main

AD авторизация на Linux

2022-03-22T19:37:00.002+03:00

FreeIPA - Удобное руление AD в Linux, для например авторизации на серверах и юзать AD на своих ресурсах.

Просто оставлю ссылку:

https://www.dmosk.ru/miniinstruktions.php?mini=freeipa-centos

Запрещаем ребутать сервер Linux даже руту

2022-03-22T19:35:00.001+03:00

Неожиданно несколько раз выстрелила проблема - коллеги или сам можем ребутнуть или выключить продовый сервер. При этом яркое и цветное приветствие не помогает.

Сходу я не нашел красивых готовых решений. Полазил в сторону polkit, но это не совсем то:

Polkit (прежнее название: PolicyKit) — библиотека для UNIX-подобных операционных систем. API библиотеки используется для предоставления непривилегированным процессам возможности выполнения действий, требующих прав администратора. Использование Polkit противопоставляется использованию таких систем, как sudo, но не наделяет процесс пользователя правами администратора, а позволяет точно контролировать, что разрешено, а что запрещено.

Пришла такая идея: заменить бинарники poweroff, shutdown, reboot на свои файлы, при этом сохранив возможность запуска нужных команд.

Набросал shell-ник:

#!/bin/bash

echo -e "\033[41m\033[30m ------------------------------------------------------------ \033[0m"
echo -e "\033[41m\033[30m | | \033[0m"

echo -e "\033[41m\033[30m | !!! YOU CAN TRY REBOOT OR SHUTDOWN PRODUCTUON SERVER !!! | \033[0m"

echo -e "\033[41m\033[30m | | \033[0m"

echo -e "\033[41m\033[30m ------------------------------------------------------------ \033[0m"

user=$SUDO_USER
hostname=hostname
CHAT_ID="*******************"
action=realpath $0

echo 'Send alarm on flock chat'
MSG_alarm="User ${user} try to execute ${action} on server ${hostname}!"
MSG_wrong="User ${user} can't confirmation execute ${action} on server ${hostname}!"
MSG_info="User ${user} confirmation execute ${action} on server ${hostname}!"

curl "${MSG_alarm}"

echo
echo

read -p 'If you really want to reboot this server, enter his hostname for confirmation: ' confirmation
echo $confirmation

if [ "$confirmation" = "$hostname" ]; then

echo "Hostname are equal. Reboot"
curl {MSG_info}
### reboot
/usr/sbin/prod_reboot
####

else

echo "Hostname are not equal. Server can not be rebooted"
curl {MSG_wrong}

fi

Кладем его в /usr/sbin, родную команду reboot (или poweroff / shutdown) переименуем, например

mv /usr/sbin/reboot /usr/sbin/prod_reboot

Скрипт делаем исполняемым через chmod +x

Из в меру важного:

1. CHAT_ID - это ID для отстрела в чатик информации. Не знаю какой у вас чат и как это реализовано, поэтому убрал все лишнее.

Логика работы такая - при запуске команды reboot, запустится скрипт, напишет кислотными цветами в консоль о попытке ребутнуть сервер, отошлет в чатик алярм и попросит ввести хостнейм сервеера, чтобы точно ребутнуть. Если хостнэйм не совпадет - ребута не будет. Об обоих действиях в чатик придет уведомление.

Squid и FTP - разрешаем доступ

2016-04-26T15:42:00.000+03:00

Дано - офис ходит в интернет через squid, и кому-то прислали ссылку на очень важные архивы, которые лежат на ftp.
Ссылка вида ftp://user:pass@domain.example
Squid режет и не пускает.
Почему так происходит: squid переключается в режим EPSV (extended passive mode), и, согласно этому режиму, запрашивает у сервера порт, по которому будут приниматься/передаваться данные. Сервер отвечает с номером порта >1024. Для успешного соединения в данной среде с ftp сервером, нужен режим PASV.

Решаем:

В /etc/squid3/squid.conf

ftp_epsv off

И рестартим squid. Однако мне показалось, что файлы отдаются не очень быстро через браузер, и не пускает через Проводник и прочие ужасы оффтопика :)

Решаем и это:

В /etc/squid3/squid.conf

acl SSL_ports port 443 21    #(добавим сюда порт 21)
acl Safe_ports port 21       #ftp (не трогаем, если есть)
acl ftp proto FTP            #(создаем ACL для протокола FTP)
http_access allow ftp        #(И разрешаем ACL ftp доступ в интернет)

И снова не забудем рестартить squid.

