chmod +x /etc/network/if-up.d/iptables
Если же этого файла там нету, то его необходимо создать, вот его содержимое:
#!/bin/sh
/sbin/iptables-restore < /var/lib/iptables/rules
четверг, 31 декабря 2009 г.
Активация iptables на Debian при запуске
В отличие от RedHat-like дистрибутивов, iptables в Debian не считается сервисом и вызывается скриптами поднятия сети и для его активации необходимо поставить ему флаг +x:
Если же этого файла там нету, то его необходимо создать, вот его содержимое:
Если же этого файла там нету, то его необходимо создать, вот его содержимое:
Конфиг iptables в Debian
Находится вот здесь:
Необычно правда, что не в /etc, долго найти его не могу :(
/var/lib/iptables/rules
Необычно правда, что не в /etc, долго найти его не могу :(
Защищаемся от руткитов/спам скриптов и сканеров
Подавляющее большинство серверов взламываются через уязвимости в скриптах, позволяющие что-либо загрузить (обычно это perl скрипт) в /var/tmp либо /tmp и оттуда запустить (обычно PHP функцией exec).
Есть очень интересный вариант защиты - снятие exec флага с файловых систем /tmp и /var/tmp, это можно сделать следующим образом: http://www.debian-administration.org/articles/57
От второго можно защититься следующим образом, указав в /etc/php.ini либо /etc/php5/apache2/php.ini следующее (после внесения изменений необходимо перезапустить апача - /etc/init.d/httpd restart либо для Дебияна: /etc/init.d/apache2 restart):
Это запретит ряд не безопасных функций предотвратит запуск бОльшей части вредоносных скриптов.
Есть очень интересный вариант защиты - снятие exec флага с файловых систем /tmp и /var/tmp, это можно сделать следующим образом: http://www.debian-administration.org/articles/57
От второго можно защититься следующим образом, указав в /etc/php.ini либо /etc/php5/apache2/php.ini следующее (после внесения изменений необходимо перезапустить апача - /etc/init.d/httpd restart либо для Дебияна: /etc/init.d/apache2 restart):
disable_functions = dl, shell_exec, posix_mkfifo, exec, system,passthru, symlink, link, set_time_limit, max_execution_time
Это запретит ряд не безопасных функций предотвратит запуск бОльшей части вредоносных скриптов.
среда, 30 декабря 2009 г.
Dec 30 16:56:31 sds kernel: [ 7.479844] udev: renamed network interface eth0 to eth2
Скорее всего, такое произошло при смене сетевой карты. Идем в файл
vi /etc/udev/rules.d/70-persistent-net.rulesи исправляем там mac адрес на новый :)
Какие данные необходимо сохранить в случае отказа сервера?
Состояние процессов и системы:
Состояние Apache (необходимо включить mod_status):
Все активные соединения:
ps aux
Состояние Apache (необходимо включить mod_status):
elinks -dump http://localhost:80/server-status
Все активные соединения:
netstat -apnt
scp / sftp command not found, CentOS 5
# scp
-bash: scp: command not found
# sftp
-bash: sftp: command not found
Fix:
yum -y install openssh-clients
Предопределенные переменные для шаблонов Puppet
У Puppet а есть целый рад очень удобных стандартных констант, полный их список можно посмотреть, вызвав сам facter:
facter
architecture => x86_64
domain => test.ru
facterversion => 1.5.7
fqdn => 'test'
hardwareisa => x86_64
hardwaremodel => x86_64
hostname => monitor
id => root
interfaces => eth0,sit0
ipaddress => 88.
ipaddress_eth0 => 88.
is_virtual => false
kernel => Linux
kernelmajversion => 2.6
kernelrelease => 2.6.18-164.el5
kernelversion => 2.6.18
macaddress => 00:19
macaddress_eth0 => 00:19
manufacturer => MSI
memoryfree => 3.50 GB
memorysize => 3.80 GB
netmask => 255.255.255.255
netmask_eth0 => 255.255.255.255
network_eth0 => 88.
operatingsystem => CentOS
operatingsystemrelease => 5.4
path => /usr/kerberos/sbin:/usr/kerberos/bin:/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin
physicalprocessorcount => 1
processor0 => Dual-Core AMD Opteron(tm) Processor 1218
processor1 => Dual-Core AMD Opteron(tm) Processor 1218
processorcount => 2
productname => MS-7252
ps => ps -ef
puppetversion => 0.24.8
rubysitedir => /usr/lib/ruby/site_ruby/1.8
rubyversion => 1.8.5
selinux => false
serialnumber => To Be Filled By O.E.M.
sshdsakey => ''
sshrsakey => ''
swapfree => 4.01 GB
swapsize => 4.01 GB
timezone => CET
type => Desktop
uniqueid => c6583524
uptime => 69 days
uptime_days => 69
uptime_hours => 1670
uptime_seconds => 6012655
virtual => physical
Тестирование Ruby erb шаблонов Puppet а
Вот так очень легко искать ошибки:
erb -x -T - templates/rpaf.conf.erb
_erbout = ''; _erbout.concat "\n" \n"
_erbout.concat "RPAFenable On\n"
_erbout.concat "RPAFsethostname On\n"
_erbout.concat "RPAFproxy_ips "; print '127.0.0.1' ; _erbout.concat "\n"
_erbout.concat "
_erbout
ISPManager + Debian - проблемы с кодировкой
Проблема такая - в списке кодировок в редакторе сплошные слеши вместо нормальных кодировок, испарвить несложно, мануал ниже.
Фиксица так:
Фиксица так:
echo "CP1251" > /usr/local/ispmgr/etc/filemgr.enc
echo "UTF8" >> /usr/local/ispmgr/etc/filemgr.enc
iconv -l |cut -d" " -f1|sed "s|//||g" >> /usr/local/ispmgr/etc/filemgr.enc
killall -9 -r ispm
вторник, 29 декабря 2009 г.
Поточное редактирование файлов: изменение hostname в CentOS 5
Потребовалось из скрипта изменить файлик следующего вида:
В частности - необходимо заменить hostname на наш, testdomain.ru, делается это очень легко:
В итоге получается следующее:
А вместе с заменой конфига это будет выглядеть так:
cat /etc/sysconfig/network
### Hetzner Online AG - installimage
# general networking
NETWORKING=yes
NETWORKING_IPV6=no
HOSTNAME=CentOS-54-64-minimal
В частности - необходимо заменить hostname на наш, testdomain.ru, делается это очень легко:
sed -e 's/\(HOSTNAME=\).*/\1testdomain.ru/g' /etc/sysconfig/network
В итоге получается следующее:
### Hetzner Online AG - installimage
# general networking
NETWORKING=yes
NETWORKING_IPV6=no
HOSTNAME=testdomain.ru
А вместе с заменой конфига это будет выглядеть так:
sed -e 's/\(HOSTNAME=\).*/\1testdomain.ru/g' /etc/sysconfig/network > /etc/sysconfig/network.new
mv /etc/sysconfig/network.new /etc/sysconfig/network
понедельник, 28 декабря 2009 г.
/usr/sbin/apache2ctl: line 119: www-browser: command not found
Fix it:
apt-get install lynx -y --force-yes
grsecurity патч ядра
Ранее много о нем слышал, но ни разу не обращал внимания :) А штука-то очень крутая, http://www.grsecurity.net/features.php особенно радует число патчей на chroot.
Установка Squid с выделенными IP для клиентов на Debian 4
Ставим:
Добавляем в автозапуск:
Запускаем:
Как видим, squid забиндился на все интерфейсы:
Открываем конфиг:
Добавляем туда следующее:
Также ищем и комментируем в конфиге строку:
Создаем файл паролей:
Вводим пароль для пользователя:
Выставляем полномочия для файла паролей:
Перезапускаем сервер для применения настроек:
Пробуем с другой машины получить сайт через прокси:
В случае неверного пароля будет выдано следующее:
А в случае успешного:
Смотрим лог:
apt-get install squid3 -y --force-yes
Добавляем в автозапуск:
update-rc.d squid3 defaults
Запускаем:
/etc/init.d/squid3 restart
Как видим, squid забиндился на все интерфейсы:
netstat -lnpt | grep squid
tcp 0 0 0.0.0.0:3128 0.0.0.0:* LISTEN 22485/(squid)
Открываем конфиг:
vi /etc/squid3/squid.conf
Добавляем туда следующее:
auth_param basic program /usr/lib/squid3/ncsa_auth /etc/squid3/passwd
acl ncsa_users proxy_auth REQUIRED
http_access allow ncsa_users
Также ищем и комментируем в конфиге строку:
# And finally deny all other access to this proxy
http_access deny all
Создаем файл паролей:
htpasswd -c /etc/squid3/passwd user1
Вводим пароль для пользователя:
New password:
Re-type new password:
Adding password for user user1
Выставляем полномочия для файла паролей:
chmod o+r /etc/squid3/passwd
Перезапускаем сервер для применения настроек:
/etc/init.d/squid3 restart
Пробуем с другой машины получить сайт через прокси:
http_proxy=http://ip.ad.dr.es:3128 wget --proxy-user user1 --proxy-password qwerty http://ya.ru
В случае неверного пароля будет выдано следующее:
Proxy request sent, awaiting response... 407 Proxy Authentication Required
2009-12-28 02:17:05 ERROR 407: Proxy Authentication Required.
А в случае успешного:
Connecting to ip.ad.dr.es:3128... connected.
Proxy request sent, awaiting response... 200 OK
Length: 4908 (4.8K) [text/html]
Смотрим лог:
tail -f /var/log/squid3/access.log
воскресенье, 27 декабря 2009 г.
Через Тихий Океан на плоту?
Очень интересная статья: http://www.bbc.co.uk/russian/international/2009/12/091226_haugland_obit.shtml
Надо книжку купить, наверное. )
Надо книжку купить, наверное. )
write cache и linux soft raid 1
Вот такой вопрос - при почти любом горячем ребуте RAID начинает ребилд, что очень сильно достает. Сегодня заметил, что у всех дисков массива включен write cache. Может его отрубить попробовать?
OpenVZ: Unable to open pty: No such file or directory
Имеем проблему:
Фиксим:
vzctl enter 1111
enter into CT 1111 failed
Unable to open pty: No such file or directory
Фиксим:
vzctl exec 1111 /sbin/MAKEDEV pty
vzctl exec 1111 /sbin/MAKEDEV tty
vzcenter 1111
entered into CT 1111
суббота, 26 декабря 2009 г.
Тестирование SMART
Запуск self-теста:
Просмотр результатов:
Если же в ответ Вы получаете ошибку:
То сначала попробуйте активировать SMART:
А также попробуйте использовать такой вид вызова:
Вот это поле необходимо обратить внимание:
К слову, кроме short есть целый набор типов теста: offline, short, long, conveyance, select,M-N, pending,N, afterselect,[on|off], scttempint,N[,p], но с этим уже сами разбирайтесь :)
smartctl -t short /dev/sda
Просмотр результатов:
smartctl --all /dev/sda
Если же в ответ Вы получаете ошибку:
SMART Disabled. Use option -s with argument 'on' to enable it.
То сначала попробуйте активировать SMART:
smartctl -s on /dev/sda
А также попробуйте использовать такой вид вызова:
smartctl -d ata --all /dev/sda
Вот это поле необходимо обратить внимание:
SMART Self-test log structure revision number 1
Num Test_Description Status Remaining LifeTime(hours) LBA_of_first_error
# 1 Short offline Completed without error 00% 4367 -
К слову, кроме short есть целый набор типов теста: offline, short, long, conveyance, select,M-N, pending,N, afterselect,[on|off], scttempint,N[,p], но с этим уже сами разбирайтесь :)
OpenVZ + multiport
cat /etc/gentoo-release
Gentoo Base System release 1.12.13
При попытке использовать модуль multiport возникает проблема:
iptables -A drop-invalid -i venet0 -p tcp -m multiport --dports 100:150 -j DROP
FATAL: Could not load /lib/modules/2.6.18-128.2.1.el5.028stab064.8/modules.dep: No such file or directory
FATAL: Could not load /lib/modules/2.6.18-128.2.1.el5.028stab064.8/modules.dep: No such file or directory
Фиксица легко:
mkdir -p /lib/modules/2.6.18-128.2.1.el5.028stab064.8
depmod -a
И все:
iptables -A drop-invalid -i venet0 -p tcp -m multiport --dports 100:150 -j DROP
(с) http://forum.openvz.org/index.php?t=msg&goto=38107&
пятница, 25 декабря 2009 г.
Где скачать QNX 6.4?
Идем на страницу: http://www.qnx.com/download/group.html?programid=19605
Там есть несколько вариантов дистрибутивов, но наилучший (вы же не экономите трафик, правда?):
QNX® Software Development Platform 6.4.0 — Installation DVD [All hosts] - в него включено все и вся.
А license key для некоммерческого использования можете получить здесь: http://www.qnx.com/products/evaluation/index.html либо если вы студент / преподаватель, то вот здесь: http://www.qnx.com/products/evaluation/academic_faculty.html
После установки QNX уже аццки жжот - "uptime les than one hour", Фаерфокс там зовется "Bon echo" :)
Кстати, первый раз логиница в систему - логин: root пароль: пусто
Там есть несколько вариантов дистрибутивов, но наилучший (вы же не экономите трафик, правда?):
QNX® Software Development Platform 6.4.0 — Installation DVD [All hosts] - в него включено все и вся.
А license key для некоммерческого использования можете получить здесь: http://www.qnx.com/products/evaluation/index.html либо если вы студент / преподаватель, то вот здесь: http://www.qnx.com/products/evaluation/academic_faculty.html
После установки QNX уже аццки жжот - "uptime les than one hour", Фаерфокс там зовется "Bon echo" :)
Кстати, первый раз логиница в систему - логин: root пароль: пусто
Проблемы с установкой ISPManager на FreeBSD 7.2 / 8.0
Симптомы: ISPManager визуально ставится, но все тесты проваливаются и в итоге ничего не работает.
