарок политический!

***

Как поступает премьер-министр, если за два дня курс национальной валюты обваливается на 25 %, инфляция за год составляет 20%, производство падает на 4%, половина металлургических комбинатов остановлена, 5 системных банков на грани банкротства?

В Голландии - сдает в бюджет все семейные ценности и ездит на велосипеде.

В Англии - уходит в отставку и пишет покаянные мемуары.

В Японии - совершает харакири.

В Украине - выигрывает парламентские и президентские выборы...

***

-Почему цена нефти в мире падает, а бензина в Украине - растет?

-Видимо, дорожает то, чем у нас бензин разбавляют.

"Failed to set servicePrincipalNames" Samba error

2008-10-25T12:04:00.003+03:00

I was trying to join a Samba server to an Active Directory domain with a standard command:


net -U administrator ads join

Unexpectedly, the command failed with the following message:


Failed to set servicePrincipalNames. 
Please ensure that the DNS domain of this server matches the AD domain, 
Or rejoin with using Domain Admin credentials.
Disabled account for 'SERVERNAME' in realm 'DOMAIN'

I was puzzled, since DNS domain name was correct, and I was using Domain Admin credentials.

After some searching, I came upon an advice here to check /etc/hosts. And indeed, the file contained an entry created by my distribution (Fedora) setup process which looked like:


SERVER_IP_ADDRESS SERVERNAME

Where SERVERNAME was a short name (without domain). Changing it to


SERVER_IP_ADDRESS SERVERNAME.DOMAIN

or just removing it resolved the issue. Rather weird.

Украинизмы

2008-09-15T19:03:00.022+03:00

Я уже писал о трудностях перевода, но не подозревал, что украинские журналисты столкнутся с трудностями при переводе с украинского на русский. В этой заметке я собираю украинизмы в русскоязычных статьях на популярном украинском новостном сайте Korrespondent.net.

http://korrespondent.net/ukraine/politics/583232:
Батькивщина молодая обратилась к СБУ и прокуратуре с требованием немедленно выучить ситуацию и принять меры...

Выучить, причем желательно наизусть. Украинское слово "вивчити" переводится и как "выучить" и как "изучить". В данном случае, конечно, имеется в виду второй вариант значения.
http://korrespondent.net/ukraine/events/585967:
Во Львове за сутки уничтожили уникальную памятку истории.

Украинское слово "пам'ятка" переводится как "памятник". В русском языке слово "памятка" имеет другое значение.
http://korrespondent.net/ukraine/politics/582034:
Безусловно, состоится полное и радикальное искривление волеизъявления избирателей

Если бы речь шла о "викривленні простору", то это было бы "искривление пространства". А "викривлення волевиявлення" это все-таки "искажение волеизъявления".
http://korrespondent.net/sport/519660:
Из данных исследования выплывает закономерность...

Выплывать могут расписные челны из-за острова на стрежень. Украинское слово "випливає" в этом контексте нужно перевести "вытекает".
http://korrespondent.net/ukraine/politics/586801:
... во втором туре, в котором принимают участие две партии (блоки), что набрали наибольшее количество голосов избирателей во время первого тура

По-русски это будет "набравшие наибольшее количество голосов" или в крайнем случае "которые набрали наибольшее количество голосов". В украинском языке нет формы "набравшие", поэтому говорится "що набрали", но по-русски так не говорят.
http://korrespondent.net/business/economics/587065:
Европейский союз и Украина планируют провести дежурный раунд переговоров относительно создания зоны свободной торговли в октябре 2008 года

Украинское слово "черговий" означает не только "дежурный", но и "очередной". Впрочем, учитывая перспективы этих переговоров, раунд и вправду можно назвать "дежурным", но это уже другая история.
http://korrespondent.net/ukraine/politics/590228:
Господину Вакарчуку также нужно пойти из должности министра...

No comment. Калька с "пійти з посади". Может они автоматическим переводчиком переводят?
http://korrespondent.net/business/companies/596680:
Бюджетные авиалинии на Близком Востоке и Северной Африки Air Arabia объявили про свои намерения с 15 октября 2008 года осуществлять полеты в столицу Украины, Киев, из узлового аэропорта в Шардже, ОАЭ.

"Близкий" Восток и "про" намерения - это украинизмы, а остальное - просто безграмотность. Не все журналисты умеют правильно впотребить нужёных падежов.
http://korrespondent.net/ukraine/events/597200:
...рассказывается о подготовке и совершении убивства проводника ОУН Степана Бандеры

Не знал, что Бандера служил проводником.
http://korrespondent.net/ukraine/politics/608659:
...о каких именно изменениях в держаного бюджет идет речь...

Да уж, о каких изменениях здесь может идти речь...
http://korrespondent.net/ukraine/events/618617:
Владимир Литвин считает, что в Украине полная деградация в области образования... "Балл правит агрессивная серость. Чем глупее человек, тем выше он сидит", - считает Литвин.

Это уже не украинизм, я подтверждение слов Литвина - грамотность журналистов у нас на таком же уровне, как все остальное.
http://korrespondent.net/ukraine/politics/645470:
Блок Литвина не берет участия в консультациях относительно новой кандидатуры на должность главы Верховной Рады

Не берет, кто ж ему даст...
http://korrespondent.net/business/economics/649508:
Указ набирает силу с момента его опубликования...

Как опубликовали, так и набирает силу, не по дням, а по часам. По-украински действительно "указ набирає чинностi" (вступает в силу).

Forcing Domain Admins to be local admins on domain computers

2008-09-06T16:49:00.028+03:00

All network administrators want to be able to administer user workstations remotedly. Often this requires the administrator to be a member of the local Administrators group on the user workstation. A simple way to ensure this is to have Domain Admins group to be a member of local Administrators group on each computer. Not surprisingly, this is the default situation on all Windows computer that are domain members.

However, if your users are local admins on their computers, sometimes you can find yourself in a situation when a clever or misguided user removed Domain Users from their local Administrators group. Also, sometimes you want some less privileged group than Domain Admins to be local admins on all computers - for example a group of network administrators that are assigned to manage user computers but are not eligible to administer the domain. In both cases you face a problem: how to ensure that a certain domain group is always a member of local Administrators group on each domain member computer?

Group policy to the rescue. Below I describe how to achieve this goal, as well as the pitfalls and shortcomings of this seemingly simple solution.

The key to the solution is to configure a feature in Group Policy called "Restricted Groups". In the following steps I will assume that you want to make Domain Admins part of local Administrators, but you can use any other group that you want.

Fire up Group Policy Management Console and locate your default domain policy (or any other Group Policy Object you want to use for this configuration). Right-click it and select edit. In the Group Policy Editor navigate to Computer Configuration\Windows Settings\Security Settings\Restricted Groups. Right-click and select "Add Group". Browse for your Domain Admins group. You should now arrive at the dialog box that looks like this:

First, in the top part of the dialog window, press "Add..." and add all the members of your Domain Admins group here. This seemingly extra step is necessary, because when the Group Policy is applied, it will change the membership of the group to the one specified here. If you don't list all your Domain Admins members here, you will wipe out your Domain Admins group! So, be careful and specify all relevant members here.

Now you are ready to do what you came here for. In the bottom part of the dialog, press "Add..." and type in Administrators group name. Note: do not use "Browse..." button, just type in the name. The dialog will now look like this:

Click OK and you are done. Once Group Policy applies to domain member computers, Domain Admins will become part of local Administrators group if not already there.

Caveats

Unfortunately, there are issues with this solution that you must be aware of. They all stem from the fact that Group Policy matches the Restricted Groups by name rather then SID; i.e. when the policy applies your Domain Admins will become a member of a group named Administrators; but it's not this name that makes this group special, it's its well-known SID. Let's see what implications this has.

For one, a malicious user may simply rename the local Administrators group (e.g. call it Admins), and it will completely defeat our trick, because Group Policy won't find a group named Administrators. This said, a truly malicious user will always find a way to prevent Group Policy from applying to his computer or to undo its effect after it applied. Thus we shouldn't even expect Group Policy to help overcome malicious users.

Next, consider international users. The local admin group is called Administrators in English version of Windows, but in other language versions the name is localized. In Russian version of Windows the group is called Администраторы, in Cyrillic. If you have both Russian and English systems in your domain, you can simply add both names to the "This group is a member of" list:

This will work, but has its own problems. Whenever Group Policy applies, it will find either Russian or English version of the Administrators name, depending on the system language. The other name will not be found, and a warning like the following will be logged to the Application system log.


Event Type: Warning
Event Source: SceCli
Event Category: None
Event ID: 1202
Date:  9/4/2008
Time:  1:41:37 AM
User:  N/A
Computer: 
Description:
Security policies were propagated with warning. 0x534 : No mapping between account names and security IDs was done.

Advanced help for this problem is available on http://support.microsoft.com. Query for "troubleshooting 1202 events".

Error 0x534 occurs when a user account in one or more Group Policy objects (GPOs) could not be resolved to a SID.  This error is possibly caused by a mistyped or deleted user account referenced in either the User Rights or Restricted Groups branch of a GPO.
...
[very detailed explanation follows]

That might be not a big deal on a workstation, but on domain controllers the Group Policy applies every 5 minutes, and the Application log will be flooded with these warnings, making it harder to spot more serious warnings, if they occur.

What can we do? Well, this policy doesn't need to apply to domain controllers, they don't even have local groups! So, you can do the following:

create a new GPO;
make the Restricted Groups configuration there and not in Default Group Policy;
make the GPO apply to Domain Computers group only (which does not include domain controllers). For this add Domain Computers group in the "Security Filtering" section of Group Policy Management Console for this GPO and remove any other groups that were there, like this:

That gets rid of the flood of warning on domain controllers. An occasional warning in member servers' and workstations' logs can be tolerated, but if not, you have a way to get rid of them. For that you will need to create two separate GPOs and make them apply to either English or Russian systems with WMI Filters.