2014-10-28T17:04:00.002+03:00

ISPmanager, пропала страница-заглушка об отключении юзера - валиться просто forbidden. А у нас есть красивая страничка-заглушка, объясняющая что нам надо денежку платить.
Фиксим:

Include /usr/local/ispmgr/etc/ispmgr.inc

<Directory /var/www/mgrtest/data/www/mgrtest.isp>
Options -ExecCGI -Includes
php_admin_value open_basedir "/var/www/mgrtest/data:."
php_admin_flag engine on
</Directory>

iptables -s

2014-10-26T21:19:00.000+03:00

Случайно узнал о дичайше полезном ключике iptables -S
Выводит правило в том виде, в котором мы его вносим в фаерволл.
Наконец смогу нормально удалять правила.

Режем высокий PPS в Linux

2014-10-12T21:13:00.000+03:00

-A FORWARD -o eth0 -s 31.130.207.18 -m limit --limit 1000/sec -j ACCEPT
-A FORWARD -o eth0 -s 31.130.207.18 -j DROP

До 1000 пакетов в секунду пропускаем, дальше дропаем.

Защищаем DNS от мини-ddos

2014-05-05T21:38:00.000+03:00

Недавно стали DDoS-ить DNS сервер. Некий школьнику своего домена alexcoolshow.ru указал наши DNS, соответственно пришли боты и стали дёргать сервера.
Немного сложности добавляло то, что один запрос вида alexcoolshow, другой AlExCoOlShOw, третий еще как-нибудь играется с регистрами букв.
По умолчанию модуль strings в iptables не умеет работать с регистром, но есть ключик --icase.

Пример правил:

iptables -A INPUT -p tcp -m multiport --dport 53,993 -m string --string 'alexcool' --algo bm --icase -j DROP

iptables -A INPUT -p udp -m multiport --dport 53,993 -m string --string 'alexcool' --algo bm --icase -j DROP

Запрещаем все запросы к DNS (порты 53 и 993), имеющие запрос вида alexcool, независимо от регистра букв. Нагрузка на процессоры незаметна, в отличие от постоянного дерганья nameserver.

ISPmanager + nginx + MODx - локально для юзера чиним админку

2013-05-21T13:14:00.000+03:00

Набор софта на сервере такой: CentOS 6.4, httpd.itk, nginx, ispmanager pro v. 4.4.10.9
Сайт - example.by, движок MODx.
По умолчанию админка находится по адресу example.by/manager
Открывается же панель управления хостингом ispmanager.
Исправляем:

httpd: Добавляем алиас, отмечено красным

nano /etc/httpd/conf/httpd.conf

<VirtualHost 123.456.789.101:81 >
 ServerName example.by
 AssignUserID example example
 CustomLog /var/www/httpd-logs/example.by.access.log combined
 DocumentRoot /var/www/example/data/www/example.by
 ErrorLog /var/www/httpd-logs/example.by.error.log
 ServerAdmin webmaster@example.by
 ServerAlias www.example.by
 AddType application/x-httpd-php .php .php3 .php4 .php5 .phtml
 AddType application/x-httpd-php-source .phps
 php_admin_value open_basedir "/var/www/example/data:."
 php_admin_value sendmail_path "/usr/sbin/sendmail -t -i -f webmaster@example.by"
 php_admin_value upload_tmp_dir "/var/www/example/data/mod-tmp"
 php_admin_value session.save_path "/var/www/example/data/mod-tmp"
 php_admin_value memory_limit "67108864"
 php_admin_value max_execution_time "60"
 Alias /manager/ /var/www/example/data/www/example.by/manager/
 MaxClientsVHost 8
 RLimitCPU 60
 RLimitMEM 67108864
 RLimitNPROC 10
 ScriptAlias /cgi-bin/ /var/www/example/data/www/example.by/cgi-bin/
</VirtualHos>
В nginx - комментируем отмеченное красным:

nano /etc/nginx/nginx.conf

server {
                server_name example.by www.example.by;
                listen 123.456.789.101;
                set $root_path /var/www/example/data/www/example.by;
                location ~* ^.+\.(jpg|jpeg|gif|png|svg|js|css|mp3|ogg|mpe?g|avi|zip|gz|bz2?|rar|swf)$ {
                        root $root_path;
                        access_log /var/www/nginx-logs/example isp;
                        access_log /var/www/httpd-logs/example.by.access.log ;
                        error_page 404 = @fallback;
                }
                location / {
                        proxy_pass http://123.456.789.101;
                        proxy_redirect http://123.456.789.101/ /;
// пропущено
                location @fallback {
                        proxy_pass http://123.456.789.101:81;
                        proxy_set_header Host $host;
                        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                        proxy_set_header X-Forwarded-Proto $scheme;
                        proxy_set_header X-Real-IP $remote_addr;
                }
                # include /usr/local/ispmgr/etc/nginx.inc;
        }