Кстати, если curl ни wget не стоят, то можно воспользоваться fetch:
Если есть беспокойство за то, что канал оборвется в процессе установки, установите и запустите screen:
Обращаю внимание, что первая перезагрузка после установки ISPManager приводит к долгой проверке квот, так что не торопитесь паниковать, а подождите минут 10.
У Вас apache не собрался из-за проблемы в портах FreeBSD. Не собирается зависимость libtool автоматически при установке apache. Установите libtool22
Если же в портах только libtool15, то необходимо их обновить вот так: http://phpsuxx.blogspot.com/2009/11/freebsd.html
(c) саппорт ISPSystems
Кстати, если curl ни wget не стоят, то можно воспользоваться fetch:
fetch "http://download.ispsystem.com/install.sh"
Если есть беспокойство за то, что канал оборвется в процессе установки, установите и запустите screen:
cd /usr/ports/sysutils/screen
make install clean
/usr/local/bin/screen
Обращаю внимание, что первая перезагрузка после установки ISPManager приводит к долгой проверке квот, так что не торопитесь паниковать, а подождите минут 10.
У Вас apache не собрался из-за проблемы в портах FreeBSD. Не собирается зависимость libtool автоматически при установке apache. Установите libtool22
cd /usr/ports/devel/libtool22/
make install clean
Если же в портах только libtool15, то необходимо их обновить вот так: http://phpsuxx.blogspot.com/2009/11/freebsd.html
(c) саппорт ISPSystems
четверг, 24 декабря 2009 г.
FreeBSD + ISPManager
Note that FreeBSD installation may last from 15 minutes to 1 - 2 hours, according to a server capacity.
Наверное, дорогая редакция догадывается, что я об этом думаю...
Сторонники мирового заговора?
Постоянно сталкиваюсь с людьми, которые почти во всех вещах ищут злой умысел третьей стороны или широкомасштабный (прямо-таки вселенский!) заговор. Так вот, есть у таких людей научное название - конспирологи. Хорошо ли это или плохо - я однозначно отвечать не буду, каждый имеет право на свою точку зрения. Но как человек с сугубо техническим складом ума я не верю в сложные системы, они просто-напросто нестабильны и долго существовать не могут :)
Услышано на просторах: http://shvarz.livejournal.com за что отдельное спасибо автору.
Услышано на просторах: http://shvarz.livejournal.com за что отдельное спасибо автору.
Скорость ребилда soft-raid (soft raid rebuild speed)
Недавно Датацентр посоветовал очень эффективный метод ускорения пересборки RAID (система стоит на нем же) - на время ребилда переводить сервер в Rescue (для тех, кто не в курсе, что это - это своего рода Live CD). Эффект от того, что файловая система при этом отмонтирована и на нее никто ничего не пишет очень и очень существенен.
Так что предлагаю всем брать на вооружение :)
Так что предлагаю всем брать на вооружение :)
Очень круто про OOM-killer
http://catap.ru/blog/2009/05/03/about-memory-oom-killer/
Давно хочу сделать подобную серию статей плана "как это работает", ибо понимание внутренностей механизма позволяет намного эффективнее использовать софт :)
Давно хочу сделать подобную серию статей плана "как это работает", ибо понимание внутренностей механизма позволяет намного эффективнее использовать софт :)
Уведомление при наличии обновлений, Debian
Аналогично очень крутой тулзе yum-updatesd решил сделать контроль за наличием апдейтов на Debian.
Ставим пакет:
Открываем конфи-файл:
Ищем там строку и корректируем следующим образом:
Теперь запускаем его вручную:
И смотрим выдачу в syslog:
Ну вот и все, теперь достаточно на центральном сервере вовремя просматривать и парсить логи :)
Ставим пакет:
apt-get install -y --force-yes cron-apt
Открываем конфи-файл:
vi /etc/cron-apt/config
Ищем там строку и корректируем следующим образом:
SYSLOGON="always"
Теперь запускаем его вручную:
cron-apt
И смотрим выдачу в syslog:
tail -f /var/log/syslog
Dec 24 09:50:19 localhost cron-apt: Building dependency tree...
Dec 24 09:50:20 localhost cron-apt: CRON-APT LINE: /usr/bin/apt-get dist-upgrade -d -y -o APT::Get::Show-Upgraded=true
Dec 24 09:50:20 localhost cron-apt: Reading package lists...
Dec 24 09:50:20 localhost cron-apt: Building dependency tree...
Dec 24 09:50:20 localhost cron-apt: The following packages will be upgraded:
Dec 24 09:50:20 localhost cron-apt: acpid dnsutils libbind9-0 libdns22 libisc11 libisccc0 libisccfg1 liblwres9
Dec 24 09:50:20 localhost cron-apt: 8 upgraded, 0 newly installed, 0 to remove and 0 not upgraded.
Dec 24 09:50:20 localhost cron-apt: Need to get 0B/1258kB of archives.
Dec 24 09:50:20 localhost cron-apt: After unpacking 0B of additional disk space will be used.
Dec 24 09:50:20 localhost cron-apt: Download complete and in download only mode
Ну вот и все, теперь достаточно на центральном сервере вовремя просматривать и парсить логи :)
среда, 23 декабря 2009 г.
Уведомление при наличии обновлений, CentOS
Обновление системы - одн из тех задач, которые почти обязательно выполнять вручную, но проверять наличие апдейтов руками можно свихнуться. Поэтому будем автоматизировать :) Пойдем стандартным путем :)
Ставим пакет:
Активируем запуск при старте:
Убеждаемся, что он добавился в автозапуск:
Открываем конфиг:
Корректируем там следующие поля:
Запускаем демона:
Теперь он каждый час будет проверять наличие апдейтов, при их наличии скачивать их вместе с зависимостями, а также отписывать об этом в syslog (который мы уже научились собирать на одном сервере, но, к слову, можно отправлять уведомления и на почту, но я не считаю этот способ надежным).
Судя по интернетам, эту штуку юзать в продакшене НЕ стоит. Во-первых, она категорически отказывается отображать имеющиеся апдейты в сислоге и к тому же может легко съесть всю память.
P.S.: беру свои слова обратно, вот только что увидел в сислоге следующее
Так что все работает! А уедание памяти уж как-нибудь пофиксим :)
Ставим пакет:
yum install yum-updatesd -y
Активируем запуск при старте:
chkconfig yum-updatesd on
Убеждаемся, что он добавился в автозапуск:
chkconfig --list | grep upda
yum-updatesd 0:off 1:off 2:on 3:on 4:on 5:on 6:off
Открываем конфиг:
vi /etc/yum/yum-updatesd.conf
Корректируем там следующие поля:
emit_via = syslog
# automatically download updates
do_download = yes
# automatically download deps of updates
do_download_deps = yes
Запускаем демона:
/etc/init.d/yum-updatesd start
Теперь он каждый час будет проверять наличие апдейтов, при их наличии скачивать их вместе с зависимостями, а также отписывать об этом в syslog (который мы уже научились собирать на одном сервере, но, к слову, можно отправлять уведомления и на почту, но я не считаю этот способ надежным).
Судя по интернетам, эту штуку юзать в продакшене НЕ стоит. Во-первых, она категорически отказывается отображать имеющиеся апдейты в сислоге и к тому же может легко съесть всю память.
P.S.: беру свои слова обратно, вот только что увидел в сислоге следующее
Dec 23 16:50:47 xen15 : 174 updates available
Так что все работает! А уедание памяти уж как-нибудь пофиксим :)
CentOS 5.4 + fuse
In the 5.4 update, several significant additions have been made to file systems support. Base Red Hat Enterprise Linux now includes the Filesystem in Userspace (FUSE) kernel modules and user space utilities, allowing users to install and run their own FUSE file systems on an unmodified Red Hat Enterprise Linux kernel (BZ#457975). Support for the XFS file system has also been added to the kernel for future product enablement (BZ#470845). The FIEMAP input/output control (ioctl) interface has been implemented, allowing the physical layout of files to be mapped efficiently. The FIEMAP ioctl can be used by applications to check for fragmentation of a specific file or to create an optimized copy of a sparsely allocated file (BZ#296951).
(c) http://www.redhat.com/docs/en-US/Red_Hat_Enterprise_Linux/5.4/html-single/Release_Notes/
Это все хорошо, конечно, тока curlftp у меня сдох после этого...
Переключение ssh в CentOS на альтернативный порт
Последней стадией стало вот такое наблюдение в логах за последние три дня:
Как видите, перебор очень суровый. Задолбало однако :) Есть, конечно, всякие fail2ban, но я уверен, что почти все попытки подобрать прекратятся после переноса ssh эдак на 2000й порт :)
Итак, открываем конфиг:
Корректируем там следующим образом:
Перезапускаем:
Ну вот и все:
Теперь при подключении к серверу правда придется явно указывать порт ключом -p, но зато безопасность будет на уровне и никто не будет дергать винт тупыми попытками перебора.
cat /var/log/secure|grep fail|wc -l
54887
Как видите, перебор очень суровый. Задолбало однако :) Есть, конечно, всякие fail2ban, но я уверен, что почти все попытки подобрать прекратятся после переноса ssh эдак на 2000й порт :)
Итак, открываем конфиг:
vi /etc/ssh/sshd_config
Корректируем там следующим образом:
Port 2000
Перезапускаем:
/etc/init.d/sshd restart
Ну вот и все:
netstat -lnpt | grep ssh
tcp 0 0 :::2000 :::* LISTEN 6981/sshd
Теперь при подключении к серверу правда придется явно указывать порт ключом -p, но зато безопасность будет на уровне и никто не будет дергать винт тупыми попытками перебора.
Подключение fuse-curlftpfs на CentOS 5 / Debian 5
Наш Датацентр для бэкапов предоставляет только ftp, что часто очень неудобно по причине неприспособленности бэкап скриптов для работы с ним. Поэтому идея примонтировать папку и скопировать туда бэкапы очень заманчива. Эту задачу решает программа: fuse-curlftpfs
Итак, для начала подключаем rpm-forge: http://phpsuxx.blogspot.com/2009/08/rpmforge-rhel5-centos-5.html
Ставим пакет:
На Debian 5:
Создаем точку монтирования для бэкапов:
Монтируем ФТП:
Демонтировать ФС (угу, я склоняюсь к тому, что это более правильное с точки зрения языка описание процесса, чем "размонтировать") так:
Итак, для начала подключаем rpm-forge: http://phpsuxx.blogspot.com/2009/08/rpmforge-rhel5-centos-5.html
Ставим пакет:
yum install -y fuse-curlftpfs
На Debian 5:
apt-get install -y curlftpfs
Создаем точку монтирования для бэкапов:
mkdir -p /mnt/backup
Монтируем ФТП:
curlftpfs backup_server_login:password@backup_host /mnt/backup
Демонтировать ФС (угу, я склоняюсь к тому, что это более правильное с точки зрения языка описание процесса, чем "размонтировать") так:
fusermount -u /mnt/backup
Debian: IE (SMART) not enabled, skip device
На Debian Etch имеем ошибку:
Чтобы он заработал, необходимо явно указывать тип устройства:
Dec 23 06:04:56 billing smartd[4494]: Device: /dev/sda, IE (SMART) not enabled, skip device Try 'smartctl -s on /dev/sda' to turn on SMART features
Чтобы он заработал, необходимо явно указывать тип устройства:
smartctl --all -d ata /dev/sdb
Крутой 3D движок от наших, ура!
В блоге бесподобной Алены C++ обнаружил ссылку на мега интересную штуку, а именно трехмерный движок российской разработки :) Прошу: http://unigine.com
puppet активация файл-сервера
Самый удобный способ раздачи конфигов в puppet - посредством встроенного средства, которое поддерживается и сервером и клиентом. Но оно по умолчанию отключено, поэтому придется немного времени посвятить его перенастройке.
Открываем конфиг:
Создаем папку для хранения конфигов:
Добавляем туда следующее (где ip.ad.dr.es - IP клиентской машины, которой позволено скачивать этот конфиг):
Перезапускаем:
Размещаем конфиг sudoers в папке (конфиг, думаю сами сгенерите, ага?):
А теперь в конфиг site.pp можем внести примерно следующее (puppet:/// - означает, что подключаемся к дефалтному серверу, в /files/ - это имя модуля, а не путь в фс):
Запускаем синхронизацию:
Открываем конфиг:
vi /etc/puppet/fileserver.conf
Создаем папку для хранения конфигов:
mkdir -p /etc/puppet/files
Добавляем туда следующее (где ip.ad.dr.es - IP клиентской машины, которой позволено скачивать этот конфиг):
[files]
path /etc/puppet/files
allow ip.ad.dr.es
Перезапускаем:
/etc/init.d/puppetmaster restart
Размещаем конфиг sudoers в папке (конфиг, думаю сами сгенерите, ага?):
vi /etc/puppet/files/sudoers
А теперь в конфиг site.pp можем внести примерно следующее (puppet:/// - означает, что подключаемся к дефалтному серверу, в /files/ - это имя модуля, а не путь в фс):
package {
sudo:
ensure => latest
}
file {
"/etc/sudoers":
mode => 440,
owner => 'root',
group => 'root',
source => "puppet:///files/sudoers"
}
Запускаем синхронизацию:
puppetd --verbose --test
вторник, 22 декабря 2009 г.
Установка VDSManager OpenVZ на CentOS 5
Для начала заказываем лицензию для нашего айпи в биллинге ISPSystem, после этого приступаем к установке:
Если же ни curl ни wget нету, то попробуйте:
Соглашаемся с тем, что инсталлятор правильно определил ОС, соглашаемся с предложением подключить Epel репозиторий. Вводим пароль для админа. Потом выбираем "Install most popular software", потом выбираем ядро "ovzkernel-2.6.18-194.26.1.el5.028stab079.2". Ну и, наконец, соглашаемся с ребутом "Your system should be rebooted to boot new kernel. Do you want to reboot the server now?".
Ну и после перезагрузки рекомендую обновить всю систему:
После этого можете входить в панель управления по адресу: https://ip.ad.dr.es/manager/vdsmgr, используя логин admin и пароль, выбранный при установке.