Using WMI Filters

So, back in Group Policy Management Console, create a new GPO. Let's call it "Russian language-specific policy". Make it apply to Domain Computers as described above. Now, under WMI Filters, in the Group Policy Management Console's left-hand tree, select "New" from the context menu to create a new filter with the following condition:

select * from Win32_OperatingSystem where OSLanguage = 1049

Your "New WMI Filter" dialog will look as follows:

Make the filter apply to the GPO by selecting the filter from the drop down list in the "WMI Filtering" section of Group Policy Management Console:

Voila, you have a GPO that applies only to domain computer with Russian version of Windows. Now you can configure Restricted Groups in it using the Russian name "Администраторы".

Repeat the same steps to configure "English language-specific policies" with a similar WMI Filter:

select * from Win32_OperatingSystem where OSLanguage = 1033

Now you can configure Restricted Groups in it using the English name "Administrators".

Somewhat complicated, but now you have different policies that apply to different language versions of Windows. Was it worth it? In this case probably not, but it's an interesting exercise and the technique may help you in other situations.

Еще о трудностях перевода

2008-06-06T09:51:00.003+03:00

Читаю распечатку компьютерной диагностики автомобиля. На странице "Спецификация автомобиля" написано "Трансмиссия: руководство". Долго думал, что за тип трансмиссии такой. Догадался: это перевод "Transmission: manual". Действительно, коробка передач у нас ручная.

Corrupt Winbind IDMAP database

2008-05-19T13:17:00.003+03:00

After a Samba server crashed due to a power failure, several users could no longer access it shares. When access was attempted, password dialog was shown and the correct password was not accepted. Strangely, the problem affected only some users, while others continued to work in Samba shares successfully.

The Samba server's /var/log/messages showed the following errors:

May 19 12:48:05 server winbindd[1929]:   tdb(/var/lib/samba/winbindd_idmap.tdb): 
tdb_rec_read bad magic 0x42424242 at offset=102664
May 19 12:48:05 server winbindd[1929]:   Error storing SID -> ID: Corrupt database

So, the problem was that windbindd_idmap.tdb file was corrupted. In this situation, the only sensible solution is to restore the file from a backup. If you don't have a backup, you are out of luck. Best you can do is remove the corrupted file, but it stores the mapping between Windows and Unix user IDs, and as the result file ownership and permission information on the Samba shares will be screwed up.

Фред Брукс. "Мифический человеко-месяц"

2008-04-23T19:45:00.004+03:00

Одна из первых книг по управлению программными проектами, ставшая классической. Книга написана в 1975г. по материалам работы автора над созданием операционной системы OS/360 в IBM в 1965-68гг. Казалось бы, за столько лет индустрия программирования так изменилась, что книга должна была безнадежно устареть. Ничего подобного - устарели только технические моменты, которые не играют в книге важной роли (смешно выглядят советы использовать PL/I и фразы типа "Нередко можно встретить человека, выражающего ужас по поводу того, что в машине, имеющей 2 Мбайт памяти, под операционную систему может быть отведено 400 Кбайт"). Основные идеи книги по-прежнему актуальны - и знаменитый закон Брукса "Если проект не укладывается в сроки, то добавление рабочей силы задержит его еще больше", и "планируйте на выброс" и "эффект второй системы" и т.п.

В 1995-м году вышло юбилейное издание книги, включившее в себя, помимо оригинала, статью автора "No Silver Bullet" 1986г., где он утверждает, что не существует волшебной технологии, способной поднять производительность труда программиста на порядок, разбор критики этой статьи, и новый взгляд на идеи "Мифического человеко-месяца" 20 лет спустя.

Идеи Брукса получили такое большое распространение, что современный программист наверняка уже знаком с ними из других, более современных книг. Так что прочтение этой книги, если не откроет много нового, то поможет понять как развивались представления об искусстве программирования.

HTML-вариант книги можно найти здесь. Текст взят с lib.ru и снабжен более-менее приличным форматированием. Также исправлены наиболее вопиющие опечатки и дефекты перевода. Форматирование максимально адаптировано для чтения в программе Books для iPhone, но будет нормально смотреться в любом средстве просмотра HTML (в т.ч. в любом браузере).

Windows computer can't get IP address from DHCP

2008-04-22T20:33:00.003+03:00

Suppose you configured a Windows computer to obtain IP address automatically via DHCP, but it doesn't work. Ipconfig shows that IP address is 0.0.0.0 and running ipconfig /renew returs errors like "Unknown interface" or "RPC server not available".

The most likely reason for this: DHCP Client service is not running. It is started automatically by default, but some users stop it, because it is not needed when you have a static IP address. Just start the service and ipconfig /renew should get you your IP address.

Apache: How to enable CGI in one user's directory

2008-04-18T20:12:00.007+03:00

Recently I had to configure Apache HTTPD server on a Fedora 7 box to allow CGI script execution in one particular user's public_html directory, yet not allowing it for all users.

Easy, I thought. First, Apache needs to know that a certain file is a CGI script and not a regular web page. Normally CGI scripts live in cgi-bin directory and Apache knows that anything in it is a CGI script by virtue of ScriptAlias directive. But how does it know a file outside of cgi-bin directory is a CGI script? Usually, by the file's extension. To tell Apache that any file with .cgi extension is a CGI script, uncomment the following line in the default httpd.conf (or add it if it's not there at all):


AddHandler cgi-script .cgi

Now Apache knows which files are CGI scripts. So far so good, but how do we tell it that it is permitted to run CGI scripts in a certain directory? We do it with ExecCGI option. Where do we add it? In Fedora, Apache configuration is modular. Instead of adding everything to the main httpd.conf file, and then struggling with it when you upgrade Apache, we add bits of local configuration to files in /etc/httpd/conf.d directory. So, I went ahead, created a new file usercgi.conf in that directory and entered the following directives in it:


<Directory /home/cgiuser/public_html>
  Options +ExecCGI
</Directory>

To my surprise, this didn't work. Apache refused to run CGI scripts in /home/cgiuser/public_html. Giving it more thought, I realized that the files in cond.d directory are included into the main httpd.conf before most of the directives there, and the main httpd.conf has the following part regarding users' public_html directories:


<Directory /home/*/public_html>
    Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec
    ...  
</Directory>

The default directive comes after my custom directive and overrides it. What can we do? There are three approaches:

Brute-force approach. Modify the main httpd.conf to include our custom directive after the default directive. I don't like this though, since it's easy to loose the configuration when upgrading to a newer version of Apache.
Put the user's CGI scripts in a subdirectory of public_html, say public_html/cgi-bin. Then you will be able to turn ExecCGI on this directory on with the usual directives:
```
<Directory /home/cgiuser/public_html/cgi-bin>
  Options +ExecCGI
</Directory>
```
Why does it work for subdirectory? Because a more specific Directory directive (the one with a longer path) always overrides the one that is less specific. Therefore options set for /home/cgiuser/public_html/cgi-bin will override those set for /home/*/public_html.
Use Location directive instead of Directory:
```
<Location ~/cgiuser/>
  Options +ExecCGI
</Directory>
```
Apache always processes Location directives after all Directory directives, thus a Location directive will take precedence.

Google и Харьков

2008-04-16T13:42:00.004+03:00

Что общего между Google и Харьковом? Непосредственно - ничего, но косвенная связь имеется.

В 1960-е годы в МГУ учился талантливый молодой математик Михаил Брин. После окончания МГУ он написал диссертацию, но в те годы еврею защититься в Москве было проблематично, и с защитой не складывалось. Вместе с Брином учился Дмитрий Ахиезер, сын знаменитого харьковского математика Наума Ильича Ахиезера. Дмитрий решил через отца помочь соученику. И вот Наум Ильич Ахиезер, используя свой авторитет и влияние, организовал для Брина защиту в Харькове. Оппонентом был другой известный харьковский математик Ю.И. Любич. Брин успешно защитился и продолжил работать в Москве.

Через несколько лет он уехал в США, где сейчас работает в Университете Мэриленда. А что сделал его сын, все знают.

Прошло много лет, и Михаил Брин решил почтить память Н.И. Ахиезера, который так помог ему в свое время. На собственные средства он организовал в Харькове Фонд им. Н.И. Ахиезера для поддержки молодых математиков, живущих и работающих в Харькове. Фонд уже третий год дает стипендии молодым математикам Харькова.

Историю рассказал мне Г.М. Фельдман, член Координационного совета Фонда.

NTLM authentication in Apache

2008-04-04T14:19:00.003+03:00

NTLM authentication is Microsoft's way to enable Windows users to transparently (i.e. without entering user name and password) authenticate to web sites. Apache can support this style of authentication too with mod_auth_ntlm_winbind. This module is developed as part of Samba. It is available in Fedora. More information on it can be found here: http://adldap.sourceforge.net/wiki/doku.php?id=mod_auth_ntlm_winbind, including the basic information on how to install and configure this module.

An important piece of information that I didn't see mentioned by any documentation and that I discovered the hard way is that Apache's KeepAlive directive should be on, otherwise NTLM authentication doesn't work. Unfortunately Fedora 7 default httpd.conf has "KeepAlive off" (don't know why). So, one has to turn it into "KeepAlive on" to use mod_auth_ntlm_winbind. With keep-alives turned on, it works great.

Правила для SpamAssassin'а - Kerio MailServer

2008-04-03T19:24:00.004+03:00

Почему-то много спама проходит через ПО почтового сервера Kerio MailServer. Поэтому такое правило для SpamAssassin'а удачно работает:


header KERIO_MAILSERVER Received =~ /Kerio MailServer/
describe KERIO_MAILSERVER Sent through Kerio Mailserver software
score KERIO_MAILSERVER 2.5

Впрочем, с этим правилом надо быть осторожным. В самом Kerio MailServer нет ничего преступного, просто статистика против него. Если статистика изменится, правило может начать давать false positives. Но пока такого не замечено.

Превоапрельские тезисы

2008-04-02T13:15:00.007+03:00

Google сообщила о запуске совместно с Virgin Group проекта Virgle для освоения Марса. В то же время команда Google Talk сообщает, что для снижения выбросов CO₂ Google Talk будет автоматически сокращать все сообщения (т.к. "every character (byte) we send in a message results in about 0.0000000000000000034 metric tons of CO₂ being released into the atmosphere"), а Blogger объявляет о новом поколении блогов: Google Weblogs.