Сохраняем. Далее

/etc/init.d/httpd restart
/etc/init.d/nginx restart

Проверяем, радуемся

0day уязвимость в Linux от 2.6.37 до 3.8.10

2013-05-15T22:23:00.002+03:00

Сегодня в сети появился рабочий эксплоит для всех версий Linux от 2.6.37 до 3.8.10, который дает возможность локальному пользователю получить права root. Проблема осложняется тем, что в случае с RHEL/CentOS 6 уязвимость была бэкпортирована в ядро 2.6.32, так что владельцам серверов с данными системами так же следует надеяться на скорейший выпуск ядра и исправлением ошибки. Таким образом, уязвимыми оказались все основные выпуски наиболее популярных серверных дистрибутивов: Debian 7.0, RHEL/CentOS 6, Ubuntu 12.04.

UPD: эксплоит для x86_64 / amd64, компилировать надо с -O2 о чем сказано в исходном коде.

Источник: habrahabr.ru

Временно фиксится так:

sysctl -w kernel.perf_event_paranoid=2
sysctl -w kernel.perf_event_max_sample_rate=-1

Генератор паролей из /dev/urandom

2013-02-08T17:08:00.002+03:00

iptables и модуль string

2013-02-03T00:58:00.000+03:00

Хитрое правило. Эдакий L7 firewall для linux + iptables, можно дропать пакеты на определенные адреса или определенные фразы.
Значек ! - отрицание.

Суть правила ниже: пользователю с uid=33 можно отправить запрос со словом "byfly.by" лишь на разрешенные IP. Все остальное - дропается.

#!/bin/bash
WHITELIST=guest.txt

for x in `grep -v ^# $WHITELIST | awk '{print $1}'`; do
       #echo $x
       iptables -A OUTPUT ! --dst $x -m owner --uid-owner 33 -m string --string "byfly.by" --algo
bm -j DROP
    iptables -A INPUT ! -- dst $x -m string --string --algo bm -j DROP
done
exit 0

Запретим входящий трафик всему, кто не с 192.168.1.24 запрашивает "index.php"

iptables -A INPUT ! -s 192.168.1.24 -m string --string 'index.php' --algo bm -j REJECT

Запретим устанавливать новые исходящие соединения юзеру с uid=33, если там проскакивает "example.com". Такое можно использовать, чтобы, например, забанить php-прокси на шаред-хостинге, если apache без патча itk - работает от одного юзера у всех. В данном случае фаерволл дропнет проксю по двум признакам:

1. Апач инициализирует исходящее соединение.

2. Для блокирования конкретного юзера, надо лишь знаеть, на каком сайте стоит прокси.

iptables -A OUTPUT -m state --state NEW -m owner --uid-owner 33 -m string --string 'example.com' --algo bm -j DROP

iptables защита ssh от перебора паролей

2012-10-18T20:01:00.002+03:00

Правила хитрые, но с комментариями. По сути тут даже не защита от перебора паролей, а полный запрет для всех чужих IP, разрешен лишь белый список и всего 3 попытки ввести неверный пароль.
Скрипт - bash.

#!/bin/bash
# Даем 3 попытки стукнуться в ssh, иначе баним на 10 минут
iptables -A INPUT -p TCP -i eth0 --syn --dport 22 -m recent --name radiator --set
iptables -A INPUT -p TCP -i eth0 --syn --dport 22 -m recent --name radiator --update --seconds 600 --hitcount 2 -j DROP

## Местоположение файлов
WHITELIST=guest.txt

## Белый список ip, с которых можно зайти по ssh:
for x in `grep -v ^# $WHITELIST | awk '{print $1}'`; do
echo "Разрешение $x..."
iptables -A INPUT -p tcp --dport 22 --src $x -j ACCEPT
done

## Блокируем все IP, которые не в белом списке
iptables -A INPUT -p tcp --dport 22 -j DROP

## Даем 3 попытки стукнуться в ssh, иначе баним на 10 минут
#iptables -A INPUT -p TCP -i eth0 --syn --dport 22 -m recent --name radiator --set
#iptables -A INPUT -p TCP -i eth0 --syn --dport 22 -m recent --name radiator --update --seconds 600 --hitcount 2 -j DROP
exit 0