Использование.
Входим в панель и идем в Настройки - Список IP-адресов, добавляем имеющиеся у нас IP. Далее нужно добавить шаблоны операционных систем, идем в Настройки - Шаблоны диска, щелкаем на кнопочку с диском и выбираем образ нужной ОС. Я рекомендую Debian, так что стягиваем образ debian-5.0-amd64-minimal.
yum -y install wget
wget "http://download.ispsystem.com/install.sh"
sh install.sh
Если же ни curl ни wget нету, то попробуйте:
fetch "http://download.ispsystem.com/install.sh"
Соглашаемся с тем, что инсталлятор правильно определил ОС, соглашаемся с предложением подключить Epel репозиторий. Вводим пароль для админа. Потом выбираем "Install most popular software", потом выбираем ядро "ovzkernel-2.6.18-194.26.1.el5.028stab079.2". Ну и, наконец, соглашаемся с ребутом "Your system should be rebooted to boot new kernel. Do you want to reboot the server now?".
Ну и после перезагрузки рекомендую обновить всю систему:
yum update -y
После этого можете входить в панель управления по адресу: https://ip.ad.dr.es/manager/vdsmgr, используя логин admin и пароль, выбранный при установке.
Использование.
Входим в панель и идем в Настройки - Список IP-адресов, добавляем имеющиеся у нас IP. Далее нужно добавить шаблоны операционных систем, идем в Настройки - Шаблоны диска, щелкаем на кнопочку с диском и выбираем образ нужной ОС. Я рекомендую Debian, так что стягиваем образ debian-5.0-amd64-minimal.
Использование Puppet для управления конфигурациями
Сервер конфигураций
Подключаем Epel: http://phpsuxx.blogspot.com/2009/03/centos-rhel.html
Ставим пакет:
Итого, сервер puppet имеет следующий набор конфигов:
Сразу можно оценить поистине ОГРОМНЫЙ набор конфигов:
Создаем стандартный конфиг (Now we'll create the site.pp manifest which is the master manifest. Puppet will search for a manifest by this name by default. ):
А теперь сделаем финт ушами - будем ставить sudo посредством puppet. Для этого в выше указанынй файл забиваем следующее:
Запускаем сервер (автоматически он в автозапуск не прописывается):
Добавляем сервер в автозапуск:
Открываем в фаерволле доступ к Puppet:
Сохраняем настройки фаерволла:
Кстати, если у Вас очень много машин, то не лишним будет запроксировать Puppet посредством Nginx, как это сделать, описывается здесь. А если хотите использовать Passenger / Mongrel, то прошу сюда: http://docs.puppetlabs.com/guides/scaling.html
Клиент
Подключаем Epel: http://phpsuxx.blogspot.com/2009/03/centos-rhel.html
Либо, если клиентская машина на Debian:
Далее в случае Debian необходимо убрать Puppet из автозагрузки:
Клиент имеет всего-лишь один конфиг-файл:
Открываем конфиг файл:
Теперь в блок [puppetd] добавляем следующее (это адрес нашего puppet сервера):
Теперь запускаем команду тестирования конфига:
Есть еще вариант запуска без демонизации (в обычном случае puppet запускает своего демона, а onetime запрещает ему это делать):
Теперь сертификат клиентской машинки будет отослан на сервер и нам необходимо сходить на сервер и посмотреть, что это произошло успешно:
Теперь нам необходимо его подписать (опять же на сервере):
Возвращаемся на клиента:
В ответ мы должны получить следующее:
Ну вот и все:
sudo был установлен:
Что еще сказать - это мегасупер штука, обеспечивающая ОГРОМНУЮ экономию времени на деплой систем :)
Вопросы
1. Можно ли использовать Puppet клиент на сервере, где установлен Puppet сервер? Да, можно, все будет отлично работать.
Основано на: http://habrahabr.ru/blogs/linux/68532/ а вот и список всех "контроллеров" (для управления различными частями ОС) и их возможностей: http://reductivelabs.com/trac/puppet/wiki/TypeReference#package
Подключаем Epel: http://phpsuxx.blogspot.com/2009/03/centos-rhel.html
Ставим пакет:
yum install -y puppet-server
Итого, сервер puppet имеет следующий набор конфигов:
ls /etc/puppet/
fileserver.conf manifests puppet.conf
Сразу можно оценить поистине ОГРОМНЫЙ набор конфигов:
ls -l /usr/lib/ruby/site_ruby/1.8/puppet/provider
augeas host naginator.rb selmodule
computer ldap.rb nameservice service
confine macauthorization nameservice.rb ssh_authorized_key
confine_collection.rb mailalias package sshkey
confine.rb maillist package.rb user
confiner.rb mcx parsedfile.rb zfs
cron mount port zone
group mount.rb selboolean zpool
Создаем стандартный конфиг (Now we'll create the site.pp manifest which is the master manifest. Puppet will search for a manifest by this name by default. ):
vi /etc/puppet/manifests/site.pp
А теперь сделаем финт ушами - будем ставить sudo посредством puppet. Для этого в выше указанынй файл забиваем следующее:
package {
sudo:
ensure => latest
}
Запускаем сервер (автоматически он в автозапуск не прописывается):
/etc/init.d/puppetmaster start
Добавляем сервер в автозапуск:
chkconfig puppetmaster on
Открываем в фаерволле доступ к Puppet:
iptables -A INPUT -p tcp --dport 8140 -j ACCEPT
Сохраняем настройки фаерволла:
/etc/init.d/iptables save
Кстати, если у Вас очень много машин, то не лишним будет запроксировать Puppet посредством Nginx, как это сделать, описывается здесь. А если хотите использовать Passenger / Mongrel, то прошу сюда: http://docs.puppetlabs.com/guides/scaling.html
Клиент
Подключаем Epel: http://phpsuxx.blogspot.com/2009/03/centos-rhel.html
yum install puppet -y
Либо, если клиентская машина на Debian:
apt-get install puppet -y
Далее в случае Debian необходимо убрать Puppet из автозагрузки:
update-rc.d -f puppet remove
/etc/init.d/puppet stop
Клиент имеет всего-лишь один конфиг-файл:
ls /etc/puppet/
puppet.conf
Открываем конфиг файл:
vi /etc/puppet/puppet.conf
Теперь в блок [puppetd] добавляем следующее (это адрес нашего puppet сервера):
server=puppet.server.ru
Теперь запускаем команду тестирования конфига:
puppetd --verbose --test
warning: peer certificate won't be verified in this SSL session
notice: Did not receive certificate
notice: Set to run 'one time'; exiting with no certificate
Есть еще вариант запуска без демонизации (в обычном случае puppet запускает своего демона, а onetime запрещает ему это делать):
puppetd --verbose --test --onetime
Теперь сертификат клиентской машинки будет отослан на сервер и нам необходимо сходить на сервер и посмотреть, что это произошло успешно:
puppetca --list
client.domain.ru
Теперь нам необходимо его подписать (опять же на сервере):
puppetca --sign client.domain.ru
Signed client.domain.ru
Возвращаемся на клиента:
puppetd --verbose --test
В ответ мы должны получить следующее:
warning: peer certificate won't be verified in this SSL session
notice: Got signed certificate
info: No classes to store
info: Caching catalog at /var/lib/puppet/localconfig.yaml
notice: Starting catalog run
notice: //Package[sudo]/ensure: created
notice: Finished catalog run in 10.89 seconds
Ну вот и все:
sudo был установлен:
rpm -qa | grep sudo
sudo-1.6.9p17-5.el5
Что еще сказать - это мегасупер штука, обеспечивающая ОГРОМНУЮ экономию времени на деплой систем :)
Вопросы
1. Можно ли использовать Puppet клиент на сервере, где установлен Puppet сервер? Да, можно, все будет отлично работать.
Основано на: http://habrahabr.ru/blogs/linux/68532/ а вот и список всех "контроллеров" (для управления различными частями ОС) и их возможностей: http://reductivelabs.com/trac/puppet/wiki/TypeReference#package
Выбор ОС для хостинга: CentOS или Debian 5?
Довольно долгое время работаю с обоими ОС в основном в контексте
"хостинг-сервер". Раньше я склонялся к мнению, что лучше всего для
хостинг-серверов подходит CentOS 5 (т.к. все же это полноценный
"Enterprise" дистрибутив со всеми вытекающими), но сейчас уверенности
у меня поубавилось. Поэтому я постараюсь дать как можно более
объективное сравнение дистрибутивов как раз по качествам, которые в
первую очередь важны для хостинга.
Сравнение будет выполняться в следующем оснащении дистрибутивов:
Debian - только базовый репозиторий, CentOS - только базовый и Epel
репозитории (я бы его тоже отнес к "стандартным", т.к. работать в
CentOS без него почти невозможно).
Для начала давайте вспомним, что такое хостинг и из какого ПО он состоит.
Хостинговое ПО
Во-первых, это конечно же Apache, который выполняет львиную долю
работы на хостинге и является стандартом де-факто (по большей части
благодаря всеми любимому mod_rewite и .htaccess). Тут отличия найти
сложно, оба дистрибутива имеют 2.2 версию Apache и вполне стабильно
работают. Так что тут равноценно.
Кроме Апача для снижения нагрузки (и, к слову, в некоем роде защиты от
DoS при ограниченных ресурсах сервера) и раздачи статики часто
используется Nginx - актуальная версия в CentOS: 0.6.39, Debian:
0.6.32. К слову, обе эти версии имеют баг (он исправлен только в 0.7,
см. рассылку nginx-ru) при котором при усечении конфига nginx.conf
(проявляется такое, например, в довольно популярной панели ISPManager)
Nginx съедает всю памяти и система просто-напросто виснет. Так что тут
обоим минус и придется самому собирать пакет и ставить Nginx 0.7.
Для полноценного взаимодействия Nginx и Apache, т.е. для корректной
передачи IP бэкэнду необходим модуль Апача - rpaf, который
просматривает полученный от Nginx IP и передает его Апачу. Этот модуль
отсутствует даже в репозитории Epel CentOS`а (сейчас я его беру в
CentAlt), но в тоже время, в Debian он есть стандартно. Что также
добавляет преимуществ именно Debian`у.
Теперь о главном, о PHP, ведь это фактически причина использования
всего остального хостингового ПО, ибо подавляющее количество CMS
написано именно на нем (прощу прощения у любителей Python, Perl и
Ruby, а также других языков, но статистика потребительского шаред
хостинга говорит о тотальном количественном преимуществе PHP).
Тут-то и начинаются проблемы у CentOS, во-первых, на нем стоит PHP
5.1.6, а многое ПО (например, Magento - очень популярный веб-магазин)
требует именно 5.2 версию и если вы не хотите столкнуться с большим
числом жалоб от клиентов по причине неработоспособности скриптов, Вы
будете вынуждены либо подключать сторонние репозитории (которые мало
того, что не гарантируют стабильности ПО и корректности его сборки, а
в худшем случае - даже не отвечают требованиям безопасности и
надежности), либо собирать PHP 5.2 самостоятельно со всеми модулями
(что опять же сделать не так тривиально, учитывая число модулей в
репозиториях - в Debian это, например, около 50 штук). А если еще
вспомнить, что для PHP довольно часто выходят исправления
безопасности, то придется весь этот комплект оперативно патчить,
собирать в пакеты и разносить по серверами, то задача уже кажется
почти нерешаемой.
Также стоит упомянуть баг php-cgi в CentOS из-за которого он не читает
php.ini в текущей папке, когда он присутствует и все равно идет в
/etc/php.ini, что сильно мешает его работе в режиме php-fastcgi (в
Debian же с этим все ок). В Debian стоит 5.2.6 версия PHP с патчем
suhosin, который значительно увеличивает безопасность скриптов и
позволяет запускать почти все без исключения современные движки.
Далее пройдем по проприетарным модулям для PHP, которые используются
для защиты скриптов - это Zend Optimizer и IonCube. Что первый, что
второй поставляются в сборках и под PHP 5.1 и под 5.2. Так что и с
ними никаких проблем не будет.
MySQL, оба дистрибутива содержат 5.0 версию со всеми необходимыми
опциями. Стабильной же (по мнению Sun Microsystems) является 5.1, но
ни в одном дистрибутиве ее еще "не признали" по-настоящему стабильной
да и ПО, которое требует только 5.1 версию я не видел еще ни разу.
Postfix, Exim, Sendmail - все три почтовика представлены в обоих
дистрибутивах. Причем, к слову, postfix-mysql находится в стандартном
репо Debian, в то время как в CentOS он ставится весьма нетривиально,
но это лишь опция и в явные преимущества записывать не будем.
Теперь поговорим о версиях хостинговой экзотики - Perl, Python и Ruby.
В CentOS присутствует только 2.4 версия языка, а в Debian 2.5, так
что для любителей новых возможностей тут, пожалуй выбор однозначный. С
Ruby выбор чуть побольше - в Debian присутствует и 1.8 и 1.9 версии, а
в CentOS только 1.8.5. Perl же в Debian самой модной версии - 5.10, в
CentOS же проверенный временем (и лингвистами :) 5.8.8.
Управление ПО: установка и обновление
Тут у обоих дистрибутивов дела обстоят довольно хорошо, как я уже
говорил выше, для CentOS существует отличный сторонний репозиторий со
многими необходимыми пакетами - Epel (является частью проекта Fedora),
а у Debian даже без дополнительных репозиториев выбор пакетов очень
большой. Для установки и обновления программ в CentOS используется
YUM, отличающийся относительно неэкономным отношением к памяти, но при
этом он не заваливает пользователя вопросами о конфигурации пакетов,
как это делает пакетный менеджер Debian - apt-get.
Различные способы запуска ОС
По поводу работы на "чистом железе" (выделенный, dedicated сервер либо
colocation) стоит отдать предпочтение все же Debian, т.к. у него ядро
новее, чем у CentOS (да, Вы можете возразить, что RH оперативно
бэкпортит поддержку оборудования, но все же мой опыт говорит о том,
что с Debian при работе на железе проблем намного меньше, чем c
CentOS).
