В системе Linux полностью реализован протокол TCP/IP (Transport Control Protocol/Internet Protocol). Протокол TCP/IP оказался наиболее успешным средством объединения компьютеров всего мира в единую сеть. Имея компьютер с системой Linux и адаптер Ethernet (сетевую карту), можно подключить компьютер к локальной сети или (при наличии соответствующего подключения) к сети Интернет, являющейся всемирной сетью, где обмен данными происходит по протоколу TCP/IP.

В системе Linux можно использовать протокол TCP/IP без каких-либо сетевых устройств, поскольку даже на компьютере, лишённом сетевых адаптеров (аппаратных сетевых интерфейсов), всегда имеется виртуальный интерфейс — сетевая «заглушка» (или «петля», loopback interface) по имени lo0. Сетевая заглушка позволяет компьютеру вести диалог с самим собой, используя сетевые протоколы. Это необходимо для некоторых программ и игр, в которых используется сетевые соединения.

Прежде чем настраивать TCP/IP, нужно узнать определённую информацию о параметрах сети. Потребуются следующие параметры.

Наиболее распространённые варианты настройки сети в Master можно произвести с помощью утилиты draknet — поэтому рекомендуется сначала попробовать воспользоваться ей, а если функциональности этой утилиты вам будет недостаточно, попробовать произвести требуемые настройки вручную.

Сразу после запуска draknet предлагает попробовать определить автоматически сетевые устройства, установленные на вашем компьютере. После этого вам будет предложено настроить один из сетевых адаптеров, причём устройства, найденные автоматически, будут отмечены особо; далее необходимо ответить на вопросы (указать требуемые параметры), после чего ваша сеть будет настроена.

Если автоматическая настройка сети, сделанная draknet, вас почему-либо не устраивает или неработоспособна, вы можете настроить работу с сетью, вручную проделав необходимые операции. Стоит иметь в виду, что утилиты, работающие с сетевыми настройками, такие как ifconfig, ip или route, изменяют их на время, до перезагрузки системы. Для постоянной настройки сетевых подключений необходимо изменять соответствующие конфигурационные файлы. Содержимое этих файлов используется системной службой network, которая и запускает при старте системы эти и другие утилиты.

Настройка сети происходит в несколько этапов.

Если система устанавливается на компьютер, включённый в корпоративную сеть, многие параметры сетевых настроек известны заранее. Более того, нежелательно, чтобы эти известные заранее настройки хозяин компьютера мог самостоятельно изменять. Наконец, необходим механизм автоматической передачи компьютерам-абонентам сети таких заранее определяемых системным администратором настроек, как сетевой адрес и маска, адрес маршрутизатора (шлюза), адрес сервера доменных имён (DNS) и некоторых других.

Следует понимать, что всей мощью сетевых протоколов TCP/IP компьютер, не имеющий пока своего IP-адреса, воспользоваться не может. Поэтому сервис удалённой настройки должен опираться на информацию более низкого уровня (интерфейсного уровня TCP/IP). В частности, при использовании сети Ethernet, в качестве идентификатора компьютера может выступать уникальный идентификатор его сетевого интерфейса (т. н. MAC-адрес сетевой карты). MAC-адрес   шестибайтное число, традиционно представляемое в виде шести шестнадцатеричных чисел, разделённых символом :; он содержится, например, в выдаче команды ifconfig. Любые пакеты (фреймы), передаваемые в Ethernet, содержат MAC-адрес в полях идентификатор отправителя и идентификатор получателя. Сетевая карта, получив пакет, сравнивает MAC-адрес получателя со своим, и только в случае совпадения передаёт в систему. Исключение — т. н. широковещательный идентификатор получателя, ff:ff:ff:ff:ff:ff, пакеты с которым передаются системе в любом случае.

Компьютер-абонент локальной сети при включении посылает специальный широковещательный Ethernet-пакет, который трактуется как запрос «настрой меня». В сети должен находиться хотя бы один (и лучше, чтобы один) сервер, способный обрабатывать такой запрос, который, на основании MAC-адреса отправителя и некоторой собственной информации, формирует ответ, содержащий настроечные данные для абонента. Система абонента должна такой ответ обработать, выбрать оттуда интересующую её информацию и настроить сетевые параметры. Таким образом, автоматическая настройка требует наличия в сети сервера, который раздаёт параметры и следит за их употреблением, и клиента на абонентской машине, который эти параметры применяет.

