# QUESTIONS.md — что нужно уточнить на стенде / у экзаменатора

Список пополняется по мере работы с заданиями 2 и 3.

## HQ-SW (задание 1)
- По tasks.md HQ-SW — виртуальный коммутатор; кто и чем его настраивает (это
  отдельная ВМ? EcoRouter? встроенный коммутатор гипервизора?) — уточнить.
- Что от него требуется по заданию 1 (что тренировать руками):
  - порт в сторону HQ-SRV — access VLAN 100;
  - порт в сторону HQ-CLI — access VLAN 200;
  - порт в сторону HQ-RTR — trunk с VLAN 100, 200 и 999 (HQ-RTR маршрутизирует
    все VLAN через ОДИН адаптер, п. 4 задания 1);
  - управление в VLAN 999: IP управления HQ-SW должен быть из сети VLAN 999
    (не более 8 адресов по заданию).
- Часовой пояс на HQ-SW НЕ настраивается (п. 11 задания 1).

## РЕД ОС 8 — менеджер сети и имена пакетов/служб (ПРОВЕРИТЬ на стенде)
- Сетевой менеджер: NetworkManager с keyfiles
  (/etc/NetworkManager/system-connections/*.nmconnection)? Или
  netplan/ifup? Все скрипты задания 1 написаны под NetworkManager.
- Пакет/служба для сохранения iptables: iptables (пакет iptables-services,
  служба iptables)? Если используется firewalld или nftables — обсудить
  с экзаменатором, поменять подход NAT.
- OSPF-демон: frr (пакет frr, конфиг /etc/frr/frr.conf, служба frr) или
  quagga? В скриптах — frr, файл /etc/frr/daemons правится sed'ом
  (zebra=yes, ospfd=yes) — проверить, что файл такой существует.
- Пакет DHCP-сервера: dhcp-server (служба dhcpd, конфиг /etc/dhcp/dhcpd.conf)?
  Или kea/dnsmasq? В zadanie1/hq-rtr.sh — dhcp.
- DNS-сервер на HQ-SRV выбран dnsmasq (простой, A-записи через hosts-файл).
  PTR-записи: dnsmasq должен отдавать обратные записи по записям hosts —
  ПРОВЕРИТЬ на стенде (dig -x адрес). Если экзаменатор требует полноценный
  bind — переделать hq-srv.sh.
- SELinux на РЕД ОС 8: если Enforcing, для порта SSH 2027 нужен
  semanage (пакет policycoreutils-python-utils) — проверено в скриптах,
  но имена пакетов ПРОВЕРИТЬ.

## BR-FW
- Тип системы неизвестен (УТОЧНИТЬ). zadanie1/br-fw.sh написан под Linux.
  Если это не Linux (EcoRouter/другой МСЭ) — настройки OSPF-соседа и
  интерфейсов делаются по-своему, взять логику из скрипта как чек-лист.

## HQ-CLI
- Графика: по предварительным данным HQ-CLI — только терминал. Пункты
  задания 2 (Яндекс Браузер) и задания 3 (Кибер Бэкап GUI, принтер в GUI)
  делаем через консоль где возможно, остальное — MANUAL.md/вручную.
- Установлен ли на РЕД ОС 8 репозиторий с Яндекс Браузером (dnf)? Если нет —
  rpm-пакет с флешки/ISO — уточнить, откуда брать пакет.

## Задание 2 (уточнения по ходу)
- chrony: путь конфига (/etc/chrony.conf?) и имя службы (chronyd?) на РЕД ОС 8.
- NFS: имя пакета (nfs-utils) и службы (nfs-server) на РЕД ОС 8.
- mdadm: имя файла конфигурации (/etc/mdadm.conf по заданию; RHEL-вариант
  /etc/mdadm.conf может дополняться переменными mdadm.conf.d).
- Веб-приложение: пользователь службы apache на РЕД ОС 8 (apache или httpd?),
  также формат данных для подключения БД в index.php — смотреть файл из ISO.
- Samba: точное имя пакета samba-dc и путь samba-tool; команда для порога
  блокировки (--lockout-attempt / --lockout-threshold, зависит от версии);
  имя администратора домена (administrator?).
- Ansible: пакет ansible-core vs ansible; пользователи SSH для каждой машины
  (из задания 1: sshuser на серверах, net_admin на роутерах).
- Docker: пакет (docker-engine / docker-ce / podman?), имена файлов образов
  в Additional.iso (site_latest, mariadb_latest — тары или директории?),
  содержимое compose.yaml (маппинг портов на 8080?).
- Autofs: пакет autofs, служба autofs на РЕД ОС 8.
- Ввод HQ-CLI в домен: realmd+sssd или winbind — заранее выяснить стек.
- Подтверждение «пользователи группы hq имеют право аутентифицироваться на
  HQ-CLI»: как проверять (sssd getent / su - hquser1).
- Яндекс Браузер: имя пакета в репозитории РЕД ОС 8 (yandex-browser-stable?)
  или источник rpm.
- Проброс 8080 наружу: на какую сеть идут DNAT-правила (интерфейс ISP), и что
  разрешён прохождение пакетов в цепочке FORWARD (политика ACCEPT).

## Задание 3 (уточнения по ходу)
- «Рекомендуется использовать отечественные алгоритмы шифрования» (ЦС на
  HQ-SRV): обычный openssl ГОСТ-подписи не умеет; рассмотреть
  crypto-pro/ViPNet — уточнить требования экзаменатора. Пока в планах
  openssl RSA/ECDA на 30 дней.
- Кибер Бэкап: GUI-продукт, ставится в MANUAL.md вручную.
- Принт-сервер: виртуальный PDF-принтер на HQ-SRV достижим через
  CUPS-pdf; подключение на клиенте через lpadmin/lpoptions — проверить.