Отдельным пунктом, думаю, стоит отметить стабильность работы в
виртуальных окружениях OpenVZ и Xen. Оба дистрибутива работают отлично
и каких-либо нареканий и проблем не имеют, что очень важно, учитывая
популярность VPS хостингов и Cloud платформ (например, Amazon EC2).
Ну вот, пожалуй, и все, что я хотел рассказать в данной статье. Думаю,
она будет полезна многим пользователям, которые еще не определились с
тем, что же ставить на сервер.
P.S. статья была попыткой получить инвайт на Хабр, неудачной попыткой - отклонили :) Так что выкладываю здесь :)
"хостинг-сервер". Раньше я склонялся к мнению, что лучше всего для
хостинг-серверов подходит CentOS 5 (т.к. все же это полноценный
"Enterprise" дистрибутив со всеми вытекающими), но сейчас уверенности
у меня поубавилось. Поэтому я постараюсь дать как можно более
объективное сравнение дистрибутивов как раз по качествам, которые в
первую очередь важны для хостинга.
Сравнение будет выполняться в следующем оснащении дистрибутивов:
Debian - только базовый репозиторий, CentOS - только базовый и Epel
репозитории (я бы его тоже отнес к "стандартным", т.к. работать в
CentOS без него почти невозможно).
Для начала давайте вспомним, что такое хостинг и из какого ПО он состоит.
Хостинговое ПО
Во-первых, это конечно же Apache, который выполняет львиную долю
работы на хостинге и является стандартом де-факто (по большей части
благодаря всеми любимому mod_rewite и .htaccess). Тут отличия найти
сложно, оба дистрибутива имеют 2.2 версию Apache и вполне стабильно
работают. Так что тут равноценно.
Кроме Апача для снижения нагрузки (и, к слову, в некоем роде защиты от
DoS при ограниченных ресурсах сервера) и раздачи статики часто
используется Nginx - актуальная версия в CentOS: 0.6.39, Debian:
0.6.32. К слову, обе эти версии имеют баг (он исправлен только в 0.7,
см. рассылку nginx-ru) при котором при усечении конфига nginx.conf
(проявляется такое, например, в довольно популярной панели ISPManager)
Nginx съедает всю памяти и система просто-напросто виснет. Так что тут
обоим минус и придется самому собирать пакет и ставить Nginx 0.7.
Для полноценного взаимодействия Nginx и Apache, т.е. для корректной
передачи IP бэкэнду необходим модуль Апача - rpaf, который
просматривает полученный от Nginx IP и передает его Апачу. Этот модуль
отсутствует даже в репозитории Epel CentOS`а (сейчас я его беру в
CentAlt), но в тоже время, в Debian он есть стандартно. Что также
добавляет преимуществ именно Debian`у.
Теперь о главном, о PHP, ведь это фактически причина использования
всего остального хостингового ПО, ибо подавляющее количество CMS
написано именно на нем (прощу прощения у любителей Python, Perl и
Ruby, а также других языков, но статистика потребительского шаред
хостинга говорит о тотальном количественном преимуществе PHP).
Тут-то и начинаются проблемы у CentOS, во-первых, на нем стоит PHP
5.1.6, а многое ПО (например, Magento - очень популярный веб-магазин)
требует именно 5.2 версию и если вы не хотите столкнуться с большим
числом жалоб от клиентов по причине неработоспособности скриптов, Вы
будете вынуждены либо подключать сторонние репозитории (которые мало
того, что не гарантируют стабильности ПО и корректности его сборки, а
в худшем случае - даже не отвечают требованиям безопасности и
надежности), либо собирать PHP 5.2 самостоятельно со всеми модулями
(что опять же сделать не так тривиально, учитывая число модулей в
репозиториях - в Debian это, например, около 50 штук). А если еще
вспомнить, что для PHP довольно часто выходят исправления
безопасности, то придется весь этот комплект оперативно патчить,
собирать в пакеты и разносить по серверами, то задача уже кажется
почти нерешаемой.
Также стоит упомянуть баг php-cgi в CentOS из-за которого он не читает
php.ini в текущей папке, когда он присутствует и все равно идет в
/etc/php.ini, что сильно мешает его работе в режиме php-fastcgi (в
Debian же с этим все ок). В Debian стоит 5.2.6 версия PHP с патчем
suhosin, который значительно увеличивает безопасность скриптов и
позволяет запускать почти все без исключения современные движки.
Далее пройдем по проприетарным модулям для PHP, которые используются
для защиты скриптов - это Zend Optimizer и IonCube. Что первый, что
второй поставляются в сборках и под PHP 5.1 и под 5.2. Так что и с
ними никаких проблем не будет.
MySQL, оба дистрибутива содержат 5.0 версию со всеми необходимыми
опциями. Стабильной же (по мнению Sun Microsystems) является 5.1, но
ни в одном дистрибутиве ее еще "не признали" по-настоящему стабильной
да и ПО, которое требует только 5.1 версию я не видел еще ни разу.
Postfix, Exim, Sendmail - все три почтовика представлены в обоих
дистрибутивах. Причем, к слову, postfix-mysql находится в стандартном
репо Debian, в то время как в CentOS он ставится весьма нетривиально,
но это лишь опция и в явные преимущества записывать не будем.
Теперь поговорим о версиях хостинговой экзотики - Perl, Python и Ruby.
В CentOS присутствует только 2.4 версия языка, а в Debian 2.5, так
что для любителей новых возможностей тут, пожалуй выбор однозначный. С
Ruby выбор чуть побольше - в Debian присутствует и 1.8 и 1.9 версии, а
в CentOS только 1.8.5. Perl же в Debian самой модной версии - 5.10, в
CentOS же проверенный временем (и лингвистами :) 5.8.8.
Управление ПО: установка и обновление
Тут у обоих дистрибутивов дела обстоят довольно хорошо, как я уже
говорил выше, для CentOS существует отличный сторонний репозиторий со
многими необходимыми пакетами - Epel (является частью проекта Fedora),
а у Debian даже без дополнительных репозиториев выбор пакетов очень
большой. Для установки и обновления программ в CentOS используется
YUM, отличающийся относительно неэкономным отношением к памяти, но при
этом он не заваливает пользователя вопросами о конфигурации пакетов,
как это делает пакетный менеджер Debian - apt-get.
Различные способы запуска ОС
По поводу работы на "чистом железе" (выделенный, dedicated сервер либо
colocation) стоит отдать предпочтение все же Debian, т.к. у него ядро
новее, чем у CentOS (да, Вы можете возразить, что RH оперативно
бэкпортит поддержку оборудования, но все же мой опыт говорит о том,
что с Debian при работе на железе проблем намного меньше, чем c
CentOS).
Отдельным пунктом, думаю, стоит отметить стабильность работы в
виртуальных окружениях OpenVZ и Xen. Оба дистрибутива работают отлично
и каких-либо нареканий и проблем не имеют, что очень важно, учитывая
популярность VPS хостингов и Cloud платформ (например, Amazon EC2).
Ну вот, пожалуй, и все, что я хотел рассказать в данной статье. Думаю,
она будет полезна многим пользователям, которые еще не определились с
тем, что же ставить на сервер.
P.S. статья была попыткой получить инвайт на Хабр, неудачной попыткой - отклонили :) Так что выкладываю здесь :)
Configuration Managament на практике!
Давно еще нашел отличные статьи про Puppet - http://phpsuxx.blogspot.com/2009/10/puppet.html теперь пришло время его попробовать на деле (ага, синхронизация /etc/aliases, /etc/sudoers, /etc/rsyslog.conf, /etc/httpd/conf, sysctl.conf, /etc/sysconfig/iptables-config/sendmail/yumignore это дико полезно и удобно ) :) Ждите статей)
Причем, после долгих прикидок и изучения - puppet можно заочно отнести к софту "так бы и сам написал", что очень радует :)
Причем, после долгих прикидок и изучения - puppet можно заочно отнести к софту "так бы и сам написал", что очень радует :)
rsyslog: централизованный сбор логов
Для передачи логов с одной машины на другую нам понадобится две активных инсталляции rsyslog: server и client. Поставим их по мануалу: Замена rsyslog (sysklogd) на syslog в CentOS 5
Client
Тут в принципе ничего сложного - нам необходимо настроить отправку важных логов по tcp на удаленную машину, пусть это будет log.domain.ru (ага, я не боюсь постоянного резолвера).
Открываем конфиг:
Стандартный конфиг выглядит так:
Вариант с отсылкой всех логов без сохранения локально будет выглядеть так (простое копирование):
А для сохранения локально и отсылки на удаленный сервер он будет выглядеть так:
Перезапускаем rsyslog:
А на сервере можно заменить слушающий rsyslog командой nc:
Теперь для теста попробуем отправить сообщение, которое обычно должно упасть в /var/log/messages:
Server
Открываем конфиг (эта и последующие операции выполняются на сервере):
Разрешаем rsyslog у слушать удаленные машины:
И строку:
Заменяем на:
Добавляем в самый верх следующее:
Перезапускаем rsyslog:
Теперь открываем просмотр лога для контроля, что tcp слушается (tcpReception="Yes") и ожидания логов с клиент машины:
А тем временем на клиент машине вызываем давнюю команду:
И в ответ на сервере должны увидеть следующее:
Ну и все, осталось узнать, как это все себя будет вести под нагрузкой =)
Client
Тут в принципе ничего сложного - нам необходимо настроить отправку важных логов по tcp на удаленную машину, пусть это будет log.domain.ru (ага, я не боюсь постоянного резолвера).
Открываем конфиг:
vi /etc/rsyslog.conf
Стандартный конфиг выглядит так:
cat /etc/rsyslog.conf
# Log all kernel messages to the console.
# Logging much else clutters up the screen.
#kern.* /dev/console
# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none /var/log/messages
# The authpriv file has restricted access.
authpriv.* /var/log/secure
# Log all the mail messages in one place.
mail.* -/var/log/maillog
# Log cron stuff
cron.* /var/log/cron
# Everybody gets emergency messages
*.emerg *
# Save news errors of level crit and higher in a special file.
uucp,news.crit /var/log/spooler
# Save boot messages also to boot.log
local7.* /var/log/boot.log
Вариант с отсылкой всех логов без сохранения локально будет выглядеть так (простое копирование):
*.info;mail.none;authpriv.none;cron.none @@xx.xx.xx.xx:514
А для сохранения локально и отсылки на удаленный сервер он будет выглядеть так:
*.info;mail.none;authpriv.none;cron.none /var/log/messages
*.info;mail.none;authpriv.none;cron.none @@xx.xx.xx.xx:514
Перезапускаем rsyslog:
/etc/init.d/rsyslog restart
А на сервере можно заменить слушающий rsyslog командой nc:
nc -l 514
Теперь для теста попробуем отправить сообщение, которое обычно должно упасть в /var/log/messages:
logger -p ftp.info 'test message suxx'
Server
Открываем конфиг (эта и последующие операции выполняются на сервере):
vi /etc/rsyslog.conf
Разрешаем rsyslog у слушать удаленные машины:
vi /etc/sysconfig/rsyslog
И строку:
SYSLOGD_OPTIONS="-m 0"
Заменяем на:
SYSLOGD_OPTIONS="-m 0 -t514"
Добавляем в самый верх следующее:
$AllowedSender TCP, 127.0.0.1, cli.ent.ip.add
Перезапускаем rsyslog:
/etc/init.d/rsyslog restart
Теперь открываем просмотр лога для контроля, что tcp слушается (tcpReception="Yes") и ожидания логов с клиент машины:
tail -f /var/log/messages
x-pid="32126" x-info="http://www.rsyslog.com"][x-configInfo udpReception="No" udpPort="514" tcpReception="Yes" tcpPort="514"] restart
А тем временем на клиент машине вызываем давнюю команду:
logger -p ftp.info 'test remote message suxx'
И в ответ на сервере должны увидеть следующее:
Dec 22 06:08:09 clienthostname root: test remote message suxx
Ну и все, осталось узнать, как это все себя будет вести под нагрузкой =)
Замена syslog (sysklogd) на rsyslog в CentOS 5
Встала задача централизации сбора всех логов на один сервер, а вариант рассылки логов по UDP (единственный сетевой способ передачи логов, который поддерживает sysklogd) не особенно устраивал тем, что логи придется переправлять по "незащищенному каналу" и вероятность их подмены также не особенно устраивала.
Итак, основываясь на моем немного забегающем вперед эксперименте "/etc/init.d/rsyslog start Shut down sysklogd before you run rsyslog", убеждаемся в необходимости отключения стандартного логгера.
Итак, поехали:
Убираем стандартный логгер из автозапуска:
Добавляем туда "нестандартный":
Выключаем стандартный и включаем rsyslog:
В итоге это выведет следующее:
А теперь убедимся, что все запустилось просмотром лога:
Итак, основываясь на моем немного забегающем вперед эксперименте "/etc/init.d/rsyslog start Shut down sysklogd before you run rsyslog", убеждаемся в необходимости отключения стандартного логгера.
Итак, поехали:
yum install -y rsyslog
Убираем стандартный логгер из автозапуска:
chkconfig syslog off
Добавляем туда "нестандартный":
chkconfig rsyslog on
Выключаем стандартный и включаем rsyslog:
/etc/init.d/syslog stop
/etc/init.d/rsyslog start
В итоге это выведет следующее:
# /etc/init.d/syslog stop
Shutting down kernel logger: [ OK ]
Shutting down system logger: [ OK ]
# /etc/init.d/rsyslog start
Starting system logger: [ OK ]
Starting kernel logger: [ OK ]
А теперь убедимся, что все запустилось просмотром лога:
tail -f /var/log/messages
...
Dec 22 04:28:19 node yum: Installed: rsyslog-2.0.6-1.el5.x86_64
Dec 22 04:30:39 node kernel: Kernel logging (proc) stopped.
Dec 22 04:30:39 node kernel: Kernel log daemon terminating.