Самый простой способ автоматической настройки   воспользоваться стандартной для семейства протоколов TCP/IP службой преобразования адресов — RARP (Reverse Address Resolution Protocol). Служба эта преобразует низкоуровневые адреса (в случае Ethernet — MAC-адреса, интерфейсный уровень) в высокоуровневые (IP-адрес, сетевой уровень). (Протокол ARP, преобразующий высокоуровневые адреса в низкоуровневые, используется в TCP/IP сетях постоянно для определения MAC-адресов абонентов локальной сети). В Linux формированием RARP-запроса занимается ядро. Сервер rarpd, отвечая на RARP-запросы, пользуется простейшей таблицей соответствия IP-адресов MAC-адресам в сети. Никакой другой информации по RARP передать нельзя, поэтому сегодня он используется главным образом для сетевой загрузки компьютеров (в этом случае простой RARP-запрос формирует не система, а сама сетевая карта, она же запоминает ответ, а система считывает этот ответ при загрузке).

Более гибкий протокол удалённой настройки — DHCP (Dynamic Host Configuration Protocol). Он позволяет передавать не только IP-адрес, но и адреса маршрутизаторов, список DNS-серверов, позволяет управлять удалённой загрузкой, и передавать вообще любые данные, лишь бы они распознавались с клиентской стороны. Что не менее важно, сервер dhcpd (из пакета dhcp-server║), может настраивать компьютеры, MAC-адрес которых заранее неизвестен, выделяя им IP-адреса из заданного диапазона (не навсегда, а на время) и следя за тем, чтобы разным компьютерам выдавались разные адреса. Более того, однажды выданный IP-адрес закрепляется за определённым компьютером и выдаётся ему при повторных запросах — до тех пор, пока адресов в диапазоне хватает для вновь подключаемых абонентов DHCP. Если запас адресов всё же исчерпан, очередному новому компьютеру будет выдан адрес, который дольше всего не использовался.

Сетевая настройка клиента при этом сводится к запуску клиентского демона dhcpcd, который регулярно засылает в сеть DHCP-запросы и интерпретирует ответы. dhcpcd умеет обновлять /etc/resolv.conf и некоторые другие настроечные файлы, модифицируя поведение соответствующих служб системы. Чтобы активизировать настройку по DHCP при начальной загрузке системы, достаточно в файле, допустим, /etc/sysconfig/network-scripts/ifcfg-eth0, указать строку BOOTPROTO=dhcp и убрать строки настройки IP-адреса и/или маршрутизатора.

Настройка сервера dhcpd, в общем случае, довольно проста. Прежде всего следует убедиться в том, что ваш DHCP-сервер — единственный в локальной сети, в противном случае следует настраивать взаимодействие между серверами. Затем создать файл настройки /etc/dhcp/dhcpd.conf, в котором при помощи ключевого слова subnet должны быть описаны все сетевые подключения, имеющиеся на вашем компьютере. В обязательном порядке надо сообщить, какой стиль динамического обновления DNS будет использоваться (проще всего его выключить). Наконец, хотя бы в одной из подсетей необходимо выделить диапазон адресов для раздачи. После этого можно запускать DHCP-демон.

Предположим, адрес вашего компьютера в Интернет (подключён посредством интерфейса eth0) — 207.68.172.234, а интерфейс eth1 подключён к внутренней локальной сети, адрес вашего компьютера в которой — 10.10.10.2. Тогда файл настройки примет вид

ddns-update-style none;

subnet 207.68.172.0 255.255.255.0;

subnet 10.10.10.0 netmask 255.255.255.0 {
  range 10.10.10.10 10.10.10.254;
}

В нашем примере машинам из внутренней сети будут выдаваться адреса от 10.10.10.10 до 10.10.10.254 (точнее, от 10.10.10.254 до 10.10.10.10, так как dhcpd начинает с наибольшего адреса).