Небольшое пояснение - ssh должен быть запущен на стандартном, 22 порту. Правила смотрят на количество отправленных пакетов syn - установку соединения. Если соединение не удалось установить - значит ssh сбрасывает его, обычно из-за неверного пароля или имени пользователя. Как видно из правила, мы слушаем интерфейс eth0, если сервер смотрит в сеть другим интерфейсом - его надо изменить. В файл guest.txt можно класть как одиночные ip, так и сразу с маской сети, главное - каждый ip или подсеть в новой строке.
Так же можно защищать и FTP, и любые другие подобные сервисы, если по каким-то причинам не установлен fail2ban. Правило было подсказано на linux.org.ru и доработано мной

Закрыл apache в связке с nginx

2012-10-18T19:51:00.000+03:00

Собственно, все очень просто. Допустим, apache у нас на порту 81, nginx - 80. А IP сервера - 1.2.3.4. Тогда правила выглядят так:

iptables -A INPUT -p tcp --src 127.0.0.1 --dport 81 -j ACCEPT
iptables -A INPUT -p tcp --src 1.2.3.4 --dport 81 -j ACCEPT
iptables -A INPUT -p tcp --dport 81 -j DROP

Собственно обязательно разрешить оба варианта - и localhost и внешний IP сервера, чтобы он как бы сам на себя мог ходить.
Не помню, хоть убейте, как UDP резать.

Cisco и MSS

2012-09-07T18:33:00.003+03:00

Собственно, случай с работы - стоит 2 Cisco 1760. На каждой подключен провайдер через ADSL, в моем случае - Атлант-Телеком и Byfly. С byfly творятся странные вещи - любой сайт прекрасно пингуется, как с операционной системы, так и с cisco, а вот в браузере половина сайтов не открывается. Иногда страница вообще жутко тупит и думает, иногда загрузится половина страницы и дальше видно, что браузер ожидает ответа от какого-нибудь поддомена. Подсказали мне, что собака зарыта в MSS.

MSS – это Максимальный Размер Сегмента ( Maximum Segment Size ). В момент инициализации tcp сессии устройства договариваются размере пакетов, который не будет превышаеть определенное значение – MSS. В моем случае, сервер посылает слишком длинный пакет, в ответ на размер пакета в cisco. Возможно где-то фаерволл или оборудование провайдера не пропускает слишком длинные пакеты, возможно что-то еще. Возможно, сам web сервер работает некорректно. Другой причиной может быть активность вируса или внешней программы, которые внедряют свои данные в чужой трафик.

Исправляется с помощью

int dialer1

ip tcp adjust-mss 1452

Вероятно, необходимо поиграться с mss в сторону уменьшения, для корректной работы.

Windows 7 USB - создаем загрузочную флешку в Linux

2012-08-29T23:47:00.003+03:00

Понадобилось сегодня установить Windows 2008R2 на локальный сервер, а заодно сделать флешку с Windows 7 для рабочих компьютеров, поскольку в офисе почти все компьютеры без привода. Из-за под windows делать загрузочную флешку очень просто - есть куча простых утилит, есть и command line, о которой расскажу в следующей записи. У меня на рабочем компьютере стоит CentOS, поэтому обычные утилиты не подходят.

Нам понадобится лишь установить ms-sys - это установочник загрузчика Windows 7 на флешку.
# yum install ms-sys

Вернемся пока к нашей флешке. Допустим, в системе флешка наша /dev/sdb. Конкретно букву флешки можно посмотреть через
# df -h

Вывод выглядит примерно так:
Файловая система      Разм Исп Дост Исп% смонтирована на
/dev/hda1             6,1G 4,4G 1,8G 72% /
/dev/hda4              22G   14G 7,8G 63% /home
/dev/sdb                4G    4G    0G 100% /media/New Volume

Создадим файловую систему NTFS на флешке:
# mkfs.ntfs -f /dev/sdb

Примонтируем образ:
# mount -o loop win7.iso /mnt/iso

Дальше скопируем файлы из с /mnt/iso на флешку любым удобным способом (cp, mv, mc, rsync - это не существенно)
Записываем Windows 7 MBR(загрузочную запись) на usb-накопитель:
# ms-sys -7 /dev/sdb

После перезагрузки, выбираем загрузку с флешки и устанавливаем Windows 7.
Как ни странно, dd не справляется с копированием образа - компьютер не загружается.