Dec 22 04:30:41 node exiting on signal 15
Dec 22 04:30:46 node rsyslogd: [origin software="rsyslogd" swVersion="2.0.6" x-pid="26857" x-info="http://www.rsyslog.com"][x-configInfo udpReception="No" udpPort="514" tcpReception="No" tcpPort="0"] restart
Dec 22 04:30:46 node kernel: rklogd 2.0.6, log source = /proc/kmsg started.
Такой разный apt
У него оказывается есть опция -t, в которой при наличие нескольких репо в системе (стейбл, анстейбл, тестинг) возможно выбирать, с какого именно ставить :)
(с) "Linux сборник рецептов" Карла Шредер, рекомендую!
(с) "Linux сборник рецептов" Карла Шредер, рекомендую!
понедельник, 21 декабря 2009 г.
Правильное отключение нод с OpenVZ
Если сначала не выключить vz (т.е. все VPS) следующим образом, то есть вероятность, что машинка повиснет (проявляется на 164 ядрах):
/etc/init.d/httpd stop # тут имеется в виду отключение админ-панели
/etc/init.d/vz stop
shutdown -r now
Установка Memcached на Debian5
Ставим пакет:
Если требуется сменить порт или настроить размер используемой памяти, милости просим в конфиг:
Также там можно включить режим -vv, в котором memcached будет писать в лог все запросы.
Добавляем в автозапуск:
Запускаем (насчет фаерволла можно не волноваться, он биндится только на локальный интерфейс):
apt-get install -y --force-yes memcached
Если требуется сменить порт или настроить размер используемой памяти, милости просим в конфиг:
vi /etc/memcached.conf
Также там можно включить режим -vv, в котором memcached будет писать в лог все запросы.
Добавляем в автозапуск:
update-rc.d memcached defaults
Запускаем (насчет фаерволла можно не волноваться, он биндится только на локальный интерфейс):
/etc/init.d/memcached start
Linux + java.io.IOException: Too many open files
Причина этого, что достигнуто предельное значение числа открытых файлов для ОС.
Фиксица это добавлением в скрипт запуска строк:
Фиксица это добавлением в скрипт запуска строк:
ulimit -n 10000000
CE: hpet increasing min_delta_ns to ... nsec
После запуска сервер одной игры получили вот такое в логе ядра:
Изыскания по интернету подсказывают, что hpet - это High Precision Event Timer. А вот зачем он увеличивает свою дельту - непонятно. Кто в курсе?
[ 4426.552587] CE: hpet increasing min_delta_ns to 15000 nsec
[ 4686.884120] CE: hpet increasing min_delta_ns to 22500 nsec
Изыскания по интернету подсказывают, что hpet - это High Precision Event Timer. А вот зачем он увеличивает свою дельту - непонятно. Кто в курсе?
Активация модулей ipt_state и ip_conntrack для OpenVZ VE
Открываем конфиг IPTABLES:
Ищем там строку:
Добавляем в нее наши модули через пробел:
Перезапускаем iptables:
Открываем конфиг VE:
Ищем существующую строку либо добавляем сами строку (если строка уже была, то необходимо добавить последних три модуля в список, причем iptable_filter является обязательным, но указывается только в конфиге VE, но не глобальном):
Перезапускаем контейнер:
Все, теперь -m state --state RELATED будет работать внутри контейнера :)
Мануал от Parallels по iptables http://kb.parallels.com/en/746
vi /etc/sysconfig/iptables-config
Ищем там строку:
IPTABLES_MODULES="ip_conntrack_netbios_ns"
Добавляем в нее наши модули через пробел:
IPTABLES_MODULES="ip_conntrack_netbios_ns ip_conntrack ipt_state"
Перезапускаем iptables:
/etc/init.d/iptables restart
Открываем конфиг VE:
vi /etc/vz/conf/$VEID.conf
Ищем существующую строку либо добавляем сами строку (если строка уже была, то необходимо добавить последних три модуля в список, причем iptable_filter является обязательным, но указывается только в конфиге VE, но не глобальном):
IPTABLES="ip_tables ip_conntrack ipt_state iptable_filter"
Перезапускаем контейнер:
vzctl restart $VEID
Все, теперь -m state --state RELATED будет работать внутри контейнера :)
Мануал от Parallels по iptables http://kb.parallels.com/en/746
В каких отношениях состоят ip_conntrack и ipt_state?
Вот сейчас клиент попросил поставить для VE модуль ipt_state, поэтому задумался, он ли один нужен или еще ip_conntrack необходимо включить. Ну судя по логике, conntrack используется для режима state который "RELATED". Так что связаны :)
Dec 21 15:37:27 domain.ru proftpd[18122] domain.ru (xxx-xx-xx-x.xx[xx.xx.xx.xx]): SECURITY VIOLATION: root login attempted.
Это значит, что не стоит пытаться войти рутом на FTP по причине того, что это крайне небезопасно (протокол FTP не использует шифрование паролей и канала передачи данных) и с высокой вероятностью может вызвать взлом сервера.
Route hash chain too long! Adjust your secret_interval!
Столкнулись с такой проблемой, что OpenVZ ядра 164й ветки (точно: RHEL5 2.6.18-164.2.1.el5 028stab066.7 и RHEL5 2.6.18-164.2.1.el5 028stab066.10) виснут, сопровождая зависание вот такими логами:
Более подробно:
Сейчас откатились на 128 ядро (OpenVZ, 2.6.18-128.2.1) и тестируем на нем, пока, вроде, полет нормальный и сообщений о free/leak нету, как и зависаний.
Судя по поиску, обе строки из сабжа выдает функция rt_emergency_hash_rebuild из файла net/ipv4/route.c
Как и ожидалось, в ядре 2.6.18-128.2.1 ftp://ftp.redhat.com/pub/redhat/linux/enterprise/5Server/en/os/SRPMS/kernel-2.6.18-128.2.1.el5.src.rpm этой функции нету и никаких упоминаний строк из сабжа. Так что можно спать спокойно на 128 ядре :)
Сейчас проверю 164е: ftp://ftp.redhat.com/pub/redhat/linux/enterprise/5Server/en/os/SRPMS/kernel-2.6.18-164.el5.src.rpm. Да, этот патч от RHEL 5.4 (O-Subject: [RHEL 5.4 PATCH]: allow for on demand emergency route cache flushing): linux-2.6-net-allow-for-on-demand-emergency-route-cache-flushing.patch, суть его сводится к следующему:
Как я понял это переводится так: вместо использования раут хеша почти неограниченного размера (увеличивающегося при необходимости), мы перешли к хешу ограниченного размера, который увеличивается только тогда, когда наблюдается его "подозрительно" быстрый рост.
Ап! А вот что пишут на форуме опенвз (ссылка):
Update: проблема исправлена 67.4 ядре http://wiki.openvz.org/Download/kernel/rhel5/028stab067.4
Update: проблема ВНОВЬ появилась в 194 серии ядер: http://bugzilla.openvz.org/show_bug.cgi?id=1611
Dec 18 00:15:03 CentOS-54-64-minimal kernel: Route hash chain too long!
Dec 18 00:15:03 CentOS-54-64-minimal kernel: Adjust your secret_interval!
Более подробно:
Dec 17 14:15:32 CentOS-54-64-minimal dhclient: parse_option_buffer: option time-offset (255) larger than buffer.
Dec 17 20:50:19 CentOS-54-64-minimal kernel: unregister_netdevice: waiting for venet0=ffff81023f457800 to become free. Usage count
= 3 ve=1730
Dec 17 20:50:50 CentOS-54-64-minimal last message repeated 3 times
Dec 17 20:51:00 CentOS-54-64-minimal kernel: unregister_netdevice: waiting for venet0=ffff81023f457800 to become free. Usage count
= 3 ve=1730
Dec 17 20:51:00 CentOS-54-64-minimal kernel: unregister_netdevice: device ffff81023f457800 marked to leak
Dec 17 20:51:00 CentOS-54-64-minimal kernel: free_netdev: device venet0=ffff81023f457800 leaked
Dec 17 20:51:00 CentOS-54-64-minimal kernel: neighbour leakage
Dec 17 20:51:00 CentOS-54-64-minimal kernel: CT: 1730: stopped
Dec 17 20:51:02 CentOS-54-64-minimal kernel: CT: 1730: started
Dec 18 00:15:03 CentOS-54-64-minimal kernel: Route hash chain too long!
Dec 18 00:15:03 CentOS-54-64-minimal kernel: Adjust your secret_interval!
Dec 18 01:15:20 CentOS-54-64-minimal syslogd 1.4.1: restart.
Сейчас откатились на 128 ядро (OpenVZ, 2.6.18-128.2.1) и тестируем на нем, пока, вроде, полет нормальный и сообщений о free/leak нету, как и зависаний.
Судя по поиску, обе строки из сабжа выдает функция rt_emergency_hash_rebuild из файла net/ipv4/route.c
Как и ожидалось, в ядре 2.6.18-128.2.1 ftp://ftp.redhat.com/pub/redhat/linux/enterprise/5Server/en/os/SRPMS/kernel-2.6.18-128.2.1.el5.src.rpm этой функции нету и никаких упоминаний строк из сабжа. Так что можно спать спокойно на 128 ядре :)
Сейчас проверю 164е: ftp://ftp.redhat.com/pub/redhat/linux/enterprise/5Server/en/os/SRPMS/kernel-2.6.18-164.el5.src.rpm. Да, этот патч от RHEL 5.4 (O-Subject: [RHEL 5.4 PATCH]: allow for on demand emergency route cache flushing): linux-2.6-net-allow-for-on-demand-emergency-route-cache-flushing.patch, суть его сводится к следующему:
Several customer have pointed out that Linux has this periodic latency
resulting from us flushing the route cache. We do this purposefully, since we
don't want to use the same hash secret too long and risk having an attacker
flood our system with carefully selected packets, creating route cache entries
that all hash to the same value. It would be nice if we could, instead of
flushing every X seconds weather we need to or not, to flush only when we detect
that a chain in our hash table is growing suspiciously long.
Как я понял это переводится так: вместо использования раут хеша почти неограниченного размера (увеличивающегося при необходимости), мы перешли к хешу ограниченного размера, который увеличивается только тогда, когда наблюдается его "подозрительно" быстрый рост.
Ап! А вот что пишут на форуме опенвз (ссылка):
As a workaround downgrade to RHEL 5.3 based kernel or decrease your /proc/sys/net/ipv4/route/secret_interval value (default 600), but not too much.
But I hope that a permanent fix is on it's way.
Update: проблема исправлена 67.4 ядре http://wiki.openvz.org/Download/kernel/rhel5/028stab067.4
Update: проблема ВНОВЬ появилась в 194 серии ядер: http://bugzilla.openvz.org/show_bug.cgi?id=1611
воскресенье, 20 декабря 2009 г.
Обновить ISPManager Lite до ISPManager Pro
Можно командой:
/usr/local/ispmgr/sbin/up2prof.sh
killall -9 -r ispmgr # без этого не обновится
Journal-guided Resynchronization for Software RAID Reviews Shared by: termo Categories Education Tags Journal-guided Resynchronization for soft raid
Кто интересуется темой - велкам в гугл!
А вот еще с той же оперы слово для затравки: dirty region log (DRL)
А вот еще с той же оперы слово для затравки: dirty region log (DRL)
Типы журналов Ext3
journal
All data is committed into the journal prior to being written into the main file system.
ordered
This is the default mode. All data is forced directly out to the main file system prior to its metadata being committed to the journal.
writeback
Data ordering is not preserved - data may be written into the main file system after its metadata has been committed to the journal. This is rumoured to be the highest-throughput option. It guarantees internal file system integrity, however it can allow old data to appear in files after a crash and journal recovery.
А вот информация прямиком из ядра (filesystems/ext3.txt):
journal All data are committed into the journal prior to being written into the main file system.
ordered (*) All data are forced directly out to the main file system prior to its metadata being committed to the journal.
writeback Data ordering is not preserved, data may be written into the main file system after its metadata has been committed to the journal.
И еще немного с документации ядра:
* writeback mode
In data=writeback mode, ext3 does not journal data at all. This mode provides
a similar level of journaling as that of XFS, JFS, and ReiserFS in its default
mode - metadata journaling. A crash+recovery can cause incorrect data to
appear in files which were written shortly before the crash. This mode will
typically provide the best ext3 performance.
* ordered mode
In data=ordered mode, ext3 only officially journals metadata, but it logically
groups metadata and data blocks into a single unit called a transaction. When
it's time to write the new metadata out to disk, the associated data blocks
are written first. In general, this mode performs slightly slower than
writeback but significantly faster than journal mode.
* journal mode
data=journal mode provides full data and metadata journaling. All new data is
written to the journal first, and then to its final location.
In the event of a crash, the journal can be replayed, bringing both data and
metadata into a consistent state. This mode is the slowest except when data
needs to be read from and written to disk at the same time where it
outperforms all other modes.
Замены syslog (sysklogd) в CentOS 5: syslog-ng и rsyslog
rsyslog (кстати, к нему даже есть провайдер для хранения логов в MySQL: rsyslog-mysql):
syslog-ng:
yum info rsyslog
Name : rsyslog
Arch : x86_64
Version : 2.0.6
Release : 1.el5
Size : 201 k
Repo : base
Summary : Enhanced system logging and kernel message trapping daemons
URL : http://www.rsyslog.com/
License : GPLv2+
Description: Rsyslog is an enhanced multi-threaded syslogd supporting, among others, MySQL,
: syslog/tcp, RFC 3195, permitted sender lists, filtering on any message part,
: and fine grain output format control. It is quite compatible to stock sysklogd
: and can be used as a drop-in replacement. Its advanced features make it
: suitable for enterprise-class, encryption protected syslog relay chains while
: at the same time being very easy to setup for the novice user.
syslog-ng:
yum info syslog-ng
Available Packages
Name : syslog-ng
Arch : x86_64
Version : 2.1.4
Release : 1.el5
Size : 263 k
Repo : epel
Summary : Next-generation syslog server
URL : http://www.balabit.com/products/syslog_ng/
License : GPLv2+
Description: syslog-ng, as the name shows, is a syslogd replacement, but with new
: functionality for the new generation. The original syslogd allows
: messages only to be sorted based on priority/facility pairs; syslog-ng
: adds the possibility to filter based on message contents using regular
: expressions. The new configuration scheme is intuitive and powerful.