Если необходимо, чтобы ваш компьютер выполнял функции маршрутизатора и сервера имён для внутренней сети (домен internal.com), то после настройки соответствующих служб, в этот файл следует добавить — по аналогии с range — строки

option routers 10.10.10.2;
option domain-name-servers 10.10.10.2;
option domain-name "internal.com";

Чтобы постоянно выдавать определённый IP-адрес определённому компьютеру, необходимо, как и в случае RARP, привязать IP-адрес к идентификатору сетевого интерфейса этого компьютера. В случае сети Ethernet в этой роли выступает MAC-адрес. Соответствующая запись в /etc/dhcp/dhcpd.conf может выглядеть, например, так:

host fixed {
  hardware ethernet 0:c0:c3:49:2b:57;
  fixed-address 10.10.10.11;
}

Следует помнить, что сервис ║dhcpd║ использует технологию chroot: его рабочий каталог — /var/lib/dhcp/dhcpd. В этом каталоге, помимо прочего, в файле /var/lib/dhcp/dhcpd/state/dhcpd.leases хранится информация о когда-либо выданных адресах и сроках их действия.

Более подробную информацию о работе с DHCP можно найти в руководствах, входящих в соответствующие пакеты.

Самый простой инструмент подключения по модему к Интернет — утилита kppp, которая входит в состав рабочего стола KDE. Утилита работает только под управлением графической среды XFree86, однако KDE не обязательно должен быть запущен. Возможность работы с kppp управляется утилитой control: control kppp public позволяет любому пользователю запускать kppp, а control kppp netadmin — только членам группы netadmin.

Дозвон можно организовать и не используя графическую среду, из командной строки. Для этого стоит воспользоваться утилитой wvdial. Она умеет автоматически определять тип авторизации на сервере, к которому происходит подключение, так что в большинстве случаев её настройка проходит даже быстрее, чем настройка kppp.

Для того, чтобы обычный пользователь мог использовать сетевые подключения (например, ppp), придумана специальная утилита — usernetctl. В варианте использования public (результат команды control usernetctl public) она выполняет с правами суперпользователя основные действия с сетью — активизацию (up) и деактивизацию (down) сетевого интерфейса. Лучше использовать её не напрямую, а посредством вызова утилит ifup и ifdown.

Последний — самый универсальный, но и самый сложный — способ заключается в том, чтобы использовать pppd, стандартный системный демон, отвечающий как за исходящие, так и за входящие звонки. Следует знать, что для того, чтобы обычный пользователь мог работать с настроенным ppp-соединением с помощью pppd или wvdial, необходимо разрешить ему настраивать сеть (control usernetctl public) и пользоваться соответствующим сетевым соединением (поле USERCTL=yes в /etc/sysconfig/network-scripts/ifcfg-ppp*).

ALT Linux 2.4 Master позволяет настроить компьютер таким образом, чтобы он выступал в роли клиента беспроводной сети wi-fi (IEEE802.11) во всех существующих сегодня режимах работы беспроводных сетей. Более того, вы даже можете сконфигурировать точку доступа (как сервер) в режиме ad-hoc. Для создания полноценной точки доступа в режиме Managed, смотрите проект http://www.linux-wlan.org.

В качестве аппаратной базы, мы рекомендуем использовать wi-fi карты доступа с чипсетами от Intersil-Conexant (prism) или Lucent (orinoco). С этими чипсетами возникает меньше всего проблем при конфигурировании. Если вы настраиваете настольную машину или сервер, лучше выбирать pci-решение. Однако в случае с ноутбуком понадобится поддержка pcmcia-pci мостов. Эта поддержка настраивается с помощью модулей ядра и пакета pcmcia-cs. Наиболее распространены мосты, поддерживаемые модулем i82365, однако в последнее время его заменил yenta_socket. Если вам очень повезёт, то с настройкой вам поможет kudzu, однако на разных версиях ядра и разных аппаратных платформах настройка все больше напоминает магические пассы.