Горячая замена - где бывает?

2012-08-25T19:40:00.000+03:00

Горячая замена (Hot Swap) — термин, обозначающий, что оборудование можно отключать без остановки сервера и отключения питания.

Горячую замену поддерживают такие стандарты: PCMCIA, USB, FireWire, Fibre Channel и eSATA. Это flash-накопители, некоторые жесткие диски, карты расширения форматов PCI-X, PCI Express, ExpressCard (PCMCIA, также ранее называемые PC Cards), находящие применение в ноутбуках и даже некоторые блоки питания (актуально для серверов).
Не поддерживает полноценную горячую замену дисковые интерфейсы SATA и полностью не поддерживает протокол IDE (IDE поддерживает горячее подключение).
Однако, личный опыт говорит о том, что SATA жесткий диск, с переходником для SAS, вполне умеет горячую замену. Вероятно, в режиме AHCI SATA тоже умеет горячую замену, но я не проводил опыты.

hint: Многие устройства, которые поддерживают горячую замену, имеют парочку контактов, которые первыми входят в контакт с гнездом, обеспечивая таким образом заземление.

CentOS настройка сети

2012-08-25T19:30:00.004+03:00

Файл конфигурации сети в CentOS сильно отличается от такого в Debian. Сначала сделаем ifconfig и посмотрем наши интерфейсы. Допустим, кабель вставлен в eth0. Тогда:
nano /etc/sysconfig/network-scripts/ifcfg-eth0

Сам файл конфигурации сети выглядит так:
DEVICE=eth0
BOOTPROTO=static
DHCPCLASS=
HWADDR=00:00:17:EA:18:99
ONBOOT=yes
TYPE=Ethernet
IPADDR=192.168.1.2
NETMASK=255.255.255.0
BROADCAST=192.168.1.255
NETWORK=192.168.1.0
Сохраним изменения.
Сеть мы настроили, не хватает только шлюза и DNS серверов.
Шлюз укажем в файле:
nano /etc/sysconfig/network
Таким образом:
GATEWAY=192.168.1.1

Осталось указать DNS. Их нужно указывать в файле
nano /etc/resolv.conf
В таком виде:
nameserver 127.0.0.1
nameserver 192.168.0.1

Перезапустим сеть:
ifdown eth0
ifup eth0
Либо же
service network restart

Для сравнения - файл конфигурации сети в Ubuntu:
nano /etc/network/interfaces

auto eth0
ifcae eth0 inet static
    address 192.168.1.2
    netmask 255.255.255.0
    network 192.168.1.0
    broadcast 192.168.1.255
    gateway 192.168.1.1

Нативная ZFS на Linux

2012-08-17T01:31:00.001+03:00

ZFS (Zettabyte File System) — файловая система, изначально созданная в Sun Microsystems для операционной системы Solaris. Эта файловая система поддерживает большие объёмы данных, объединяет концепции файловой системы и менеджера логических дисков (томов) и физических носителей, новаторскую структуру данных на дисках, легковесные файловые системы (англ. lightweight filesystems), а также простое управление томами хранения данных. ZFS является проектом с открытым исходным кодом и лицензируется под CDDL (Common Development and Distribution License).

Максимальные возможности

ZFS — это 128-битная файловая система, что позволяет ей хранить в 18,4 × 10¹⁸ раз больше данных, чем нынешние 64-битные системы. ZFS спроектирована так, чтобы её ограничения были настолько малы, что они никогда не встретятся на практике. Как заявил руководитель проекта Бонвик, «заполнение 128-битных файловых систем превысит квантовые возможности хранения данных на Земле.
Некоторые теоретические пределы в ZFS:

2⁴⁸ — Количество снимков (snapshot) в любой файловой системе (2 × 10¹⁴)
2⁴⁸ — Количество файлов в любой индивидуальной файловой системе (2 × 10¹⁴)
16 эксабайт (2⁶⁴ byte) — Максимальный размер файловой системы
16 эксабайт (2⁶⁴ byte) — Максимальный размер одного файла
16 эксабайт (2⁶⁴ byte) — Максимальный размер любого атрибута
3 × 10²³ петабайт — Максимальный размер любого пула хранения (zpool)
2⁵⁶ — Количество атрибутов файла (фактически ограничивается 2 ⁴⁸ на количество файлов в файловой системе ZFS)
2⁵⁶ — Количество файлов в директории (реально ограничен 2 ⁴⁸ на количество файлов в файловой системе ZFS)
2⁶⁴ — Количество устройств в любом zpool
2⁶⁴ — Количество zpool’ов в системе
2⁶⁴ — Число файловых систем в zpool