: Forwarding logs over TCP and remembering all forwarding hops makes it
: ideal for firewalled environments.
Установка logwatch
Ставим:
Логвоч стандартно вываливает кучи избыточной информации, поэтому его нужно тюнить. Вот список всех доступных сервисов:
Открываем конфиг:
И вписываем следующее:
Запускаем: /etc/cron.daily/0logwatch и следим за количеством спама =)
yum -y install logwatch
Логвоч стандартно вываливает кучи избыточной информации, поэтому его нужно тюнить. Вот список всех доступных сервисов:
ls -la /usr/share/logwatch/scripts/services/
Открываем конфиг:
vi /etc/logwatch/conf/logwatch.conf
И вписываем следующее:
# Local configuration options go here (defaults are in /usr/share/logwatch/default.conf/logwatch.conf)
Service = All
# отключаем отчет о свободном месте, т.к. за этим следит другая система мониторинга
Service = "-zz-disk_space"
# т.к. у Пофикса очень большие логи и этот скрипт не очень прямой и сильно спамит
Service = "-postfix"
Запускаем: /etc/cron.daily/0logwatch и следим за количеством спама =)
Подключение собственных event-handler к ISPManager
Допустим, наш тестовый event-handler называется: usrparam.set (и привязывается он к соответствующему действию ISPManager).
Вот так можно получить список всех ивентов, которые можно хукнуть:
Создаем папку для event-handler ов:
Помещаем в нее наш хендлер и обязательно выставляем 700е права:
Перезапускаем ISPMager:
Следим в логах, с каким успехом вызывается наш хендлер:
Вот так можно получить список всех ивентов, которые можно хукнуть:
/usr/local/ispmgr/sbin/mgrctl eventlist
Создаем папку для event-handler ов:
mkdir -p /usr/local/ispmgr/event
Помещаем в нее наш хендлер и обязательно выставляем 700е права:
vim /usr/local/ispmgr/event/usrparam.set
chmod 700 /usr/local/ispmgr/event/usrparam.set
Перезапускаем ISPMager:
killall -9 -r ispmgr
Следим в логах, с каким успехом вызывается наш хендлер:
tail -f /usr/local/ispmgr/var/ispmgr.log
Postfix: разрешить прием почты только от доверенных SMTP серверов
Часто при использовании многокаскадных почтовых систем необходимо запретить серверу принимать почту от всех, кроме перечисленных списком серверов, делается это не особенно тривиально, но вполне возможно :)
Открываем конфиг:
Ниже строк:
Добавляем:
Далее ищем строку:
И заменяем на:
Итого: был удален reject_unauth_destination, добавлен reject, о них подробно ниже.
Перезапускаем Postfix:
Ну вот теперь все сообщения от узлов, чьи IP отличны от ip.ad.dr.es (ога, у остальных с цифреками) будуи сразу же отклоняться почтовиком, а вот клиенты, желающие отправить почту будут запущены на машинку.
Открываем конфиг:
vi /etc/postfix/main.cf
Ниже строк:
#mynetworks = 168.100.189.0/28, 127.0.0.0/8
#mynetworks = $config_directory/mynetworks
#mynetworks = hash:/etc/postfix/network_table
Добавляем:
mynetworks = 127.0.0.0/8, ip.ad.dr.es, ip.ad.dr.es
Далее ищем строку:
smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination, reject_unlisted_recipient, reject_unverified_recipient
И заменяем на:
smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unlisted_recipient, reject_unverified_recipient, reject
Итого: был удален reject_unauth_destination, добавлен reject, о них подробно ниже.
reject_unauth_destination
Reject the request unless one of the following is true:
* the resolved destination address matches $relay_domains or a subdomain thereof, and the address contains no sender-specified routing (user@elsewhere@domain),
* Postfix is the final destination: any destination that matches $mydestination, $inet_interfaces, $virtual_alias_domains, or $virtual_mailbox_domains.
The relay_domains_reject_code parameter specifies the response code for rejected requests (default: 554).
Перезапускаем Postfix:
/etc/init.d/httpd restart
Ну вот теперь все сообщения от узлов, чьи IP отличны от ip.ad.dr.es (ога, у остальных с цифреками) будуи сразу же отклоняться почтовиком, а вот клиенты, желающие отправить почту будут запущены на машинку.
Настройка исключений для yum update
Часто при установке "патченного" софта (конечно же, из rpm, а не сорцов) встает необходимость заблокировать последующие апдейты "патченного" пакета, иначе они отключат все его фичи.
Для этого есть плагин к yum:
Ставим его:
Открываем список игнорируемых пакетов:
И вписываем туда (ну имя пакета, разумеется, Ваше):
Всё, при запуске yum update он появляться более не будет :)
Для этого есть плагин к yum:
yum-versionlock.noarch : Yum plugin to lock specified packages from being updated
Ставим его:
yum -y install yum-versionlock
Открываем список игнорируемых пакетов:
vi /etc/yum/pluginconf.d/versionlock.list
И вписываем туда (ну имя пакета, разумеется, Ваше):
kernel-xen*
Всё, при запуске yum update он появляться более не будет :)
Mailman: Message body is too big: 57364 bytes with a limit of 40 KB
Как исправить?
Идём в файл:
Корректируем там строчку:
(ранее было 40, поставили 200)
Идём в файл:
vi /usr/lib/mailman/Mailman/Defaults.py
Корректируем там строчку:
DEFAULT_MAX_MESSAGE_SIZE = 200
(ранее было 40, поставили 200)
ISPManager: как правильно менять тарифные планы
Логинимся рутом, настройки => политика, ставим галочку "применять изменения в шаблонах". После этого входим реселлером и меняем тарифы. Также в политиках появляется опция: "принудительно применять изменения в шаблонах", но она нам сейчас не нужна.
ISPManager. Ошибка: rotate уже существует
Смотреть в файл:
есть ли там запись про домен. Если есть, то необходимо удалить.
/usr/local/ispmgr/etc/rotate.conf
есть ли там запись про домен. Если есть, то необходимо удалить.
Устанавливаем Московский часовой пояс в CentOS 5 / Debian 5
Ну можете и свой пояс поставить, но лично мне Московский почему-то роднее :)
На Debian 5 Lenny:
Или еще более правильный способ:
Во всплывшем окне выбираем Europe - Moscow.
cp /usr/share/zoneinfo/Europe/Moscow /etc/localtime
На Debian 5 Lenny:
cp /usr/share/zoneinfo/Europe/Moscow /etc/localtime
Или еще более правильный способ:
dpkg-reconfigure tzdata
Во всплывшем окне выбираем Europe - Moscow.
Использование nmap
Наиболее удобный режим запуска nmap (сканируются вообще все порты):
nmap -p0-65535 -v -A domain.ru
Скрипт для установки паролей для множества юзеров подряд
Ставим генератор паролей:
Сам скрипт:
yum -y install pwgen
Сам скрипт:
perl -Mstrict -e 'my @ls = qw/host1 host2 host3 host4 host5 host6/; for my $user (@ls) { $_ = `/usr/bin/pwgen 16 1`; chomp; open my $passwd, "|/usr/bin/passwd --stdin $user" or die "$!"; print {$passwd} "$_\n"; close($passwd); print "$user $_\n" }'
Передача файлов посредством nc
Ага, это возможно! Не зря же он Net Knife (причем, явно швейцарский) !
На принимающей стороне:
На отправляющей:
Ну вот и все :)
На принимающей стороне:
nc -vv -l 6969 > /tmp/disk.iso
На отправляющей:
nc -w1 domain.ru 6969 < disk.iso
Ну вот и все :)
Установка Monit на CentOS
Monit - это программный watchdog, который умеет перезапускать демоны (да и вообще делать все, что душа пожелает) при наступлении определенного события, например перегрузки CPU или исчерпания всей памяти и проч. Я приведу пример работы с ним для защиты от зависаний Спамообороны.
Конфиг его тут:
А вот пример правила для перезапуска Спамообороны при зависании:
Добавляем в автозапуск:
Запускаем:
yum -y install monit
Конфиг его тут:
vi /etc/monit.conf
А вот пример правила для перезапуска Спамообороны при зависании:
set daemon 35
check process sp-daemon with pidfile /var/run/sp-daemon.pid
start = "/etc/init.d/sp-daemon start"
stop = "/etc/init.d/sp-daemon stop"
if children < 2 then restart
Добавляем в автозапуск:
/sbin/chkconfig monit on
Запускаем:
/etc/init.d/monit start
Решение проблем с Named на CentOS 5
Очень часто при апдейте Named (Bind) сбрасывает владельцев зон в папке /var/named на root, в результате чего Named ломается, фиксить это так:
Итого как-то вот так выглядит его "правильное" обновление:
chown -R named:named /var/named/
Итого как-то вот так выглядит его "правильное" обновление:
yum -y update bind && chown -R named:named /var/named/ && /etc/init.d/named restart && ls -la /var/named | head
Что значат поля DNS SOA записи?
Refresh говорит вторичным серверам, как часто они должны проверять значение serial.
Retry говорит о том, как часто вторичный сервер должен пытаться прочитать данные, если первичный сервер не отвечает.
Expire говорит вторичным серверам, в течение какого времени они должны обслуживать домен, если первичный сервер не отвечает. По истечении этого времени вторичные сервера будут считать свои данные устаревшими.
Minimum задает время жизни записей по умолчанию для данной зоны.
(с) потерял :(
Retry говорит о том, как часто вторичный сервер должен пытаться прочитать данные, если первичный сервер не отвечает.
Expire говорит вторичным серверам, в течение какого времени они должны обслуживать домен, если первичный сервер не отвечает. По истечении этого времени вторичные сервера будут считать свои данные устаревшими.
Minimum задает время жизни записей по умолчанию для данной зоны.
(с) потерял :(
Срезать mac чужих серверов на уровне IPTABLES
Многие хостеры (да и провайдеры, думаю) вылавливают в сети не свои DHCP и забивают их lease целиком. Но можно средствами фаерволла перекрыть доступ к DHCP всем, кроме своих серверов:
источник: http://shirwablog.com/?p=26
iptables -A INPUT -p tcp --dport 67:68 -m mac --mac-source 00:50:56:2F:97:69 -j ACCEPT
iptables -A INPUT -p tcp --dport 67:68 -j DROP
источник: http://shirwablog.com/?p=26
Как скачать файлы указанные как SOURCES в SPEC?
Никак.
The URLs listed in source directives are for convenience and future reference only. RPM will not download these files.
Работа с NFS на CentOS: сервер
Ставим необходимый софт:
Запускаем:
Открываем конфигурацию экспортируемых ФС:
Вписываем там (эта конфигурация небезопасна, все файлы будут доступны как для root, но зато не будет проблем с соответствием uid на разных машинах). Причем 10.0.100.100 - это IP клиента, который имеет право монтировать эту ФС.
Потом добавляем 10.0.100.100 как доверенный для доступа к portmap:
Добавляем туда:
Для применения настроек перезапускаем все сервисы (не уверен, что это требуется, но лучше сделать, если нет соседних чтений/записей):
Просматриваем список экспортируемых ФС:
Ну вот и все :)
yum -y install nfs-utils portmap
Запускаем:
/etc/init.d/portmap start
/etc/init.d/nfs start
Открываем конфигурацию экспортируемых ФС:
vi /etc/exports
Вписываем там (эта конфигурация небезопасна, все файлы будут доступны как для root, но зато не будет проблем с соответствием uid на разных машинах). Причем 10.0.100.100 - это IP клиента, который имеет право монтировать эту ФС.
/mnt/host2 10.0.100.100(rw,no_root_squash)
Потом добавляем 10.0.100.100 как доверенный для доступа к portmap:
vi /etc/hosts.allow
Добавляем туда:
portmap: 10.0.100.100
Для применения настроек перезапускаем все сервисы (не уверен, что это требуется, но лучше сделать, если нет соседних чтений/записей):
/etc/init.d/portmap restart
/etc/init.d/nfs restart
Просматриваем список экспортируемых ФС:
exportfs
Ну вот и все :)
Работа с NFS на CentOS: клиент
Ставим необходимые пакеты:
Запускаем необходимые службы:
Создаем точку монтирования для NFS диска:
Монтируем:
А если не смонтировалось, то идти читать:
Ну вот и все :)
yum -y install nfs-utils portmap
Запускаем необходимые службы:
/etc/init.d/portmap start
/etc/init.d/nfs start
Создаем точку монтирования для NFS диска:
mkdir -p /mnt/nfsdisk
Монтируем:
mount 10.0.100.100:/mnt/host5 /mnt/nfsdisk
А если не смонтировалось, то идти читать:
tail -f /var/log/messages
Ну вот и все :)
subversion: разрешить правку комментов к коммитам
При попытке изменения на стандартно настроенном svn получаем следующее:
Фиксица так (на сервере, разумеется):
1. Идём в папку /var/spool/svn/имя_репозитория/hooks/
2. Там выполняем:
3. Перезапускаем svnserve и вуаля, всё работает :)
svn pe svn:log -r 5826 --revprop
svn: Repository has not been enabled to accept revision propchanges;
ask the administrator to create a pre-revprop-change hook
Фиксица так (на сервере, разумеется):
1. Идём в папку /var/spool/svn/имя_репозитория/hooks/
2. Там выполняем:
cp pre-revprop-change.tmpl pre-revprop-change
chmod +x pre-revprop-change
3. Перезапускаем svnserve и вуаля, всё работает :)
iptables: забанить диапазон
/sbin/iptables -A INPUT -m iprange --src-range 193.169.0.0-193.169.255.255 -j DROP
Установка агента Zabbix
Установка Агента
Подключаем Epel:
Ставим:
Конфигурируем:
Корректируем там следующее:
Добавляем в автозапуск и запускаем:
Включение сервера в мониторинг на сервере.