KDE.news сообщают, что KDE решило поддержать Микрософтовский Office Open XML. Смешно для тех, кто в курсе.

Korrespondent.net сообщил, что в зоне отчуждения Чернобыльской АЭС голландцы построят аквапарк ("Мы добавим в воду флуоресцентный зеленый краситель, чтоб посетители получали зрительный эффект посещения зараженной радиацией территории"). Также, Шевченко переходит в "Шахтер". Также Korrespondent.net сделал подборку самых веселых цитат прошлого года (и это не розыгрыш).

Но лучше всех BBC, которая сообщает о недавно открытом виде перелетных пингвинов:

Набираем номер в украинском формате на iPhone

2008-03-29T20:07:00.011+02:00

Еще один совет для незаконных пользователей iPhone в Украине. Изначально американский прибор рассчитан на американский формат номера телефона. В результате наше, к примеру, 8 (067) 111-11111 выглядит просто как 806711111111, а в процессе набора даже как (806) 711-1111. Мелочь, не неприятно. Вот как мне удалось это подправить.

Первым делом скажу, что не несу никакой ответственности за последствия этих действий. Не делайте ничего с вашим телефоном, если не понимаете, что происходит. Можете остаться без аппарата.

Так вот, нужно подредактировать файл /System/Library/Frameworks/UIKit.framework/PhoneFormats/UIPhoneFormats.plist на телефоне. Последовательность действий:

Скачиваем файл на компьютер через SSH (кстати, рекомендую для этих целей SFTP plugin для Total Commander)
Переводим файл в текстовый формат на этом сайте.
Редактируем файл в текстовом редакторе. Менять нужно секцию us. Вот как она выглядит у меня после редактирования: <key>us</key> <array> <string>8 (0572) ##-##-##</string> <string>8 (###) ###-####</string> <string>+380 (##) ###-####</string> <string>+1 (###) ###-####</string> <string>###-####</string> <string>###</string> <string>####</string> <string>#####</string> </array> В начале я вставил отдельную строчку для шестизначных номеров в Харькове с кодом 0572. Жители других городов с шестизначными номерами могут вставить здесь свой код. Я также сохранил американский формат, начинающийся на +1, на всякий случай.
Нужно быть особо осторожным, чтобы не нарушить структуру XML-файла.
Результат можно взять здесь.
Готовый файл копируем поверх оригинального. Настоятельно рекомендую сохранить оригинальную версию.
Перезагружаем телефон. Если все прошло удачно, наслаждаемся красотой:

Подключаем iPhone к Киевстару

2008-03-29T19:12:00.004+02:00

Небольшие советы незаконным пользователям Apple iPhone в Украине. Как разлочивать писать не буду, на эту тему есть масса ресурсов (хотя бы www.iphones.ru).

Чтобы получить подтверждение доставки SMS, первым символом в тексте нужно ввести восклицательный знак. Получатель его не увидит, а вы получите отчет о доставке. К сожалению, автоматически iPhone этого не делает.

Полезно установить пакет "Киевстар" из репозитория http://garconpro.com/repo (после подключения репозитория в Installer'e, пакет в категории Carrier Services (1.1.3-4)). Что это дает:

перестает появляться окошко "Call forwarding active" при наборе номера
В левом верхнем углу экрана появляется напись "Київстар" вместо UA-KYIVSTAR
В настройках телефона (Settings, раздел Phone) появляется пункт "Киевстар services", в котором телефоны проверки баланса, пополнения счета и сервис-центра (если вы их забыли) и ссылка на веб-страничку "Мой Киевстар".

Не забудьте проделать все действия, о которых пакет предупреждает при установке: перезагрузить, вставить SIM-карту другого оператора, затем снова свою SIM-карту. Без этого не заработает.

К сожалению, пакет нуждается в доработке напильником. Во-первых, напись "Київстар" в левом верхнем углу экрана у меня не появилась. Оказалось, что пакет настроен на имя оператора UA-KS, но мой телефон именует Киевстар UA-KYIVSTAR. Может быть дело в том, что у меня Ace&Base, может у контрактных абонентов иначе. Во всяком случае мне пришлось поредактировать файл /System/Library/Carrier Bundles/Kievstar_UA.bundle/carrier.plist на телефоне. Сначала я перевел его в текстовый формат с помощью этого сайта, а затем заменил UA-KS на UA-KYIVSTAR в текстовом редакторе. Результат здесь. Подредактированный файл скопировал поверх оригинального.

Во-вторых, пакет прописал мне в настройках EDGE имя точки доступа www.kyivstar.net, имя пользователя kyivstar и пароль internet. Может для контрактного подключения это верно, но для Ace&Base - нет. Исправить легко: в Settings, раздел General - Network - EDGE вводим APN: www.ab.kyivstar.net, username и password - пустые. Теперь все в порядке.

Еще правила для SpamAssassin'а

2008-03-17T17:07:00.007+02:00

В продолжение темы спама, вот модификация правил из предыдущей статьи, которая по-прежнему актуальна и эффективна:


header __SPAMMY_YAHOO_SENDER From:addr =~ /[A-Z][a-z]*[A-Z][a-z]*[0-9][0-9]\@yahoo\.co\.uk/
header __SUBJECT_SEMINAR Subject =~ /seminar|Moratoriy/
header __SUBJECT_STARTS_WITH_DOT Subject:raw =~ /^\s*=\?Windows-1251\?Q\?\._?=/

meta SPAMMY_YAHOO_SENDER_AND_SUBJECT __SPAMMY_YAHOO_SENDER && (__SUBJECT_SEMINAR|| __SUBJECT_STARTS_WITH_DOT)
describe SPAMMY_YAHOO_SENDER_AND_SUBJECT Spammy sender FirstLastNN@yahoo.co.uk and suspicious subject
score SPAMMY_YAHOO_SENDER_AND_SUBJECT 2.5

Здесь должно быть 6 строк, начинающихся словами header, header, header, meta, describe и score. Любые другие переносы строк надо удалить!

Что здесь происходит: мы отслеживаем письма, у которых адрес отправителя имеет вид FirstLastNN@yahoo.co.uk (где First и Last - произвольные имя и фамилия, а NN - двузначное число), а тема письма - либо слова seminar или Moratoriy, либо начинаются на точку. Сомневаюсь, чтобы кому-то кроме спаммеров пришло в голову делать такую тему письма, так что такие письма наверняка спам.

P.S. 23.04.2008. Теперь такой же спам присылают также с адресов вида *@earthlink.net. Ввиду этого я модифицировал правила таким образом:


header __SPAMMY_YAHOO_SENDER From:addr =~ /[A-Z][a-z]*[A-Z][a-z]*[0-9][0-9]\@yahoo\.co\.uk/
header __SPAMMY_EARTHLINK_SENDER From:addr =~ /\@earthlink\.net/
header __SUBJECT_SEMINAR Subject =~ /seminar|Moratoriy/
header __SUBJECT_STARTS_WITH_DOT Subject:raw =~ /^\s*=\?Windows-1251\?Q\?\._?=/

meta SPAMMY_SENDER_AND_SUBJECT (__SPAMMY_YAHOO_SENDER || __SPAMMY_EARTHLINK_SENDER) && (__SUBJECT_SEMINAR|| __SUBJECT_STARTS_WITH_DOT)
describe SPAMMY_SENDER_AND_SUBJECT Spammy sender and suspicious subject
score SPAMMY_SENDER_AND_SUBJECT 2.5

О нас пишут

2008-02-06T23:12:00.000+02:00

Блоггер, называющий себя Дмотрий Бдрк или driessen, написал статью о переключании раскладок клавиатуры в KDE, где рекомендует мою скромную утилиту KKBSwitch, а меня называет "замечательным украинским программистом". Большое спасибо, очень приятно.

Необходимые сайты

2008-01-07T20:36:00.000+02:00

В продолжение предыдущей статьи, я хочу описать украинские сайты, без которых не мог бы прожить.

Korrespondent.net

Несмотря на всю предвзятость журналистов и многочисленные ошибки, Korrespondent.net остается лучшим украинским новостным сайтом.

E-Katalog

E-Katalog - агрегатор товаров и цен украинских интернет-магазинов. Аналогичные сайты - Magazilla и Nadavi, похоже, основаны на той же базе данных, так что не совсем понятно, зачем их три, а не один.

Рейтинг интернет-магазинов

Могу назвать два сайта с рейтингом украинских интернет-магазинов: UAShops и TopShops. К сожалению, отзывов еще не очень много.

Железнодорожные билеты

Сайт Южной железной дороги позволяет узнать расписание поездов по Украине и наличие билетов.

Internet applications I couldn't live without

2008-01-07T19:28:00.000+02:00

Inspired by the list of Web 2.0 Companies I Couldn't Live Without by TechCrunch's Michael Arrington, I'd like to compile my own. I'll split this post into two. This one will be about international sites, and the next one (in Russian) will be dedicated to Ukrainian ones.

Completely agree with TechCrunch on the following websites:

Delicious
GMail
Google Reader
Skype (not really a website, but an Internet application)

I am also impressed by TripIt; if I traveled in the US, I would use it, and Kayak or Farecaster for flight booking. Now my own picks.

VoipDiscount

Skype is great for PC-to-PC calls, and probably for PC-to-phone calls in the Western world. Unforunately, here in Ukraine Skype has a severe limitation: for reasons that are hard to comprehend, Skype doesn't allow to buy Skype credit with a credit card from Ukraine, essentially making SkypeOut service unavailable for Ukrainian users. Given how expensive international calls from Ukraine are, there seems to be a great market for VoIP, yet Skype chose to ignore it. Luckily there are others to fill in the void. VoipDiscount readily takes payments from Ukraine, has reasonable sound quailty, is actually cheaper than Skype, what else could you wish for? Once you make a 10 euro deposit to your VoipDiscount account, you are given 120 days of free calls to major developed countries, and quite cheap to the rest of the world. Once your 120 days expire, normal rates apply to all destinations, but still this is really cheap, cheaper than Skype.