Дополнительные возможности

Конкретный I/O приоритет со сроком планирования.
Оптимальный в глобальном масштабе I/O сортировки и агрегации (aggregation).
Несколько независимых потоков с упреждением автоматического обнаружения длины и шага.
Параллельная, постоянная времени операций с каталогами.
Интеллектуальная очистка и коррекция.
Загрузка и совместное использование дисков в пуле.
Те же блоки: Метаданные воспроизводятся внутри пула, два или три раза (согласно значимости метаданных). Если пул состоит из нескольких устройств, ZFS будет пытаться воспроизводить данные на разных устройствах. Даже в пуле без избыточности можно потерять данные, но даже если Вы обнаружите поврежденные секторы, то метаданные должны создать достаточную безопасность, даже при таком сценарии.
Дизайн ZFS (копия-по-записи + uberblocks) даёт бо́льшую безопасность при использовании дисков с возможностью записи в кэш, то есть если они реагируют и повинуются на кэш-флэш команды выданные ZFS. Эта особенность обеспечивает безопасность и значительное повышение производительности по сравнению с другими ФС.
Учитывая предыдущий пункт, когда все диски находятся в ZFS пуле, ZFS автоматически включает функцию записи в кэш для них. Это не применимо, если не только ZFS одновременно управляет дискретными разделами диска, например если вы используете ФС без функции безопасной записи в кеш, например UFS (и множество других).

Информация про ZFS взята с wikipedia

А теперь самое "вкусное":

Долгое время в Linux перенос ZFS на уровень ядра считался юридически невозможным из-за несовместимости лицензий CDDL, под юрисдикцией которой находится ZFS, и GNU GPL, под юрисдикцией которой находится Linux. Однако в мае 2010 года Брайан Белендорф (Brian Behlendorf) представил новую версию проекта, в рамках которого ведется работа по реализации родной поддержки файловой системы ZFS для Linux. Для обхода лицензионного ограничения Белендорф воспользовался простым и очевидным методом — он решил распространять свой продукт целиком под лицензией CDDL в виде отдельно загружаемого модуля, который поставляется отдельно от ядра.

И самое-самое главное:

http://zfsonlinux.org/faq.html#HowDoIInstallIt

Скриншот через консоль

2012-08-14T15:59:00.000+03:00

Открыл консольную утилиту xwd, позволяющую делать снимки экрана. Xwd весит 25Кб и должна входить в состав Х11.

Пример использования xwd:
$ xwd -root > file.xwd

Формат изображения понимается Gimp-ом и утилитой convert из ImageMagick.
После такой команды файл на выходе будет в формате PNG:
$ xwd -root | convert - file.png

Если xwd запустить без ключа -root, то будет предложено выбрать окно, которое нужно заскриншотить.
Если нету Gimp-а и ImageMagick-а, посмотреть файл XWD можно утилитой xwud:

$ xwud -in file.xwd

iptables vs php-proxy

2012-08-08T02:06:00.001+03:00

Достану из заначки свой iptables:

#!/bin/bash
WHITELIST=guest.txt
iptables -A OUTPUT --dst 127.0.0.0/8 -m owner --uid-owner 33 -p ALL -m state --state RELATED,ESTABLISHED,NEW -j ACCEPT

for x in `grep -v ^# $WHITELIST | awk '{print $1}'`; do
iptables -A OUTPUT -p tcp -m state --state NEW -m owner --uid-owner 33 --dst $x -j ACCEPT
done

iptables -A OUTPUT -p tcp -m state --state NEW -m owner --uid-owner 33 -m multiport --dport 80,443 -j DROP
exit 0

А теперь - обьясню, что это. Есть такая гадкая вещь - php-proxy. Хостеры явно ее не любят. В файл guest.txt кладем ip или диапазоны, куда php прокся может ходить - к примеру, это какие-то локальные зоны или прочее.
Затем: разрешаем apache (uid = 33) ходить на localhost, то есть самостоятельно устанавливать соединения (на основе этого и работают php-proxy).
Затем из файла с разрешенными диапазонами построчно вбиваем правила, на какие ip наш apache может устанавливать соединения, иначе говоря - куда наша php-proxy может зайти.