Посмотреть варианты wi-fi оборудования, включая антенны и усилители, можно на сайте http://info.radiolink.ru. Используя направленные антенны и имея соответствующие лицензии, можно делать wi-fi сети в режиме ad-hoc, работающие на расстоянии в десятки километров! Фундаментальную информацию о поддержке wi-fi в Linux и всех тонкостях его настройки и работы можно найти на сайте http://www.hpl.hp.com/personal/Jean_Tourrilhes/Linux/

В случае использования пакета pcmcia-cs, все настройки сетевого интерфейса сосредоточены в файлах: /etc/pcmcia/config.opts, /etc/pcmcia/wireless.opts, и /etc/pcmcia/network.opts. В противном случае конфигурирование производится через modules.conf передачей опций модулям и файлов-описаний интерфейсов в /etc/sysconfig/network-scripts. Напоминаем, что для модулей из пакета pcmcia-cs существует экранная документация, а параметры у модулей ядра можно узнать, выполнив команду modinfo название модуля. Для настройки файлов-описаний интерфейсов в /etc/sysconfig/network-scripts, изучайте содержимое файла /sbin/ifup на предмет $WIRELESS. Интерфейс будет называться wvlan или eth в зависимости от опций модуля-драйвера чипсета на карте.

Настройки в этих скриптах манипулируют напрямую с регистрами на вашей беспроводной плате используя утилиты из пакета wireless-tools, который обязательно в вашем случае должен быть установлен. Ключевая утилита пакета — iwconfig — позволяет просмотреть статистику и настроить плату, не прибегая к настроечным скриптам.

Среди других беспроводных технологий — Bluetooth и IrLAN. Поддержка этих протоколов осуществляется модулями на уровне ядра, а управление соответствующими пакетами — bluez-utils и irda-utils соответственно.

Одна из самых распространённых задач, возникающих при работе в сети, — удалённый доступ к другим компьютерам, в том числе удалённое администрирование компьютеров.

Для решения этой задачи используется ставший уже традиционным протокол SSH (Secure Shell). В отличие от устаревших протоколов, таких как telnet и rsh/rlogin/rcp, которые передают данные прямым текстом и подвержены обыкновенному прослушиванию и различным атакам, SSH реализует соединение с удалённым компьютером, защищающее от:

В дополнение к отличным характеристикам в области обеспечения безопасного клиент-серверного соединения, SSH обладает следующими возможностями:

OpenSSH — это входящая в дистрибутив реализация SSH, поддерживающая версии 1.3, 1.5 и 2.0 протокола SSH, и распространяемая на условиях лицензии BSD. Эта реализация включает в себя:

Безопасность бывает различная, в данном разделе мы рассмотрим внешнюю сетевую безопасность. Главным правилом для обеспечения безопасности при доступе по сети, является следующее условие: выключайте на сервере весь неиспользуемый сервис! Команды netstat -anp | grep udp и netstat -anp | grep LISTEN помогут определить, какой сервис в данный момент предоставляет ваш сервер. Отключить ненужный сервис вы можете с помощью команд chkconfig или ntsysv.

Вторым правилом будет следующее: по возможности обновляйте серверные компоненты из updates дистрибутива, особенно в том случае, если в обновлениях исправлены ошибки в безопасности. Подпишитесь на список рассылки security-announce По этому списку приходит очень немного сообщений, но содержащаяся в них информация и объявления могут иметь очень большое значение для безопасности вашей системы.

Третьим правилом можно считать следующее: не подключайте критически важные ресурсы к глобальной сети Интернет, если это возможно.

Четвёртое правило: используйте где возможно криптование, ssh-туннелирование, SSL-подписи. Это предохранит ваш трафик от подслушивания.

Последнее правило — фильтруйте весь нежелательный трафик. Об этом поговорим подробнее.

Настройка межсетевого экрана

Для построения фильтра пакетов на уровне ядра в Linux применяются следующие пакеты: для ядер 2.2 — ipchains; для ядер 2.4 — iptables; для ядер 2.6 — iptables и ebtables. Далее будем рассматривать iptables как наиболее популярный для настройки межсетевого экрана.

Фундаментальную информацию по настройке iptables и пакетного фильтра на его основе, включая настройку маскарадинга и NAT, с примерами и готовыми скриптами, можно найти в статье http://gazette.linux.ru.net/rus/articles/index-iptables-tutorial.html.

Фильтр пакетов — это программа (iptables) которая просматривает заголовки пакетов по мере их прохождения, и решает дальнейшую судьбу всего пакета. Фильтр может сбросить DROP-пакет (т. е. как будто пакет и не приходил вовсе), принять ACCEPT-пакет (т. е. пакет может пройти дальше), или сделать с ним что-то ещё более сложное.