Picasa Web Albums

Flickr may be great, but I prefer Picasa Web Albums by Google.

Last.fm

Last.fm is the single best site to discover new music and do datamining on your music tastes.

Slashdot

Digg and Reddit are so popular, but I prefer good old Slashdot. I mostly read it via Google Reader though.

Blogger

Since I am writing this on Blogger, I definitely must add it to the list.

Almost on the list

I joined LinkedIn and Facebook this year, but I'm yet to see their merits for a user like me.

Ледяной городок в Харькове

2008-01-02T21:55:00.000+02:00

На пл. Свободы в центре Харькова на Новый 2008-й год выстроили ледяной городок.

View Album

Get your own

Last.fm ripping with TheLastRipper

2008-01-02T18:45:00.001+02:00

TheLastRipper is a great, if legally questionable, way to download music from Last.fm as MP3 files.

It may be a little unclear how to enter the URL in the Radio station box to record a particular album. Follow these steps:

Open your Last.fm page in your browser and go to Settings - Website page. In "Music Playback" section specify "Play everything in the Last.fm software".
Now open Last.fm album page in your browser (it looks like http://www.last.fm/music/<artist>/<album>, e.g. http://www.last.fm/music/Beatles/Revolver).
Locate the "Play this album in the Last.fm software" link on the page under the "Tracks on this Album" heading.
Copy the URL that this link points to. It will look like this: lastfm://play/tracks/NNN,NNN,NNN, where NNN are numbers.
Now paste this URL in the Radio station box in TheLastRipper and click "Tune in" button. Wait for the album to download, as it's going to take time.

Lee Feldman

2008-01-02T17:43:00.000+02:00

Great artist, Lee Feldman. Try this album on Last.fm:

Еще одно правило для SpamAssassin'a

2007-12-25T12:29:00.000+02:00

В продолжение темы предыдущей статьи. Еще один "популярный" в последние дни спам предлагает базы с частной информацией. Subject письма произвольный, и приходят эти письма с произвольных адресов. Пока все эти адреса не попали в блок-листы, SpamAssassin пропускает эти письма. К счастью, спаммеры снабдили свои письма весьма необычным заголовком X-Mailer:

X-Mailer: Sendmail 8.12.11/8.12.11

Прокол со стороны спаммеров! Благодаря такому уникальному заголовку, этот спам легко отсеять с помощью следующих правил для SpamAssassin'a:


header MAILER_SENDMAIL X-Mailer =~ /^Sendmail 8\.12\.11\/8\.12\.11/
describe MAILER_SENDMAIL Spammy X-Mailer header
score MAILER_SENDMAIL 2.5

P.S. 26.12.2007. Похоже, отправители этих писем уже попали в блок-лист SpamCop, и теперь в дополнительном правиле нет необходимости.

Спам на букву "i"

2007-12-21T21:04:00.000+02:00

Последнее время мы часто получаем новую разновидность спама. Это сообщения на русском языке на такие темы как "защита конфиденциальной информации предприятия", "защита коммерческой тайны", "Тренинг по продажам" и проч., причем доставляются они как будто через легальный сервер Yahoo. Не знаю как спаммеры это делают, но в результате SpamAssassin пропускает эти сообщения, т.к. единственный тест, который на них срабатывает - BAYES_99. Хоть это и очень важный тест, все равно его одного не достаточно. (Иногда возникает желание поднять score этого теста до 5.4, как это было в SpamAssassin'e версии 2, но я все же думаю, разработчики выбрали score 3.5 не зря - false positives никому не нужны).

К счастью, этот спам можно отсеять благодаря его странной особенности - subject всех этих сообщений начинается с латинской буквы i. В нераскодированном виде начало subject'а всегда выглядит так:

=?Windows-1251?Q?i_=

Никто в здравом уме не будет делать такой subject. Поэтому достаточно добавить в конфигурационный файл SpamAssassin'a (обычно /etc/mail/spamassassin/local.cf) следующие строки (здесь должно быть 3 строки, начинающихся со слов header, describe и score, но ваш браузер может их разбить в неудачном месте):


header SUBJECT_STARTS_WITH_I Subject:raw =~ /^ *=\?Windows-1251\?Q\?i_=/
describe SUBJECT_STARTS_WITH_I Subject has a common spam pattern
score SUBJECT_STARTS_WITH_I 2.5

и спам на букву "i" будет успешно отфильтрован.

P.S. 26.12.2007. Похоже, отправитель этих сообщений уже попал в блок-лист SpamCop, и в дополнительном правиле теперь нет необходимости.

P.S. 06.02.2008. Этот тип спама возвращается, причем теперь subject может начинаться не только на i, но и на точку. Обновленное правило:


header SUBJECT_STARTS_WITH_I Subject:raw =~ /^\s*=\?Windows-1251\?Q\?[i\.]_=/
describe SUBJECT_STARTS_WITH_I Subject has a common spam pattern
score SUBJECT_STARTS_WITH_I 2.5

Delivery failure to Exchange public folder

2007-12-11T17:45:00.000+02:00

I set up a new public folder in our Exchange server to receive emails from external SMTP server. The intent was to store emails from customers for management perusal. As the folder was going to contain sensitive business information, I allowed access to it to management group only. Unfortunately, the delivery to the folder failed - the email was returned to sender with no explanation. Exchange server's event log showed nothing, but when I increased Exchange logging level, the following cryptic message showed up in the log:

The following call : EcLocallyDeliverMsg2 to the store failed. Error code : 1238 (Message-ID <046e01c83c04$e24bbfd0$5101a8c0@csltd.intranet> will be NDR'd). MDB : 87b7cb4d-7e6b-47fa-be39-85b0d7995226. FID : . MID : . File : C:\Program Files\Exchsrvr\Mailroot\vsi 1\Queue\NTFS_e1be85a401c83c0400000024.EML.

Well, that didn't clarify much. A quick internet search turned up this Microsoft KB article: http://support.microsoft.com/kb/873393, but that definitely was not my case.

Giving the issue more thought, I realized that in attempt to secure the access to the folder as much as possible I went a little too far by disallowing any access to Anonymous users. Now, when an external SMTP server submits an email to Exchange server, this is anonymous access as far as Exchange server is concerned. Thus the attempt to submit a message to the public folder is denied! The solution was to allow "Contributor" access to the Anonymous user.

The bottom line is that if an Exchange public folder is to receive email from an external SMTP server, Anonymous users should be allowed "Contributor" access.

Beautiful code

2007-11-03T14:03:00.000+02:00

I've read "Beautiful Code", a collection of 33 essays by leading computer scientists, edited by Andy Oram and Greg Wilson. What follows is by no means a review, just my impressions.