Подключаем Epel:
rpm -Uvh http://download.fedora.redhat.com/pub/epel/5/i386/epel-release-5-4.noarch.rpm
Ставим:
yum install -y zabbix-agent
Конфигурируем:
vi /etc/zabbix/zabbix_agentd.conf
Корректируем там следующее:
Server=ip.ad.dr.es
Hostname=хостнейм_машинки
Timeout=30
Добавляем в автозапуск и запускаем:
chkconfig zabbix-agent on
/etc/init.d/zabbix-agent start
Включение сервера в мониторинг на сервере.
1. Входим на: http://где_у_вас_стоит_заббикс.ru
2. "Настройка" => "Узлы сети"
3. В списке выбираем "узлы сети", далее щелкаем "Создать узел сети"
4. Имя "hostname.ru" (хостнейм машинки)
5. Ставим: "Подключиться к IP адрес"
6. Вписываем DNS имя и IP машинки
7. Связать с шаблоном, жмем "добавить" и выбираем там "Template_Linux" для обычных серверов
8. Тыкаем "Ok"
Обновление всех CPAN модулей
cpan
cpan shell -- CPAN exploration and modules installation (v1.9402)
Enter 'h' for help.
cpan[1]> upgrade
Суперскоростная установка CPAN модулей
Для автоматического ответа на все запросы CPAN есть хак:
PERL_MM_USE_DEFAULT=1 cpan Catalyst
Примеры OpenID идентификаторов для популярных сервисов
Вот все, что нашел:
имя_вашего_жж.livejournal.com
http://имя_вашего_блога.blogspot.com
https://ваш_логин_на_яндексе.ya.ru
имя_вашего_жж.livejournal.com
http://имя_вашего_блога.blogspot.com
https://ваш_логин_на_яндексе.ya.ru
Настройка синхронизации времени на CentOS Linux
Ставим пакет:
Открываем конфиг:
Корректируем там:
А также изменяем (-L чтобы не слушать сеть вообще):
Синхронизируем время:
Добавляем в автозапуск:
Запускаем:
Но иногда ntpd глючит и получается большие отставания:
Тогда надо делать следующее:
Теперь все ок:
А если требуется выставить другой часовой пояс, используем мануал: http://phpsuxx.blogspot.com/2009/12/centos-5_20.html
yum install -y ntp
Открываем конфиг:
vi /etc/sysconfig/ntpd
Корректируем там:
SYNC_HWCLOCK=yes
А также изменяем (-L чтобы не слушать сеть вообще):
OPTIONS="-u ntp:ntp -p /var/run/ntpd.pid -L"
Синхронизируем время:
/usr/sbin/ntpdate 0.rhel.pool.ntp.org europe.pool.ntp.org
Добавляем в автозапуск:
/sbin/chkconfig ntpd on
Запускаем:
/etc/init.d/ntpd start
Но иногда ntpd глючит и получается большие отставания:
sntp time.nist.gov
2010 Feb 19 16:33:10.653 + 79.089 +/- 0.152 secs
Тогда надо делать следующее:
/etc/init.d/ntpd stop
/usr/sbin/ntpdate 0.rhel.pool.ntp.org europe.pool.ntp.org
/etc/init.d/ntpd start
Теперь все ок:
sntp time.nist.gov
2010 Feb 19 16:33:25.111 - 0.009 +/- 0.151 secs
А если требуется выставить другой часовой пояс, используем мануал: http://phpsuxx.blogspot.com/2009/12/centos-5_20.html
суббота, 19 декабря 2009 г.
Зависание OpenVZ
На CentOS 5.4 x86_64 2.6.18-164.2.1.el5.028stab066.10 вот такая напасть, выливающаяся в спорадические зависания ноды (происходить при старте/стопе VPS):
А вот в реально времени вместе с выдачей sockstat:
Теперь идем читаем, что такое параметр tcp_mem: http://phpsuxx.blogspot.com/2009/12/procsysnetipv4tcpmem.html
Товарищи с Parallels (ссылка ниже) советуют эти значения увеличить до: 786432 1048576 1572864
Имеем до (все числа в страницах):
Добавляем строку в:
Применяем настройки:
Смотрим результат:
Взято с: http://forum.parallels.com/showthread.php?t=97158
Dec 17 15:35:01 ovz18 kernel: CT: 1830: started
Dec 17 15:59:16 ovz18 kernel: CT: 1830: stopped
Dec 17 16:00:02 ovz18 kernel: CT: 1830: started
Dec 17 12:46:10 ovz18 kernel: free_netdev: device venet0=ffff81029897f800 leaked
Dec 17 16:44:59 ovz18 kernel: unregister_netdevice: waiting forvenet0=ffff810213b61800 to become free. Usage count= 4 ve=1818
А вот в реально времени вместе с выдачей sockstat:
Message from syslogd@ at Sat Dec 19 22:32:17 2009 ...
CentOS-54-64-minimal kernel: unregister_netdevice: waiting for lo=ffff810128413000 to become free. Usage count = 4 ve=1612
Message from syslogd@ at Sat Dec 19 22:32:57 2009 ...
CentOS-54-64-minimal last message repeated 4 times
Message from syslogd@ at Sat Dec 19 22:32:57 2009 ...
CentOS-54-64-minimal kernel: unregister_netdevice: device ffff810128413000 marked to leak
Message from syslogd@ at Sat Dec 19 22:32:58 2009 ...
CentOS-54-64-minimal kernel: free_netdev: device lo=ffff810128413000 leaked
# cat /proc/net/sockstat
sockets: used 3228
TCP: inuse 341 orphan 0 tw 541 alloc 497 mem 490
UDP: inuse 17 mem 0
RAW: inuse 0
FRAG: inuse 0 memory 0
Теперь идем читаем, что такое параметр tcp_mem: http://phpsuxx.blogspot.com/2009/12/procsysnetipv4tcpmem.html
Товарищи с Parallels (ссылка ниже) советуют эти значения увеличить до: 786432 1048576 1572864
Имеем до (все числа в страницах):
cat /proc/sys/net/ipv4/tcp_mem
188416 192512 196608
Добавляем строку в:
vi /etc/sysctl.conf
net.ipv4.tcp_mem = 786432 1048576 1572864
Применяем настройки:
sysctl -p
Смотрим результат:
cat /proc/sys/net/ipv4/tcp_mem
786432 1048576 1572864
Взято с: http://forum.parallels.com/showthread.php?t=97158
Что такое /proc/sys/net/ipv4/tcp_mem ?
Вот Redhat Deployment Guide тоже не знает и ссылается на: /usr/share/doc/kernel-doc-/Documentation/networking/ip-sysctl.txt
Но для использования этой документации необходимо поставить пакет:
В моем случае это будет:
По сабжу:
Как можно понять, эти значения идут от меньшего к большему.
Далее стоит вопрос - как посмотреть, сколько их now in use сейчас? Товарищ подсказывает, что смотреть в:
Предполагаю, что параметр этот mem, но в каких попугаях он - вопрос, явно не проценты, т.к. на соседней машинке он был аж за 200:
Народ подсказывает, что документациях есть в сорцах ядра: /usr/src/linux/net/ipv4/proc.c, поэтому идем GitWeb kernel.org: http://git.kernel.org/?p=linux/kernel/git/stable/linux-2.6.27.y.git;a=blob_plain;f=net/ipv4/proc.c;hb=HEAD
А там в "mem" выводится "&tcp_memory_allocated", который объявлен как:
Потому оно становится полем memory_allocated структуры tcp_prot
А дальше инфы не нашел...
Но для использования этой документации необходимо поставить пакет:
yum install -y kernel-doc
В моем случае это будет:
vi /usr/share/doc/kernel-doc-2.6.18/Documentation/networking/ip-sysctl.txt
По сабжу:
tcp_mem - vector of 3 INTEGERs: min, pressure, max
min: below this number of pages TCP is not bothered about its
memory appetite.
pressure: when amount of memory allocated by TCP exceeds this number
of pages, TCP moderates its memory consumption and enters memory
pressure mode, which is exited when memory consumption falls
under "min".
max: number of pages allowed for queueing by all TCP sockets.
Defaults are calculated at boot time from amount of available
memory.
Как можно понять, эти значения идут от меньшего к большему.
Далее стоит вопрос - как посмотреть, сколько их now in use сейчас? Товарищ подсказывает, что смотреть в:
cat /proc/net/sockstat
sockets: used 1720
TCP: inuse 146 orphan 0 tw 29 alloc 207 mem 9
UDP: inuse 3 mem 0
RAW: inuse 0
FRAG: inuse 0 memory 0
Предполагаю, что параметр этот mem, но в каких попугаях он - вопрос, явно не проценты, т.к. на соседней машинке он был аж за 200:
cat /proc/net/sockstat
sockets: used 3402
TCP: inuse 412 orphan 0 tw 478 alloc 570 mem 205
UDP: inuse 17 mem 0
RAW: inuse 0
FRAG: inuse 0 memory 0
Народ подсказывает, что документациях есть в сорцах ядра: /usr/src/linux/net/ipv4/proc.c, поэтому идем GitWeb kernel.org: http://git.kernel.org/?p=linux/kernel/git/stable/linux-2.6.27.y.git;a=blob_plain;f=net/ipv4/proc.c;hb=HEAD
А там в "mem" выводится "&tcp_memory_allocated", который объявлен как:
atomic_t tcp_memory_allocated; /* Current allocated memory. */
Потому оно становится полем memory_allocated структуры tcp_prot
А дальше инфы не нашел...
Аэрофобам посвящается :)
Категорически показано к прочтению данным гражданам: http://www.rusrep.ru/2009/48/aerofobiya/
Cмена лицензии на VDSmanager
rm -f /usr/local/ispmgr/etc/vdsmgr.lic
wget http://lic.ispsystem.com/vdsmgr.lic?ip=ip.ad.dr.es -O/usr/local/ispmgr/etc/vdsmgr.lic
killall -9 -r vdsmgr
Что за настройка /etc/vz/vz.conf: IPTABLES
Там указано следующее:
Что это значит - непонятно. Есть подозрения, что это "дефалтовый" список IPTABLES модулей для новых контейнеров - но не уверен, опять же. Причем, как я понял, указывать модуль здесь для проброса его в контейнер далеко не обязательно.
Подскажите?
Ап!
Она обозначает то, какие из модулей iptables загружаются на VPS в данном hardware node по умолчанию, определяется составом параметра IPTABLES в файле /etc/sysconfig/vz.
(с) http://www.opennet.ru/docs/RUS/virtuozzo/
## IPv4 iptables kernel modules
IPTABLES="ipt_REJECT ipt_tos ipt_limit ipt_multiport iptable_filter iptable_mangle ipt_TCPMSS ipt_tcpmss ipt_ttl ipt_length"
Что это значит - непонятно. Есть подозрения, что это "дефалтовый" список IPTABLES модулей для новых контейнеров - но не уверен, опять же. Причем, как я понял, указывать модуль здесь для проброса его в контейнер далеко не обязательно.
Подскажите?
Ап!
Она обозначает то, какие из модулей iptables загружаются на VPS в данном hardware node по умолчанию, определяется составом параметра IPTABLES в файле /etc/sysconfig/vz.
(с) http://www.opennet.ru/docs/RUS/virtuozzo/
Подключение ip_conntrack_ftp на CentOS 5 / OpenVZ
На хост-машине делаем следующее:
Там видим нечто типа:
Добавляем через пробел еще один модуль:
Перезапускаем фаерволл:
Убеждаемся, что модуль загрузился:
Теперь открываем конфиг контейнера:
Видим там следующую строку:
добавляем туда через пробел ip_conntrack_ftp:
Перезапускаем контейнер (это обязательно, увы):
Ну вот и все, теперь модуль доступен в контейнере :) Кстати, как я понял - модуль не имеет настроек как таковых, он просто хачит поведение опции RELATED, чтобы она и ftp коннекты оными считала.
источник: http://forum.openvz.org/index.php?t=msg&goto=13133&
vi /etc/sysconfig/iptables-config
Там видим нечто типа:
IPTABLES_MODULES="ip_conntrack_netbios_ns"
Добавляем через пробел еще один модуль:
IPTABLES_MODULES="ip_conntrack_netbios_ns ip_conntrack_ftp"
Перезапускаем фаерволл:
/etc/init.d/iptables restart
Убеждаемся, что модуль загрузился:
cat /proc/modules | grep ftp
ip_conntrack_ftp 42192 0 - Live 0xffffffff8869b000 (U)
ip_conntrack 101396 6 ip_conntrack_ftp,ip_conntrack_netbios_ns,iptable_nat,xt_state,ip_nat, Live 0xffffffff8853f000 (U)
Теперь открываем конфиг контейнера:
vi /etc/vz/conf/1420.conf
Видим там следующую строку:
IPTABLES="ip_tables iptable_filter iptable_mangle ipt_limit ipt_REJECT ipt_length ip_conntrack iptable_nat ipt_REDIRECT "
добавляем туда через пробел ip_conntrack_ftp:
IPTABLES="ip_tables iptable_filter iptable_mangle ipt_limit ipt_REJECT ipt_length ip_conntrack iptable_nat ipt_REDIRECT ip_conntrack_ftp"
Перезапускаем контейнер (это обязательно, увы):
vzctl restart 1420
Ну вот и все, теперь модуль доступен в контейнере :) Кстати, как я понял - модуль не имеет настроек как таковых, он просто хачит поведение опции RELATED, чтобы она и ftp коннекты оными считала.
источник: http://forum.openvz.org/index.php?t=msg&goto=13133&
Perl vs Python
Взял наобум кусок кода на Perl (из дистрибутива ISPManager, так что все копирайты их Программистов).