И финал - запрещаем устанавливать новые соединения на порты 80 (http) и 443 (https) юзеру с uid=33 (apache).

При желании uid может быть любым, однако если у вас apache-itk - придеться помучаться, ибо uid будет не 33, а индивидуальный для каждого юзера.
Входящий трафик так резать не получиться, только исходящий, что в случае php-proxy нам и необходимо

О файловых системах дума ночная

2012-08-08T01:45:00.001+03:00

Ненавижу ext4. Запомнилась она падениями, причем часто с потерей данных.
Однажды дома моргнул свет, это было во времена 8й Ubuntu - раздел с ubuntu стал девстенно чист. Трижды падало на продакшен-сервере, правда там специфические условия - mdadm (софтварный raid1) + примерно 40 миллионов мелких файлов. От такого на интенсивном чтении/записи сыпались иноды и сервер ложился.
Последний раз - я был в Минске, в офисе моргнул свет и локальный сервер лишился инфы на диске. Сейчас на локальном сервере стоит FreeBSD + ZFS Raid Z. А на продакшене - ext3, она не подводила еще.

Dell PowerEdge 2950

2012-08-06T21:27:00.001+03:00

Приехало 4 таких игрушки - сервер Dell PowerEdge 2950.
2 Unit, 6 HDD 3.5", железный рейд, ip-kvm, 2 блока питания по 750 ватт или 1000 ватт, в зависимости от сервера. 2 quad Xeon E5450, 16 Gb DDRII ECC FB-DIMM, 2х1 gbit ethernet.

Общие впечатления:
Можно на горячую менять блоки питания, винчестеры. Через специальную небольшую плату ставяться обычные SATAII винчестеры, в моем случае - 6х1Тб. Железный рейд чертовски шустрый, 6 HDD в RAID 50 дают линейное чтение около 420 мб/сек. В биосе можно настроить конфигурацию и уровни рейда, поменять выводимый на экранчик текст (удобно искать сервер в стойке). Горячая замена винчестеров прекрасна и удобна, особенно если сравнить со старыми серверами - 1U, raid1 софтварный, из 2х винчестеров. Там, в 1U сервере, винты менялись при выключении сервера. Можно менять на горячую кулера, однако для меня это скорее приятная мелочь. Есть ip-kvm ставиться отдельной железкой. Работает только в IE6, требует ActiveX. Приятно шумит, ощущается мощь. К сожалению, нету PS/2 входа для клавиатуры, но это не смертельно. К серверам куплены металлические крышки с перфорацией, скорее как декоративный элемент. Сервер тяжелый, килограммов 40 - ощутил, когда затаскивал его в офисы. Порадовало шасси своей жесткостью - старые 1u сервера изгибаются в руках, это неприятно и есть риск треснуть материнку.

Из минусов запомнилось две вещи:
1. Debian не устанавливается. В сервере стоят сетевые карты Marvell Xtreme, Debian по лицензионным соображаниям не включает драйвера на сеть в установочный образ.
2. Установлена CentOS 6.3. Установочник Anaconda не сумел правильно разбить 4 Тб пул, пришлось делать руками.

По общим впечатлениям: приятные сервера. Мощные, есть горячая замена винчестеров, что для меня критично. Есть ip-kvm, теперь не надо бегать в датацентр по каждой мелочи.

Cisco 2950 - portfast

2012-08-06T15:11:00.001+03:00

Поскольку в моем владении всего 2 cisco - 1760 и 2950, буду писать то, что делал на них. Вероятно, на других это тоже сработает, но гарантии не даю.
Собственно, 2950 - свич. Картинка - сверху. В моем случае на 24 порта. Некоторые юзеры жаловались, что у них очень долго включается порт на свиче.
Лечится это так:
sw(config)# spanning-tree portfast default
Глобально на всех интерфейсах в режиме access.
Описание:

Portfast — функция, которая позволяет порту пропустить состояния listening и learning и сразу же перейти в состояние forwarding. Настраивается на портах уровня доступа, к которым подключены пользователи или сервера.
Порт с включенной функцией Port Fast проходит через обычный цикл состояний spanning-tree, когда коммутатор перезагружается.
Цель функции Port Fast минимизировать время, которое необходимо для того чтобы порт перешел в состояние forward. Поэтому она эффективна только когда применена к портам, к которым подключены хосты. Если включить Port Fast на портах, которые соединены с другими коммутаторами, то есть риск создания петли. Включение этой функции, так же препятствует возникновению сообщений о изменении состояния порта TCN BPDU (topology change notification Bridge Protocol Data Unit)