Chapter 1, A Regular Expression Matcher, by Brian Kernighan. An interesting insight into implementation of a simplified regular expression matcher. Shows off recursion-based elegant and compact C code.
Chapter 2, Subversion's Delta Editor: Interface as Ontology, by Karl Fogel. Describes a piece of Subversion version control system, the Delta Editor, which is the data structure that expresses the difference between two source code trees. The data structure is really an interface (being implemented in C, a language that doesn't support interfaces natively, it's a structure of function pointers). Instead of representing the delta explicitly, it provides a standard interface for a delta producer to provide the delta data, and for the delta consumer to use it. This way it can handle deltas that can't fit in memory due to sheer size or that are not available all at once (e.g. are downloaded from network). Various advantages of this design are discussed. An interesting approach of representing data as an interface.
Chapter 3, The Most Beautiful Code I Never Wrote, by Jon Bentley. Praises brevity and simplicity. Examines the code that analyses QuickSort algorithm (which itself is viewed as the most beautiful code by the author). The performance analysis code gets progressively smaller and smaller and simpler and simpler through careful mathematical analysis. An interesting example of algorithm development and optimization, though, perhaps, mostly of academic value.
Chapter 4, Finding Things, by Tim Bray. Explores a few common, if somewhat disconnected, topics related to search. Interesting for a brief instroduction into Ruby language, and its comparison to Java in terms of performance (Java wins). Touches regular expressions, associative arrays, binary search and then quickly discusses web search. I find this chapter rather superficial and unfocused.
Chapter 5, Correct, Beautiful, Fast (In That Order): Lessons From Designing XML Verifiers, by Elliotte Rusty Harold. Describes the author's quest to implement verification of XML names in an XML parser correctly, but without sacrificing performance. A few smart improvement eventually lead the author to a surprisingly simple and efficient solution. "If there's a moral to this story, it is this: do not let performance considerations stop you from doing what is right. You can always make the code faster with a little cleverness. You can rarely recover so easily from a bad design".
Chapter 6, Framework for Integrated Test: Beauty through Fragility, by Michael Feathers. Describes the desing of Framework for Intergated Testing (FIT), an automated testing framework. Talks how this framework is different from most of other frameworks by being very open, flexible and extensible. This radical alternative to traditional framework design (with few well-defined points of extensibility) proves useful in its application domain (testing).
Chapter 7, Beautiful Tests, by Alberto Savoia. Talks of the beauty of testing. Sets off by describing the infamous binary search implementation bug and continues to test the supposedly corrected implementation using JUnit testing framework. Demonstrates the concepts of smoke testing, boundary value testing, testing theories, mutation testing, performance testing. Conclusion:
- Some tests are beautiful for their simplicity and efficiency
- Other tests are beautiful because, in the process of writing them, they help you improve the code they are meant to test in subtle but important ways
- Finally, some tests are beautiful for their breadth and thoroughness
Chapter 8, On-the-Fly Code Generation for Image Processing. Demonstrates an unusual optimization technique, on-the-fly code generation for time-critical procedures. The trick is that some branching and calculations are performed at code-generation time (once) rather than at run time. The .NET-based example uses System.Reflection.Emit namespace classes to emit Intermediate Language instructions at run time. Interesting, if highly-specialized technique of limited general utility. Conclusion: "Now, you might regard FilterMethodIL as ugly, and I'd be willing to concede that it sure isn't the prettiest code I've ever seen. But when an algorithm clocks in at a quarter of the execution time of some earlier code, then the only word that I find appropriate is beautiful".
Chapter 9, Top-Down Operator Precedence, by Douglas Crockford. The author creates a JavaScript language parser in JavaScript using "Top-Down Operator Precedence" technique. The chapter is beyond me; didn't understand much.
Chapter 10, The Quest for an Accelerated Population Count, by Henry S. Warren, Jr. Describes the algorithm for "population count", i.e. counting the number of 1-bits in a byte or word. Employs interesting mathematical techniques to speed up the algorithm. The topic is a little outside of my expertise and interests.
Chapter 11, Secure Communication: The Technology of Freedom, by Ashish Gulhati. Describes the evolution of Cryptonite, the author's web-based email system that emphasized PGP-based security. Interesting for describing the system's architecture and its evolution, as well as PGP overview. Ends with a philosophical pitch for secure communications as a basis for personal freedom.
Chapter 12, Growing Beautiful Code in BioPerl, by Lincoln Stein. Describes the author's Perl module for graphics in DNA research. Interesting insight into framework design.
Chapter 13, The Design of the Gene Sorter, by Jim Kent. Describes the Gene Sorter, a web-based gene display program (http://genome.ucsc.edu/cgi-bin/hgNear). While I have no doubt it is very useful, I don't share the author's opinion on its beauty. I don't think CGI scripts are beautiful at all, especially when written in C. Something that starts a new process on each page access and has to keep persistent state in a database doesn't apeal to me. The "cart" mechanism is a neat trick, but it just patches the inherent limitation of CGI architecture. The polymorphic column structure is also a neat trick, but why attempt object-oriented programming in C when there is C++? Text file-based configuration of columns doesn't look particularly beautiful to me either. Why filters are not SQL-based? Why read all data from the database and filter in memory when the database can return only relevant data? To summarize, I am not impressed. Tastes differ.
Chapter 14, How Elegant Code Evolves With Hardware: The Case Of Gaussian Elimination, by Jack Dongarra and Piotr Luszczek. Describes the evolution of linear algebra libraries (LINPACK, LAPACK, ScaLAPACK) with the evolution of hardware. Informative how algorithms change with the hardware, but I fail to see the beauty of this arcane Fortran code.
Chapter 15, The Long-Term Benefits of Beautiful Design, by Adam Kolawa. Describes the design of LAPACK linear algebra library and is related to the previous chapter. With all the due respect to this venerable library, it's hard to see the beauty in this highly specialized Fortran code.
Chapter 16, The Linux Kernel Driver Model: The Benefits of Working Together, by Greg Kroah-Hartman. An interesting insight into how the Linux kernel represents hardware devices. Fine example of object-oriented programming in C. Stresses the typically Linuxish development approach "make it harder so people have to think very carefully" by explaining how no type checking is done on device structures. In author's words: "It keeps easy hacks from springing up within the kernel and forces everyone to be very exact in their logic". Also emphasizes the interative and collaborative nature of Linux development.
Chapter 17, Another Level of Indirection, by Diomidis Spinellis. Explains the layering of FreeBSD I/O subsystem and how it achieves a very fine separation of concerns among the layers, with resulting flexibility and maintainability. Touches the subject of "domain-specific languages". Ends with a warning to not overuse layering approach, since "layers are for cakes, not for software".
Chapter 18, Python's Dictionary Implementation: Being All Things to All People, by Andrew Kuchling. Explains the design of Dictionary type in Python. Based on general-purpose hash table, the type has several special cases for more efficient handling of common scenarios, such as small dictionaries (5 elements of fewer) and dictionaries with string-type keys. Discusses the approaches to collision handing (carefully tuned open addressing), resizing and iteration.
Chapter 19, Multi-Dimensional Iterators in NumPy, by Travis E. Oliphant. Describes the design of iterators for multidimensional arrays in NumPy, a Python package. Implements clever tricks to iterate over arrays of arbitrary dimensions efficiently. Interesting, but I must admit I did not understand the feature the author calls "broadcasting".
Chapter 20, A Highly Reliable Enterprise System for NASA's Mars Rover Mission, by Ronald Mak. Discusses the design of Collaborative Information Portal (CIP), a large web-based information sharing and management application used by NASA Mars Exploration Rover mission. Gives a good overview of Service-Oriented Architecture in Enterprise Java Beans based applications. Explains the details in a case study of the Streamer Service (CIP's component). Great article on enterprise application design. My favorite quote: "Martians have zero tolerance for ugly software".
Chapter 21, ERP5: Designing for Maximum Adaptability, by Rogerio Atem de Carvalho and Rafael Monnerat. Describes the design of EPR5, an open source ERP application based on Zope platform. Very difficult to read, I didn't understand much.
Chapter 22, A Spoonful of Sewage, by Bryan Cantrill. A very dynamic and well-narrated story of the author's hunt for an elusive bug in Solaris thread synchronization code. Explains the problem of priority inversion, its theoretical solution, and the bug in the code that was supposed to solve it. The resolution of the bug, although not utterly beautiful on the surface, is truly beautiful, the author argues, because "in the seven years ... no one has done better".
Chapter 23, Distributed Programming with MapReduce, by Jeff Dean and Sanjay Ghemawat. An interesting explanation of how Google's MapReduce programming model works (break the task into subtasks, run them in parallel, combine results), mentioning some of the specific challenges it faces due to its sheer scale (e.g. failure of some computers).
Chapter 24, Beautiful Concurrency, by Simon Peyton Jones. Now that the hardware evolution trend is to increase the number of CPU cores rather than clock speed, the article says, concurrency is very important. It is also hard. The article explans the numerous problems of lock-based concurrency management, concluding that "the fundamental shortcoming of lock-based programming is that locks and conditional variables do not support modular programming" (locking logic is hard to modularize and disentangle from application logic). The article then goes on to describe the concept of Software Transactional Memory (STM) and how it overcomes the shortcomings of locks. The concept is presented using Haskell programming language and a brief introduction to it is included. Interesting for the overview of concurrency problems, introduction to Haskell and STM. Whether STM can be practially implemented in more mainstream languages remains to be seen.
Chapter 25, Syntactic Abstraction: The syntax-case Expander, by Kent Dybvig. Starts with a brief overview of syntactic abstraction in programming languages (ability to define custom syntax constructs, such as preprocessor macros in C). Goes on to describe a macro expansion algorithm in Scheme, which I fail to penetrate.
Chapter 26, Labor-Saving Architecture: An Object-Oriented Framework for Networked Software, by William Otte and Douglas C. Schmidt. Talks about object-oriented framework design and explores the subject in detail by presenting an example of Logging Server Framework. A very useful and interesting practical case study of OO design.
Chapter 27, Integrating Business Partners the RESTful Way, by Andrew Patzer. Describes an approach to Web Services that is more light-weight than the popular (if overhyped) SOAP architecture. This light-weight approach is based on exchange of XML-encoded requests and responses using simple GET or POST requests over HTTP. As the author puts it, "Although I didn't know it at the time, this architectural style is now commonly referred to as REST or Representational State Transfer". Interesting for introduction to REST. I would disagree with the author on some of the implementation choices, though, e.g. there must be a better way to determine the request type than looking for a specific long string within the request body (e.g. listing on page 454).
Chapter 28, Beautiful Debugging, by Andreas Zeller. Talks about delta debugging, an approach aiming to isolate bugs automatically by isolating the source code change that caused a failure. The concept is then expanded to automatic debugging through isolation of program state change that caused a failure. Interesting, but I still have doubts if the approach can be practically useful.
Chapter 29, Treating Code as an Essay, by Yukihiro Matsumoto. This is the shortest and the least practical essay in the book. In fact, it doesn't describe any real piece of code or any practical problem. Perhaps it is indicative that it is the only essay written by a Japanese author (the author of Ruby language). This concise article talks about the abstract nature of code beauty. The author defines code beauty as combination of brevity, familiarity, simplicity, flexibility and balance.
Chapter 30, When a Button Is All That Connects You to the World, by Arun Mehta. Apparently, no book published in the US can be complete without touching the subject of persons with disabilities in some way. This article talks about the author's noble attempt to design a software system for professor Stephen Hawking, eminent theoretical physicist, who, due to a severe disability, can only press one button. This extreme limitation makes for tough design problems and smart solutions. This said, the code examples in Visual Basic do not seem very beautiful to me. The author seems to acknowledge this: "I might warn you that it [the code] bears some resemblance to a bowl of spaghetti".
Chapter 31, Emacspeak: The Complete Audio Desktop, by TV Raman. Describes Emacspeak, a complete Emacs-based audio desktop for visually impaired users. It's interesting to rethink the UI fundamentals we take for granted. Among other things, the article is interesting for a brief introduction of Emacs Lisp "advice" facility and Aspect Oriented Programming. Another notable thing is how the choices the author made to make web content accessible "in an eyes-free environment" were later paralleled in mainstream to make the web accessible to automated processing (such as RSS feeds).
Chapter 32, Code in Motion, by Laura Wingerd and Christopher Seiwald. The article talks about "Seven Pillars of Pretty Code", a set of rules for good code formatting, as practiced by the authors of Perforce software configuration management system.
Chapter 33, Writing Programs for "The Book," by Brian Hayes. The chapter describes the author's quest for the perfect solution to a simple computational geometry problem: given three points in the plane, do all of the points lie along the same line? That's one of those problems that's easy to solve in a wrong or ugly way. After trying several approaches, the author finally finds the perfect algorithm. I can't help adding a personal comment: it's frustrating that many great programmers lack fundamental mathematical training. Had the author known a little more linear algebra, the solution would be obvious from the beginning.

Errors sending emails from Outlook Express: 0x800C0131 and 0x800C013B

2007-10-04T13:07:00.000+03:00

A user complained about the following problem. When sending emails from Outlook Express he got the following error: "An unknown error has occurred. Account: '...', Server: '...', Protocol: POP3, Port: 110, Secure(SSL): No, Error Number: 0x800C0131"

A solution was found at Microsoft KB article 233264

The result was a mixed success. The original error was gone, however, while the user's mail folders were intact, their hierarchy disappeared. This was a minor annoyance, as the user could easily recreate his folder hierarchy. However, a new error replaced the old one: "An unknown error has occurred. Account: '...', Server: '...', Protocol: POP3, Port: 110, Secure(SSL): No, Error Number: 0x800C013B

This was tracked down to Microsoft KB article 253795. The article advised to rename Sent Items.dbx file, which we were reluctant to do as we didn't want to loose the user's sent emails. Instead we created a new folder TempSentItems, temporarily moved all emails from Sent Items to it, then deleted Sent Items. When Outlook Express recreated Sent Items folder, we moved the saved emails from TempSentItems to it and deleted the temporary folder.