Под Linux, фильтр пакетов встроен в ядро (как модули), и мы можем делать с пакетами несколько хитроумных вещей, но основной принцип в просмотре заголовков пакетов и решении их дальнейшей судьбы сохраняется.

Ваша текущая настройка межсетевого экрана хранится в ядре, и соответственно будет потеряна при перезагрузке системы. Для сохранения текущих настроек существует команда iptables-save. Она помогает сохранить настройки в файле /etc/sysconfig/iptables. Не исправляйте этот файл вручную! Конфигурация из него зачитывается и восстанавливается при запуске сервиса iptables. Альтернативным вариантом будет размещение в каталоге /etc/rc.d сценария rc.firewall, производящего настройку межсетевого экрана. Файл сценария, естественно, должен быть исполняемым.

Для того, чтобы разобраться в работе iptables, необходимо понять, как пакеты проходят цепочки. На рисунке представлен этот механизм. Как видите, по левой цепочке пакет проходит в случае когда ваш маршрутизатор переправляет пакет дальше, а по правой — когда это локальный трафик, или предназначенный самому маршрутизатору.

О назначении самих цепочек и расширенных возможностях iptables читайте документацию по представленной выше ссылке или man iptables.

Для примера приведём несколько правил.

# Политики цепочек по умолчанию. Если межсетевой экран не находит описания для
# данного пакета, он поступает с ним согласно этих правил.
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

# Обнуление существующих цепочек
iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

# Защита от Syn-flood.
iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT

# Защита от скрытого сканирования портов.
iptables -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit 
--limit 1/s -j ACCEPT

# Защита от Ping of death.
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s 
-j ACCEPT

# Запрещаем NEW и INVALID входящие пакеты с ppp.
iptables -A INPUT -i ppp+ -m state --state NEW,INVALID -j DROP

# Разрешаем пакеты, принадлежащие и относящиеся к уже установленному 
# соединению.
iptables -N block
iptables -A block -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A block -m state --state NEW -i ! ppp+ -j ACCEPT
iptables -A block -j DROP

iptables -A INPUT -j block

В этих правилах описывается примерная защита для одиноко стоящего хоста с коммутируемым (или ADSL) подключением к Интернет. В самом конце цепочки INPUT осуществляется переход в самодельную цепочку block.

При организации корпоративных сетей очень важен этап предварительного планирования топологии сети, нагрузки по сегментам сети, расчёт протяжённости кабельной системы, а также затратная часть на сетевую инфраструктуру и серверы, предоставляющие сервис в этой сети. От правильности начального планирования зависит производительность и масштабируемость всей сети в целом и её отдельных компонентов. Ваша сеть скорее всего будет работать по Ethernet, а там, как известно используется протокол обнаружения коллизий. Чем правильнее вы спланируете свою сеть, тем меньше будет этих коллизий и тем лучше будет работать сеть в целом. На стадии планирования вам поможет статья по адресу http://citforum.ru/nets/articles/lso.shtml.

После того, как вы набросали план вашей будущей сети и приобрели необходимое оборудование, нужно распределить адресное пространство. В разделе Настройка IP (маршрутизация) приводилось несколько ссылок, помогающих разобраться в тонкостях организации подсетей, работе с сетевыми масками и пр. Здесь мы рассмотрим, почему используют подсети при организации корпоративных сетей.

Очень важным является следование RFC1918, которая регламентирует используемое для построения внутренних сетей адресное пространство. Напомним, что это блоки адресов: 10.0.0.0/8 для сетей класса A, 172.16.0.0/16 — 172.31.0.0/16 для сетей класса B, 192.168.0.0/16 для сетей класса C. Здесь после знака / указана битовая маска сети. Если вы не будете следовать этим рекомендациям, то у вас могут возникнуть сложности при подключении сети к Интернет.

Далее нужно выбрать из перечисленных выше вариантов сетевой блок, который будет удовлетворять размерам вашей сети. Как правило, в случае небольшой сети (до 254 машин), выбирают сеть 192.168.0.0/24. Для сети масштаба предприятия выбирают сеть класса А.