Отключить Port Fast на интерфейсе:
sw(config-if)# spanning-tree portfast disable

Cisco 1760 - adsl + nat для локалки

2012-08-06T14:56:00.000+03:00

AtlantTelecom-ISP#show running-config
Building configuration...
Current configuration : 1578 bytes
!
! Last configuration change at 10:03:44 UTC Wed Jan 28 2009
! NVRAM config last updated at 10:03:49 UTC Wed Jan 28 2009
!
version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname AtlantTelecom-ISP
!
boot-start-marker
boot-end-marker
!
logging console alerts
!
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
no aaa new-model
ip subnet-zero
ip cef
!
ip name-server 192.168.1.10
vpdn enable
!
vpdn-group 1
request-dialin
protocol pppoe
!
no ftp-server write-enable
!
bridge irb
!
interface ATM0/0
mac-address 000b.fdc9.0001
no ip address
no atm ilmi-keepalive
bundle-enable
dsl operating-mode auto
hold-queue 224 in
pvc 0/33
pppoe-client dial-pool-number 1
!
interface FastEthernet0/0
ip address 192.168.1.3 255.255.255.0
ip nat inside
ip route-cache flow
no ip mroute-cache
speed auto
full-duplex
no cdp enable
!
interface Dialer1
ip address negotiated
ip information-reply
ip mtu 1492
ip nat outside
encapsulation ppp
no ip mroute-cache
dialer pool 1
dialer-group 1
no cdp enable
ppp authentication chap pap callin
ppp chap hostname _USERNAME_          // Для байфлая - не указывать вообще строку
ppp chap password 0 _PASSWORD_
ppp pap sent-username _USERNAME_ password 0 _PASSWORD_
!
ip nat inside source list 1 interface Dialer1 overload
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
ip http server
!
logging trap debugging
access-list 1 permit 192.168.1.0 0.0.0.255
dialer-list 1 protocol ip permit
no cdp run
!
end

Конфиг Cisco 1760, для доступа в интернет. Обязательно вручную на ATM указывать mac, иначе провайдер может тупо не пустить в сеть. Так же настроен NAT, сама цыска воткнута в свич, в который воткнуты и юзеры.

Вероятно, надо бы настроить acl на fa0/0, чтобы подключаться могли лишь нужные юзеры, однако пока я не на работе - я это не сделаю.
Вообще, ip http server рекомендую выключать - шибко любопытные могут там полазить.

Widnows 8 - краткий обзор

2011-09-17T01:46:00.000+03:00

Дошли руки потрогать Windows 8 DeveloperPreview-64bit-English. Незная о проблема установки на разные виртуальные машины, поставил на VirtualBox - установилось и работает.
Впечатления - очень быстро установилась, буквально минут через 15 я уже тыкался по окошкам и радовался новому интерфейсу. Главный экран выглядит весьма непривычно, прокручивается вбок. Как решение для планшета - идеально, для десктопа с мышкой - это явно излишне, приходиться много листать вбок. Установленные приложения появляются в "правой" части этого списка, по умолчанию же экран установлен "слева". Наверняка при большом количестве софта листать будет не очень удобно. Панель управления теперь имеет 2 вида - классический, который считается расширенным и красивый новый, куда по сути-то обычно и лазят для мелких настроек. Штатный браузер теперь - IE 10, впервые он похож на браузер и не вызывает ненависти. Хотя, конечно кое-какие проблемы есть - если его запустить не с классического рабочего стола - страница развернута на весь экран. Все бы казалось хорошо, но любое всплывающее окно открывается на весь экран и я первый раз даже не понял, что произошло и откуда у меня открыта страница, которую я не открывал. Клик правой клавишей мышки расставил все на свои места, но все равно - сильно непривычно. Экран блокировки тоже заточен явно под сенсорные экраны - картинку с часами надо тянуть вверх, что весьма неочевидно для простого юзера. Понравился диспетчер задач - довольно информативно, но по сравнению с тем же htop из linux - немного не то. Windows Media Player изменений внешних не получил, все как и было в Seven. Приложения, которые идут в Seven, вполне идут и на 8, хотя я проверил лишь пару мелочей, более детально проверю позже, после приезда с сессии. Пока ОС нравится, за исключением пожалуй ее сильной ориентированности на сенсорный экран и соответственно работу пальцами, а не мышкой. Немного скриншотов:

main