Disk space shortage wreaks havoc on a domain controller

2007-07-27T18:03:00.001+03:00

One day our Windows 2003 domain controller ran out of disk space, and a slew of problems ensued. Apparently, Active Directory synchronization failed due to insifficient space, and the event log was full of messages like this:

Event Type: Warning
Event Source: NETLOGON
Event Category: None
Event ID: 5705
Description:
The change log cache maintained by the Netlogon service for database changes is inconsistent. The Netlogon service is resetting the change log.

Event Type: Warning
Event Source: W32Time
Event ID: 26
Description:
Time Provider NtpClient: The response received from domain controller has a bad signature. The response may have been tampered with and will be ignored.

Event Type: Error
Event Source: NETLOGON
Event ID: 5805
Description:
The session setup from the computer failed to authenticate. The following error occurred:
Access is denied.

Event Type: Warning
Event Source: LSASRV
Event Category: SPNEGO (Negotiator)
Event ID: 40960
Description:
The Security System detected an authentication error for the server cifs/. The failure code from authentication protocol Kerberos was "The attempted logon is invalid. This is either due to a bad username or authentication information. (0xc000006d)".

Event Type: Error
Event Source: Kerberos
Event ID: 4
Description:
The kerberos client received a KRB_AP_ERR_MODIFIED error from the server host/. The target name used was ldap//@. This indicates that the password used to encrypt the kerberos service ticket is different than that on the target server. Commonly, this is due to identically named machine accounts in the target realm (), and the client realm. Please contact your system administrator.

Event Type: Error
Event Source: NETLOGON
Event ID: 3210
Description:
This computer could not authenticate with \\, a Windows domain controller for domain , and therefore this computer might deny logon requests. This inability to authenticate might be caused by another computer on the same network using the same name or the password for this computer account is not recognized. If this message appears again, contact your system administrator.

Even after freeing some space, problems continued, since Active Directory database was damaged. The solution was to reset computer domain password using netdom, as documented in Microsoft KB article 260575

What does "localhost" mean in named.conf?

2007-07-27T14:25:00.000+03:00

Configuring BIND 9, run across an interesting issue. What does the following excerpt from named.conf mean:

options {
        listen-on port 53 { localhost; };
        ...
};

I thought this tells BIND to listen only on loopback adress (127.0.0.1). After all, this what "localhost" usually resolves to. To my great surprise, I've found that BIND is listening on all network interfaces. As it turns out, in the context of BIND configuration, localhost "Matches the IPv4 and IPv6 addresses of all network interfaces on the system." Go figure! The correct configuration is as follows:

options {
        listen-on port 53 { 127.0.0.1; };
        ...
};

Masquerading multiple IPSec connections on a Linux router

2007-07-15T17:04:00.000+03:00

Our company network is set up in a rather standard way. We have a Linux router connected to an ISP with one network card, and to the local network with another one. The local network uses the reserved IP range 192.168.1.0-192.168.1.255. The router does Network Address Translation (NAT), also known as IP Masquerade, to allow the internal hosts transparent access to the Internet. This type of configuration is widely used and is well documented, in Linux 2.4 NAT HOWTO or Linux IP Masquerade HOWTO to name a few sources.

IP masquerade works well for TCP and UDP, but how about some more exotic IP protocols? Not that easy when it comes to IPsec VPNs. We need to connect to a customer's site that uses Contivity VPN from Nortel. This is an IPsec-based product. Unfortunately, masquerading several IPsec connection through one router is a non-trivial task that Linux is currently not capable of. IPsec connection involves a handshake over UDP, after which the data is transmitted over IP protocol 50 (Encapsulating Security Payload, ESP). Since there is no connection tracking support for IP protocol 50 in the Linux kernel, only one internal client can connect to a remote IPsec VPN server at any time, because the kernel cannot tell one connection from another. This was not acceptable to us, since we need several people to work with the customer's VPN simultaneously.

NAT Traversal feature of IPsec protocol is supposed to resolve this problem, however, for some reason, NAT Traversal didn't work with the customer's VPN server. Attempts to persuade the customer's IT personnel to look into the issue and enable NAT Traversal proved unsuccessful (they either didn't understand what the problem was, or didn't care, or both). We had to resolve the issue ourselves.

After some thought, the solution was found. First it involved getting several external IP addresses from our ISP, as many as many people we needed to work with the customer's VPN. Luckily, it wasn't many, just five. The idea then was to route the IPsec traffic from the five internal clients through separate external IP addresses. This will allow the kernel to keep track of each connection separately and not mix them up. Here's how I achieved this using iptables.

For the sake of example, I'll assume that our external IP numbers were 1.1.1.1, 1.1.1.2, 1.1.1.3, 1.1.1.4 and 1.1.1.5. All these numbers were bound to our external network interface as aliases. Assuming our external interface is called eth1, these new addresses were assigned to alias interfaces eth1:1, eth1:2, etc. up to eth1:5. Also for the sake of example, assume that the client computers that need to talk to the customer's VPN have internal IP addresses 192.168.1.1 - 192.168.1.5 and that the customer VPN server's address is 2.2.2.2.

With this setup, I added the following iptable rules to NAT table:

iptables -t nat -A POSTROUTING -s 192.168.1.1 -d 2.2.2.2 -j SNAT --to-source 1.1.1.1
iptables -t nat -A POSTROUTING -s 192.168.1.2 -d 2.2.2.2 -j SNAT --to-source 1.1.1.2
...
iptables -t nat -A POSTROUTING -s 192.168.1.5 -d 2.2.2.5 -j SNAT --to-source 1.1.1.5

This tells the kernel the following: right after routing (POSTROUTING chain), if the packet is coming from 192.168.1.x (a VPN client) to 2.2.2.2 (the VPN server), masquerade it using source address 1.1.1.x.

An important note is that these rules should precede the rules that masquerade the entire network. I have a rule like this:

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth1 -j MASQEURADE

and it is added to the POSTROUTING change after the special rules above.

The above technique allows to masquerade multiple IPsec (or indeed any IP protocol) connections when NAT Traversal is not available. This said, I would much prefer if NAT Traversal worked and saved me the headache.

Эпос древних укров

2007-06-19T18:19:00.000+03:00

История украинского народа уходит корнями в глубокую древность. Она не начинается с Оранжевой Революции, как наивно полагают некоторые на Западе. Она не начинается с Переяславской Рады, как хотели бы думать в Москве. Она не начинается даже с Кия, Щека и Хорива, как полагают некоторые ограниченные историки в Украине. Установлено, кто украинцы ведут свое происхождение от древнейшего народа укров, проживавшего на территории современной Украины уже в 4-м тысячелетии до н.э. К сожалению, в результате ряда катастроф как природно-геологического, так и социально-политического характера, литературные и культурные памятники укров были полностью утрачены. Однако нет на свете ничего, что было бы потеряно навеки (кроме Халезмийского собора - см. Д. Адамс, "Жизнь, Вселенная и все остальное", М., Аст, 2002, стр. 287). Достижения современной статистической историографии позволили буквально по крупице воссоздать и расшифровать фрагмент эпоса древних укров, публикуемый ниже. Работы по расшифровке продолжаются, и мы надеемся, что вскоре эпос будет полностью восстановлен.

Дальше...

SharePoint Server: Audiences based on group membership problem

2007-05-17T13:27:00.000+03:00

SharePoint Portal Server is a great tool. One of its powerful features is audiences. Audience is a group of SharePoint server users to which the publishers can target the server's content. That is, certain items are shown only to certain audience members. For example, the server's home page may contain links to Development and Support group sites. Members of Development group only see the link to the Development site, and members of Support group only see the link to the Support site.

One of the ways to define an audience membership is via Windows security group. One can say that an audience consists of all members of a security group. This is often very convenient, as security groups often already reflect the organization's structure. However, setting up audiences on our company's SharePoint server I found that this simply didn't work. I set up an audience to consist of members of a security group that had 7 members. I found that the audience had only 1 member. I tried it with other groups - the results were utterly inconsistent. With some groups it worked, with some a few members were missing, with some all members were missing, and no clear pattern was seen.

After a long investigation the pattern was revealed. A security group member wouldn't make it to the group-based audience if the group was his/her primary group. It is a bug in SharePoint server, described in this blog post by Craig Gemmill for SharePoint Server 2003. I am using SharePoint Server 2007 and the bug is still present.

Apparently, it has to do with the fact that the user's primary group is not listed in its memberOf Active Directory attribute. The primary group's members attribute does not include the members with Primary Group attribute either. There are valid reasons for this design, described in this Microsoft KB article, but SharePoint Server, apparently, doesn't take Primary Group into account.

Thus the only solution was to reset the Primary Group of all users to Domain Users.

Using deadlines to install Windows updates on unattended servers

2007-04-23T15:03:00.000+03:00

WSUS is a great tool to distribute and install Microsoft Updates. As long as the administrator approves the updates, an "Updates are ready" notification will pop up on each user's screen, and the users will be prompted to proceed with installing the updates.

But what about unattended servers? No-one ever logs into their consoles and thus there's nobody to install the updates. Having an administrator log in to each server to install updates is just too tedious. Luckily, this isn't necessary. Using deadlines, one can have the updates install on unattended servers automatically. Here's how I do it:

I've created a computer group in WSUS called "Servers" and added all servers to it.
Whenever I approve an update, I make a separate approval for the "Server" group with a deadline.
When the deadline expires, updates are installed automatically.

A thing to note here is that most of the time a server will reboot after the updates are installed. You don't want your servers to reboot in the middle of the day. Therefore, set the deadline to off-hours.