Введите организацию подсетей: адрес сети класса A может быть разбит на несколько (если не много) отдельных сетей. Управлять каждой отдельной сетью значительно проще.

Это позволяет устанавливать и управлять небольшими сетями — весьма возможно использовать различные технологии организации сетей. Помните, вы не можете смешивать Ethernet, Token Ring, FDDI, ATM и т. п. на одной физической сети, однако они могут быть связаны мостами (bridges).

Другие причины для организации подсетей:

Каждая сеть имеет два адреса, не используемых для сетевых интерфейсов (компьютеров) — сетевой номер сети и широковещательный адрес. Когда вы организуете подсеть, каждая из них требует собственного, уникального IP-адреса и широковещательного адреса, причём они должны быть правильными внутри диапазона адресов сети, которую вы организуете.

Таким образом, разделение сети на две подсети приводит к тому, что образуются два адреса сети и два широковещательных адреса — увеличивается число «неиспользуемых» адресов интерфейсов; создание 4-х подсетей приведёт к образованию 8-и неиспользуемых адресов интерфейсов и т. д.

Фактически, самая маленькая пригодная для использования подсеть состоит из 4 IP-адресов:

Если у вас в подсети один компьютер, то любые сетевые сообщения должны отправляться в другую подсеть. Этим будет заниматься маршрутизатор, на котором вы в таблицу маршрутизации прописываете пути в эти подсети. А на этом единственном компьютере в подсети вы указываете маршрутизатор как маршрут по умолчанию, или шлюз. Для того, чтобы маршрутизатор перебрасывал пакеты между интерфейсами, вам обязательно надо включить форвардинг. Делается это в файлах /etc/sysconfig/network и /etc/sysctl.conf.

Сетевая маска позволяет разделить сеть на несколько подсетей. Сетевая маска для сети, не разделённой на подсети — это просто четвёрка чисел, которая имеет все биты в полях сети, установленные в 1 и все биты машины, установленные в 0.

Таким образом, для трёх классов сетей стандартные сетевые маски выглядят следующим образом:

Способ организации подсетей заимствует один или более из доступных битов номера хоста и заставляет интерпретировать эти заимствованные биты как часть сетевых битов. Таким образом, чтобы получить возможность использовать вместо одного номера подсети два, мы должны заимствовать один бит машины (крайний левый), установив его в сетевой маске в 1.

Для адресов сети класса C это привело бы к маске вида 11111111.11111111.11111111.10000000 или 255.255.255.128 К примеру, для сети класса C с сетевым номером 192.168.1.0, есть несколько случаев:

В принципе, нет абсолютно никакой причины следовать вышеупомянутым способам организации подсетей, где сетевые биты добавлены от старшего до младшего бита хоста. Однако, если вы не выберете этот способ, то в результате IP-адреса будут идти в очень странной последовательности! Но в результате, решение, к какой подсети принадлежит IP-адрес, получается чрезвычайно трудным для нас (людей), поскольку мы не слишком хорошо считаем в двоичной арифметике (с другой стороны, компьютеры, с равным хладнокровием, будут использовать любую схему, которую вы им предложите).

Выбрав подходящую сетевую маску, вы должны определить сетевые, широковещательные адреса и диапазоны адресов для получившихся сетей. Учтите, что при увеличении числа подсетей сокращается число доступных адресов для компьютеров. Располагая этой информацией, вы можете назначить адреса машин, сетевые адреса и сетевые маски.

Последним этапом будем считать настройку маршрутизатора. Статические маршруты в подсети описываются в файле /etc/sysconfig/static-routes. Заметьте, что по умолчанию этого файла нет! Синтаксис записей в файле примерно такой:

eth1 host 172.16.50.2
eth1 net 0/0 gw 10.255.16.1

Здесь во второй строке для примера нестандартным образом указан маршрут по умолчанию. Стандартно он оформляется в файлах-описаниях интерфейсов и /etc/sysconfig/network. Напоминаем про необходимость включения форвардинга. Это можно сделать не перезагружая систему, дав команду echo "1" > /proc/sys/net/ipv4/ip_forward

Ну и напоследок, не лишней будет настройка на маршрутизаторе межсетевого экрана, подробнее об этом см. раздел Сетевая безопасность.