Always set the deadline more than 22 hours in the future. This is because Automatic Updates service is checking for new updates by default every 22 hours. Imagine what happens if during the day, say at 12am you set the deadline for 11pm today. By 11pm a server may not have checked for new updates yet, and it will not know a new update with a deadline is available. Next day, say at 10am it will check, find the update and see that the deadline is already past due. It will then immediately install the update and reboot right when your users are busy using it. To avoid such unfortunate scenario, allow sufficient time for Automatic Updates to find the update before the deadline expires.

Устанавливаем Lingvo 12

2007-04-23T14:55:00.001+03:00

Наша компания приобрела электронный словарь Лингво 12. ABBYY Software предлагает для своего продукта удобную схему лицензирования - concurrent licenses. Покупая какое-то количество concurrent licenses, пользователь получает право запускать столько копий Лингво в сети одновременно, причем не имеет значения на каких компьютерах. Для нас это было очень удобно, т.е. из более ста сотрудников нашей компании, одновременно Лингво не понадобится больше, чем двадцати.

Технически работает эта схема лицензирования так. На сервере устанавливается Lingvo License Manager. В него вводятся и активируются все лицензии. Клиентские машины получают лицензию от сервера при запуске Лингво.

На бумаге все хорошо. На практике обнаружилось, что при запуске Лингво на одном компьютере License Manager показывает, что все concurrent лицензии заняты этим компьютером, и ни один другой компьютер запустить Лингво уже не может. Весьма неприятный сюрприз. В интернете обнаружили описание такой же проблемы (http://forum.lingvo.ru/actualthread.aspx?tid=72935) и совет обратиться в службу поддержки. Написали на support@abbyy.ua. Служба поддержки ответила, поинтересовалась номером нашей лицензии, и действительно прислала нам обновление на License Manager, исправляющее эту ошибку. Таким образом при доработке напильником система все-таки работает.

Несколько неприятной, однако, оказалась следующая новость в Лингво 12. В предыдущих версиях Lingvo был LvAgent, который сидел в System Tray и позволял вызвать Lingvo по Ctrl-Ins-Ins. При закрытии самого Lingvo LvAgent продолжал работать. Теперь все немного не так. По-прежнему LvAgent может запустить Lingvo, но теперь при закрытии Lingvo стандартными способами (кнопочка "x" или Alt-F4), сам Lingvo продолжает работать и, что особенно важно при concurrent лицензировании, занимать лицензию. Т.о. стоит запустить Lingvo, как он занимает лицензию даже после закрытия. Есть, правда, в меню пункт "Выход", который действительно закрывает Lingvo - но вместе с LvAgent.

В свете этого моя рекомендация такая - в настройках на вкладке "Общие" снять флажок "Отображать значок ABBYY Lingvo в области уведомлений на панели задач". В этом случае LvAgent не используется и закрытие Lingvo действительно его закрывает. Но вызов по Ctrl-Ins-Ins будет невозможен.

И наконец, странная история, приключившаяся с инсталляцией Лингво. После установки License Manager, по рекомендации производителя, инсталляция самого Лингво была помещена на сетевой диск. Вскоре несколько пользователей пожаловались, что они не могут установить Лингво себе на компьютер, используя эту сетевую инсталляцию: инсталлятор сообщает "Внутренняя ошибка 2349" и прекращает работать. Выяснилось, что по какой-то причине часть файлов из инсталляции получили дату изменения 01.01.1857 (как это произошло - загадка). При копировании этих файлов инсталлятор пытался дать установленным копиями такую же дату, что заканчивалось ошибкой. После исправления даты файлов проблема разрешилась.

Outlook 2003 update breaking Outlook 2007

2007-04-10T18:44:00.000+03:00

I had Microsoft Office 2003 on my computer and decided to upgrade to Office 2007. Feeling a little wary about this upgrade, I decided to keep Office 2003 installed, since Office 2007 installer allowed for such option. However, as the installer informed me, Outlook 2007 could not coexist with Outlook 2003, so Outlook 2003 had to be removed. Alright, so I ended up having just one Outlook (2007) and two copies of Word and Excel (2003 and 2007).

A surprise came when I installed the next round of Microsoft updates (from our local WSUS server). An "Junk mail filter update for Outlook 2003" (KB931764) was offered to me, although I no longer had Outlook 2003. Not knowing what this means, I installed the update.

Right after that had an error in Outlook: "The File ExSec32.dll is incompatible with Microsoft Office Outlook. Install Outlook Again.", when opening any Outlook item. Apparently the "Junk mail filter update" reinstalled some of Outlook 2003 DLLs that were not compatible with Outlook 2007 (I guess this was the reason why they could not coexist in the first place).

I removed ExSec32.dll in Office11 folder, then get the same error about RTFHTML.dll. Removed it as well. Outlook items started to open, but after a few more errors, I resorted to reinstalling Outlook 2007.

Ever since then, each monthly update of Junk Mail Filter for Outlook 2003 was offered to me by Windows Updates, and I had to manually deselect it. Finally, when I uninstalled Office 2003, the problem stopped.

GroupWise vs. Excel

2007-04-08T14:37:00.000+03:00

A long time ago a had to install Novell GroupWise 7.0 on my computer. Right after that I faced a problem with Excel 2003. To my surprise, the Windows "Close" button in the top-right corner (aka the "x-button") became disabled. Furthermore, sometimes when I was closing a workbook with Ctrl-F4, Excel would show the "Save As" dialog, even though the document was already saved. I suspected all this was caused by GroupWise, but since the annoyance was minor I didn't feel like spending time to figure this out. The situation became worse when I upgraded to Excel 2007. Now, whenever I opened a Excel file by double-clicking on it, Excel would come up, but the document would not open in it. I had to wait a few seconds, sometimes up to a minute, before the document would open. Interestingly, if I started Excel and then opened a document from it, it would open immediately without the annoying delay. This time I could not ignore the problem. Investigation revealed an apparently GroupWise-related file in c:\Program Files\Microsoft Office\XLSTART\GWXL97.XLA. I don't know what GroupWise wanted to do with Excel, but whatever it is, it is incompatible with Excel 2007 (the filename suggests it was developed for Excel 97). Removing the file resolved the problem.

Blogging from Word 2007

2007-03-22T21:01:00.001+02:00

They say one can write blog posts directly from Word 2007. I am just curious. Let's see if it works.

Apparently it does! Although it's not as good as I thought it would be. I don't seem to be able to update a post once it is published. Instead, it publishes the modified document as a new post. Still, it's interesting and somewhat unusual for Microsoft

Trouble adding users to local groups

2007-03-06T15:26:00.000+02:00

Had a problem today with a Windows 2000 computer. We needed to add a user to the local Administrators group, and could not. Just clicking the "Add" button in the group membership window resulted in error message "An error occurred attempting to create the Object Picker. An error with no description has occurred." Luckily a solution was described here in Hidev, Inc. Knowledge base. In our case, the key HKLM\LDAP\Clsid was missing. Thanks!

More on lingering objects

2007-03-04T14:10:00.000+02:00

A followup to a previous post. I've been thinking how lingering objects appeared in the DCA domain controller (the one that didn't have the time sync problem). I have two theories:

Theory 1. While DCB controller was in year 2000, some objects were deleted in its copy of the Active Directory database. If things were going normal, DCB would keep a copy of these deleted objects in a "tombstoned" state for the duration of "tombstone lifetime" (by default 60 days). Within this period it would synchronize with DCA and tell it about the deletions, so DCA would delete these objects from its copy of the Active Directory database. But things were not going normal. When time on DCB was corrected, it found that those deleted objects were deleted 7 years ago, i.e. way longer ago than "tombstone lifetime". Consequently, the "tombstones" were deleted and it no longer had any memory of the deleted objects. All along, DCA continued to have copies of these objects, unaware of them being deleted. So, when the time was corrected, DCA wanted to synchronize to DCB, those objects were found to be lignering in DCA.

If this theory is correct, then the solution to delete lingering objects was the right one.

Theory 2. Nothing was deleted in DCB, instead something was created in DCA. While time was broken on DCB these changes failed to replicate from DCA to DCB. When time was corrected, DCB incorrectly assumed those new objects on DCA were lingering.

If this theory is correct, then the lingering objects should not have been deleted. Instead, Strict Replication Consistency should have been disabled (as described, among other places in the Event ID 1388 or 1988: A lingering object is detected section of Active Directory Operations Guide at Microsoft Technet) and thus objects allowed to be recreated at DCB.

Somehow I feel that Theory 1 is correct, but I have no definite proof.

Wrong Time on a Domain Controller

2007-02-21T18:41:00.000+02:00

Today we had to shut down all our servers for electricity maintenance, and while they were starting back up after the maintenance, clock was set incorrectly on one of our two domain controllers. I am not completely sure why this happened, but it seems to be the fault of Tardis Internet time service. One way or another, time was reset to Jan 1st, 2000. All the hell broke loose.

First, the wrong time was picked up by some other computers that suddenly shifted to year 2000. That was the least of all problems. Second, users started having problems logging in to the domain. The faulty domain controller denied access due to clock skew. These two problems were resolved once the time problem was noticed and time at the domain controller was reset to the correct value. But this was not the end.

Unfortunately, while the faulty domain controller (we'll call it DCB) was in year 2000 it replicated with the other controller (let's call it DCA) that had the correct time. Then DCA remembered that it last replicated with DCB in year 2000! As the result, when the time on DCB was corrected, DCA no longer wanted to replicate to DCB thinking that it was way too outdated to replicate again. Attempts to force replication in replmon utility (from Windows Support Tools) resulted in the error "The Active Directory cannot replicate with this server because the time since the last replication with this server has exceeded the tombstone lifetime." Directory Service Event log on DCA showed Event 2042 which read:

It has been too long since this machine last replicated with the named source machine. The time between replications with this source has exceeded the tombstone lifetime. Replication has been stopped with this source.
The reason that replication is not allowed to continue is that the two machine's views of deleted objects may now be different. The source machine may still have copies of objects that have been deleted (and garbage collected) on this machine. If they were allowed to replicate, the source machine might return objects which have already been deleted.

This problem soon had consequences. One user reported that her workstation could no longer connect to shared resources on the DCB controller, with error message "Target principal is incorrect". It was a strange situation, since it could connect to any other server in the network, plus all other workstations but this one could connect to DCB too. Although I still don't have a definite explanation to this, my best guess is that this workstation had the bad luck to automatically change its domain account password while the replication was broken. As the result, DCA had its new password, but DCB still had the old one, and thus could not authenticate the workstation.

To resolve the replication problem I followed the advice from the Event 2042 log entry and numerous sources on the internet, such as "Event ID 2042: It has been too long since this machine replicated" chapter from Windows Server 2003 Active Directory Operations guide on Microsoft TechNet. On DCB I went to the registry key HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters and created a DWORD value Allow Replication With Divergent and Corrupt Partner with value 1. Then forced replication from DCA to DCB in replmon. This time replication worked, and after that I reset the registry value to 0.

Still, replication in the other direction, from DCB to DCA didn't work. Directory Service Event log on DCB showed Event 1988 which read:

Active Directory Replication encountered the existence of objects in the following partition that have been deleted from the local domain controllers (DCs) Active Directory database. Not all direct or transitive replication partners replicated in the deletion before the tombstone lifetime number of days passed. Objects that have been deleted and garbage collected from an Active Directory partition but still exist in the writable partitions of other DCs in the same domain, or read-only partitions of global catalog servers in other domains in the forest are known as "lingering objects".
This event is being logged because the source DC contains a lingering object which does not exist on the local DCs Active Directory database. This replication attempt has been blocked.
The best solution to this problem is to identify and remove all lingering objects in the forest.

Additionally, the Application event log was flooded with Event 1053 that read "Windows cannot determine the user or computer name. (Access is denied.). Group Policy processing aborted."

At the edge of panic, I searched for suggestions to Event 1053 error. In retrospect, I'm not sure I did the right thing, but I followed the advice from the Microsoft KB article 288167 (or 260575) to reset DCB's computer acccount password with netdom utility. After the password was reset and computer rebooted, the problem of the workstation that could not connect to DCB's shared resources disappeared.

It remained to restore replication from DCB to DCA though. I followed "Event ID 1388 or 1988: A lingering object is detected" chapter from Windows Server 2003 Active Directory Operations guide on Microsoft TechNet (there's also a few KB articles that you can find if you search for "lingering objects" at support.microsoft.com). Using repladmin /removelingeringobjects on DCA, as described there, I removed the objects that stopped the replication, and the issue was finally resolved.

In retrospect, I don't fully understand how those lingering objects occurred and if it was safe to remove them or not. Perhaps I should have disabled Strict Replication Consistency as described at the same TechNet article or in the Event 1988 log entry.

To wrap up this post, don't mess with time, it's important.

Dangers of Group Policy

2007-02-21T15:00:00.000+02:00

As any powerful tool, Group Policy may cause trouble if used inappropriately. Once I have set the following parameters in our domain's default policy: Computer Configuration - Administrative Templates - Network - DNS Client - DNS Servers and DNS Suffix Search List to the values appropriate to our LAN. I must admit that in doing so I didn't pursue any particular purpose, since these settings were configured on all client computers either manually or with DHCP. It just seemed a right thing to do. Wrong. Recently we started using a laptop computer to access the Internet wirelessly via GPRS while on the road. All went well until the laptop was joined to the domain. Suddenly GPRS connection no longer worked. Investigation revealed the following: once the laptop was joined to the domain, Group Policy applied to it, including our internal LAN DNS Server setting. Then, unexpectedly, the computer continued using this DNS Server even when disconnected from the LAN and connected via GRPS, which, of course, didn't work. To resolve the problem I simply removed these settings from the Group Policy, then connected the laptop to the LAN and ran gpupdate to update Group Policy settings. I guess if I did need these settings in the Group Policy I would have to move the laptop to another OU in the Active Directory so that this particular policy would not apply to it.

Новое слово английского языка

2007-02-16T14:03:00.001+02:00

Отечественная журналистика сталкивается с трудностями перевода.

13 февраля The Wall Street Journal опубликовал статью под названием "Russian for Chutzpah" с критикой известного выступления Путина в Мюнхене. Я совершенно не хочу вдаваться в суть статьи, заинтересовали меня трудности перевода. На сайте WSJ статья доступна только подписчикам, но зато на сайте Royal Dutch Shell ее можно прочитать (очевидно, компания Royal Dutch Shell заинтересовалась этой статьей потому, что она там упоминается в связи с проектом Сахалин-2). Статья начинается фразой:

The nearest equivalent the Russian language has for the word chutzpah is naglost.

Трудно не согласиться с автором. Но вот появляется перевод этой статьи на русский язык на украинском сайте UK2Watch, который затем переречатывает популярный новостной сайт Korrespondent.net. В переводе фраза звучит так:

В английском языке есть очень выразительное слово chutzpah, которое по-русски лучше всего переводится как «наглость».

Переводчик, по-видимому, не в курсе, что "очень выразительное" английское слово chutzpah ("хуцпа") на самом деле является ивритским, и в английский сленг пришло через идиш (подобно словам "хохма" или "ксива" в русском языке).

Также забавно, что очень выразительное слово chutzpah о выступлении Путина (хотя и в другом контексте) первым употребил на WSJ, а украинская блоггер (как в женском роде? трудности перевода) Вероника Хохлова здесь.

Неофициальные патчи для Digikam

2007-02-10T16:21:00.000+02:00

Digikam - прекрасная программа для работы с цифровыми фотографиями в Linux, которой я активно пользуюсь и рекомендую всем пользователям Linux'а. В этой заметке я опишу одну небольшую проблему Digikam и предложу ее решение.

На моем компьютере установлен не только Linux, но конечно же и Windows, без которого пока обойтись тяжело. Для работы с фотографиями под Windows я использую не менее прекрасную программу Picasa. Конечно, мне хотелось бы, чтобы комментарии к фотографиям, которые я ввожу в Digikam, воспринимались также и Picasa (например, для загрузки в Picasa Web Albums). И Digikam позволяет это сделать, благодаря опции "Save image comments as embedded text". При включении этой опции Digikam сохраняет комментарии к фотографиям в самих файлах фотографий в виде JPEG-комментариев и тэгов EXIF и IPTC. Picasa же использует для сохранения комментарием именно тэги IPTC. Так что Digikam и Picasa могли бы прекрасно понимать комментарии друг друга, если бы не одно "но" - и это, конечно, русские кодировки. Комментарии латинскими буквами воспринимаются прекрасно. Но попробуйте ввести в Digikam комментарий на русском: Picasa увидит одни знаки вопроса. А комментарий, введенный в Picasa в Digikam превратится в "крокозябры".

Для решения этой проблемы я создал небольшой патч для Digikam. После установки патча и перекомпиляции в Digikam появится новая опция. Она находится в диалоге "Configure Digikam" на странице Metadata и называется "IPTC Encoding". Выберите значение "Cyrillic (cp1251)" и после этого Digikam будет сохранять комментарии в IPTC тэги в читаемом для Picasa виде (т.е. Windows-кодировке) и, соответственно, читать комментарии, сохраненные в Picasa. Если же также установить другой мой патч на расширения kipi-plugins, то расширение Metadataedit позволит вам свободно редактировать метаданные IPTC на русском.

Патч для исходников Digikam 0.9.0 находится здесь, патч для исходников kipi-plugins 0.1.3 здесь. Собранный пакет Digikam RPM для Fedora Core 5 с моим патчем здесь, kipi-plugins - здесь.

Обновление для Digikam 0.9.1. Для этого релиза патчить надо сам Digikam и пакет libkexiv2. Патч для Digikam здесь, для libkexiv2 - здесь. Kipi-plugins модифицировать не нужно. Собранный пакет Digikam RPM для Fedora Core 5 с моим патчем здесь, libkexiv2 - здесь.

Обновление для Digikam 0.9.2. Патч для Digikam здесь, для libkexiv2 - здесь. Собранный пакет Digikam RPM для Fedora Core 5 с моим патчем здесь, libkexiv2 - здесь.

Обновление для Digikam 0.9.3. Патч для Digikam здесь, для libkexiv2 - здесь. Собранный пакет Digikam RPM для Fedora Core 5 с моим патчем здесь, libkexiv2 - здесь.

Включение этих патчей в официальную версию Digikam сейчас обсуждается.

A Piece of American Humor

2007-02-09T12:37:00.000+02:00

A farmer named Clyde had a car accident. In court, the trucking company's fancy lawyer was questioning Clyde .

"Didn't you say, at the scene of the accident, 'I'm fine,'?" asked the lawyer.

Clyde responded, "Well, I'll tell you what happened. I had just loaded my favourite mule, Bessie, into the..."

"I didn't ask for any details", the lawyer interrupted. "Just answer the question. Did you not say, at the scene of the accident, 'I'm fine!'?"

Clyde said, "Well, I had just got Bessie into the trailer and I was driving down the road...."

The lawyer interrupted again and said, "Judge, I am trying to establish the fact that, at the scene of the accident, this man told the Highway Patrolman on the scene that he was just fine. Now several weeks after the accident he is trying to sue my client. I believe he is a fraud. Please tell him to simply answer the question."

By this time, the Judge was fairly interested in Clyde 's answer and said to the lawyer, "I'd like to hear what he has to say about his favorite mule, Bessie". Clyde thanked the Judge and proceeded.

"Well as I was saying, I had just loaded Bessie, my favorite mule, into the trailer and was driving her down the highway when this huge semi-truck and trailer ran the stop sign and smacked my truck right in the side. I was thrown into one ditch and Bessie was thrown into the other. I was hurting, real bad and didn't want to move. However, I could hear ole Bessie moaning and groaning. I knew she was interrible shape just by her groans. Shortly after the accident a Highway Patrolman came on the scene. He could hear Bessie moaning and groaning so he went over to her. After he looked at her, and saw her fatal condition, he took out his gun and shot her between the eyes.

Then the Patrolman came across the road, gun still in hand, looked at me,and said, "How are you feeling?"

"Now what the Fuck would you say?