Вот вариант на Перле: http://paste.org.ru/?sa0zf2, вот на Python: http://paste.org.ru/?kg8anl
Вот вариант на Перле: http://paste.org.ru/?sa0zf2, вот на Python: http://paste.org.ru/?kg8anl
Как заставить strace показывать читаемые/записываемые в/ис дескрипторов тексты целиком?
Ключом -s:
strace -s 1024 -f -p 4939
Описание OpenVZ UBC на русском
numproc - Максимальное количество процессов и тредов (потоков).
numothersock - Максимальное количество TCP-сокетов.
vmguarpages - Гарантированный объем оперативной памяти,
которая может быть запрошена стандартными механизмами резервирования памяти в Linux.
kmemsize - Память ядра — объем оперативной памяти, выделяемый для внутренних структур данных
ядра, связанных с процессами виртуального сервера.
Каждый процесс запрашивает как минимум 24 Кб таких данных. Средний процесс использует 30—60 Кб ядерной памяти. Большие процессы, такие как Apache и MySQL, могут использовать гораздо больше.
tcpsndbuf - Суммарный размер буферов, которых может быть использован для отправки данных через TCP-соединения.
tcprcvbuf - Суммарный размер буферов, которых может быть использован для приема данных через TCP-соединения.
othersockbuf - Суммарный размер буферов, которые могут быть использованы как для приема,
так и для отправки данных через локальные сокеты, а также буферы,
используемые для отправки данных по протоколу UDP.
dgrampages - Суммарный размер буферов, которые могут быть использованы для приема данных через UDP-соединения.
privvmpages - Объем оперативной памяти, которая может быть запрошена процессами виртуального
сервера системным вызовом malloc и другими стандартными механизмами резервирования памяти в Linux.
oomguarpages - Гарантированный объем оперативной памяти, превышение которого вызовет сигнал outof-memory.
lockedpages - Объем памяти, которая может быть заблокирована с помощью системного вызова mlock. Этот объем включен в kmemsize.
shmpages - Общий объем разделяемой оперативной памяти (IPC). Этот параметр включен в privvmpages.
numfile - Максимальное количество открытых файлов.
numflock - Максимальное количество возможных блокировок файлов.
numpty - Максимальное количество псевдо-терминалов.
numsiginfo - Максимальное количество siginfo-структур. Размер структуры включен в kmemsize.
dcachesize - Объем памяти, необходимый для блокировки dentry- и inode-структур. Объем этой памяти включен в kmemsize.
numiptent - Максимальное количество записей в firewall (netfilter).
Примечание:
- все параметры вида «*pages» измеряется в 4 Кб страницах;
- все параметры вида «num*» измеряется в штуках;
- все остальные параметры («*size», «*buf») измеряется в байтах.
позаимствовано целиком с: http://wiki.helpdesk.by/index.php/%D0%9B%D0%B8%D0%BC%D0%B8%D1%82%D1%8B_%D0%B2%D0%B8%D1%80%D1%82%D1%83%D0%B0%D0%BB%D1%8C%D0%BD%D1%8B%D1%85_%D1%81%D0%B5%D1%80%D0%B2%D0%B5%D1%80%D0%BE%D0%B2
numothersock - Максимальное количество TCP-сокетов.
vmguarpages - Гарантированный объем оперативной памяти,
которая может быть запрошена стандартными механизмами резервирования памяти в Linux.
kmemsize - Память ядра — объем оперативной памяти, выделяемый для внутренних структур данных
ядра, связанных с процессами виртуального сервера.
Каждый процесс запрашивает как минимум 24 Кб таких данных. Средний процесс использует 30—60 Кб ядерной памяти. Большие процессы, такие как Apache и MySQL, могут использовать гораздо больше.
tcpsndbuf - Суммарный размер буферов, которых может быть использован для отправки данных через TCP-соединения.
tcprcvbuf - Суммарный размер буферов, которых может быть использован для приема данных через TCP-соединения.
othersockbuf - Суммарный размер буферов, которые могут быть использованы как для приема,
так и для отправки данных через локальные сокеты, а также буферы,
используемые для отправки данных по протоколу UDP.
dgrampages - Суммарный размер буферов, которые могут быть использованы для приема данных через UDP-соединения.
privvmpages - Объем оперативной памяти, которая может быть запрошена процессами виртуального
сервера системным вызовом malloc и другими стандартными механизмами резервирования памяти в Linux.
oomguarpages - Гарантированный объем оперативной памяти, превышение которого вызовет сигнал outof-memory.
lockedpages - Объем памяти, которая может быть заблокирована с помощью системного вызова mlock. Этот объем включен в kmemsize.
shmpages - Общий объем разделяемой оперативной памяти (IPC). Этот параметр включен в privvmpages.
numfile - Максимальное количество открытых файлов.
numflock - Максимальное количество возможных блокировок файлов.
numpty - Максимальное количество псевдо-терминалов.
numsiginfo - Максимальное количество siginfo-структур. Размер структуры включен в kmemsize.
dcachesize - Объем памяти, необходимый для блокировки dentry- и inode-структур. Объем этой памяти включен в kmemsize.
numiptent - Максимальное количество записей в firewall (netfilter).
Примечание:
- все параметры вида «*pages» измеряется в 4 Кб страницах;
- все параметры вида «num*» измеряется в штуках;
- все остальные параметры («*size», «*buf») измеряется в байтах.
позаимствовано целиком с: http://wiki.helpdesk.by/index.php/%D0%9B%D0%B8%D0%BC%D0%B8%D1%82%D1%8B_%D0%B2%D0%B8%D1%80%D1%82%D1%83%D0%B0%D0%BB%D1%8C%D0%BD%D1%8B%D1%85_%D1%81%D0%B5%D1%80%D0%B2%D0%B5%D1%80%D0%BE%D0%B2
ISPManager + плагины: Внутренняя ошибка malformed result
При попытке открыть любой плагин выдается следующее:
CentOS:
Debian (список неактуален, не пробовал сам):
Также на обоих дистрибутивах надо поставить гору cpan модулей:
Но у меня он так и не поставился (дада, я перл-программист местами), так что ставим руками
Далее в частности для apachestatus надо настроить Apache Status для localhost (CentOS) или http://phpsuxx.blogspot.com/2010/01/server-status-apache-httpd-debian.html (Debian)
Взято с: http://forum.ispsystem.com/ru/showthread.php?t=6204&page=2
Внутренняя ошибка malformed result
CentOS:
yum install -y perl-XML-LibXML perl-HTML-Parser perl-Compress-Zlib gcc make
Debian (список неактуален, не пробовал сам):
apt-get install libxml-libxml-perl make lynx
Также на обоих дистрибутивах надо поставить гору cpan модулей:
cpan
cpan> force install HTML::TreeBuilder
Но у меня он так и не поставился (дада, я перл-программист местами), так что ставим руками
# http://search.cpan.org/~petek/HTML-Tree-3.23/lib/HTML/TreeBuilder.pm
cd /tmp
wget http://search.cpan.org/CPAN/authors/id/P/PE/PETEK/HTML-Tree-3.23.tar.gz
tar -xf HTML-Tree-3.23.tar.gz
cd HTML-Tree-3.23
perl Makefile.PL
make
make install
Далее в частности для apachestatus надо настроить Apache Status для localhost (CentOS) или http://phpsuxx.blogspot.com/2010/01/server-status-apache-httpd-debian.html (Debian)
killall -9 -r ispmgr
Взято с: http://forum.ispsystem.com/ru/showthread.php?t=6204&page=2
пятница, 18 декабря 2009 г.
Распаковать .deb пакет?
mkdir /tmp/apache_package/
dpkg --extract apache2_2.2.9-10+lenny6_all.deb /tmp/apache_package/
И теперь в папке /tmp/apache_package/ у нас содержимое пакета:
ls -la /tmp/apache_package/
total 20K
drwxr-xr-x 3 root root 4.0K 2009-11-14 23:25 .
drwxrwxrwt 5 root root 12K 2009-12-18 23:58 ..
drwxr-xr-x 3 root root 4.0K 2009-11-14 23:25 usr
Debian: как скачать .deb пакет без установки?
Вот так:
Удаляем кэш пакетов:
Переставляем пакет:
Потом он (.deb файл) появится в папке:
А вот эта команда у меня не скачивала, если пакет уже установлен (хотя должна отлично сработать для новых пакетов):
Удаляем кэш пакетов:
apt-get clean
Переставляем пакет:
apt-get --reinstall install apache2
Потом он (.deb файл) появится в папке:
ls /var/cache/apt/archives
А вот эта команда у меня не скачивала, если пакет уже установлен (хотя должна отлично сработать для новых пакетов):
apt-get --download-only install apache2
CentOS: Memory for crash kernel (0x0 to 0x0) notwithin permissible range
А что это такое? И что значит?
Сбрасываются ли настройки ethtool после рестарта сети?
Нет!
А вот при перезагрузке они все же сбрасываются :)
ethtool -k eth0
Offload parameters for eth0:
Cannot get device udp large send offload settings: Operation not supported
rx-checksumming: on
tx-checksumming: on
scatter-gather: on
tcp segmentation offload: off
udp fragmentation offload: off
generic segmentation offload: off
generic-receive-offload: off
root@CentOS-54-64-minimal ~ # /etc/init.d/network restart
Shutting down interface eth0: [ OK ]
Shutting down interface venet0: Shutting down interface venet0:
[ OK ]
Shutting down loopback interface: [ OK ]
Disabling IPv4 packet forwarding: net.ipv4.ip_forward = 0
[ OK ]
Bringing up loopback interface: [ OK ]
Bringing up interface eth0:
Determining IP information for eth0... done.
RTNETLINK answers: File exists
[ OK ]
Bringing up interface venet0: Bringing up interface venet0:
Configuring interface venet0:
net.ipv4.conf.venet0.send_redirects = 0
[ OK ]
root@CentOS-54-64-minimal ~ # ethtool -k eth0
Offload parameters for eth0:
Cannot get device udp large send offload settings: Operation not supported
rx-checksumming: on
tx-checksumming: on
scatter-gather: on
tcp segmentation offload: off
udp fragmentation offload: off
generic segmentation offload: off
generic-receive-offload: off
А вот при перезагрузке они все же сбрасываются :)
Повышаем безопасность сервера - посылаем письмо при логине рутом
Подсмотрел у одного клиента очень крутую фишку по повышению безопасности серверов:
В файл:
Добавляем строки:
И получаем письма при каждом логине по ssh :)
В файл:
vi /root/.bashrc
Добавляем строки:
echo 'ALERT - Root Shell Access (hzgde.com) on:' `date` `who` | mail -s "Alert: Root Access from `who | cut -d"(" -f2 | cut -d")" -f1`" user@domain.ru
И получаем письма при каждом логине по ssh :)
OpenVZ: Error: undump failed: Invalid argument
vzmigrate --remove-area no --online new_node.ru 1201
OPT:--remove-area
OPT:--online
OPT:new-node.ru
Starting online migration of CT 1201 to new-node.ru
Preparing remote node
Initializing remote quota
Syncing private
Live migrating container...
Syncing 2nd level quota
Error: Failed to undump container
vzquota : (error) Quota is not running for id 1201
А в verbose режиме:
vzmigrate -v --remove-area no --online newnode.ru 1201
OPT:-v
OPT:--remove-area
OPT:--online
OPT:new.node.ru
Starting online migration of CT 1201 to new-node.ru
OpenVZ is running...
Loading /etc/vz/vz.conf and /etc/vz/conf/1201.conf files
Check IPs on destination node: new-node.ru
Preparing remote node
Copying config file
1201.conf 100% 1778 1.7KB/s 00:00
Saved parameters for CT 1201
Creating remote container root dir
Creating remote container private dir
Initializing remote quota
Quota init
Turning remote quota on
Syncing private
Live migrating container...
Suspending container
Setting up checkpoint...
suspend...
get context...
Checkpointing completed succesfully
Dumping container
Setting up checkpoint...
join context..
dump...
Checkpointing completed succesfully
Copying dumpfile
dump.1201 100% 32MB 10.7MB/s 00:03
Syncing private (2nd pass)
Syncing 2nd level quota
Dumping 2nd level quota
Copying 2nd level quota
quotadump.1201 100% 967 0.9KB/s 00:00
Load 2nd level quota
Undumping container
Restoring container ...
Starting container ...
Container is mounted
undump...
vzquota : (warning) Quota is running for id 1201 already
Error: undump failed: Invalid argument
Restoring failed:
Error: Unknown image version: 303. Can't restore.
Container start failed
Container is unmounted
Error: Failed to undump container
Resuming...
vzquota : (error) Quota is not running for id 1201
И, судя по Гуглу, решение одно: I found a fix, it works without the --online command.
Так что запускаю:
vzmigrate -v --remove-area no new-node.ru 1201
Хотя сейчас попробовал запустить на обоих машинах yum update чтобы сровнять версии ПО. Но это не помогло, наверное, надо ровнять версии ядер - но это попахивает бредом почему-то.
четверг, 17 декабря 2009 г.
Переключение ssh на авторизацию по ключам
1. Создаем для своего аккаунта публичный (уйдет на удаленный сервер) и приватный (останется у нас) сертификаты:
Стандартно он будет сохранен по пути: /home/<имя_вашего_юзера>/.ssh/id_rsa), при этом строго обязательно указываем passphrase (пароль, который будет спрашиваться при доступе к ключу).
Если же хотите сгенерировать ключи из скрипта, чтобы он не задавал лишних вопросов, используйте такой вызов:
2. Теперь надо свой ключ разложить по серверам:
или более кратко в случае, если файл лежит по стандартному пути:
3. При этом (т.е. при закладывании ключей на удаленную систему) будет запрошен ваш пароль на сервер, но сделано это будет в крайний раз, потом вход на сервер будет осуществляться исключительно по ключам
4. Все, можете входить на удаленную систему по ключам:
ssh-keygen -t rsa
Стандартно он будет сохранен по пути: /home/<имя_вашего_юзера>/.ssh/id_rsa), при этом строго обязательно указываем passphrase (пароль, который будет спрашиваться при доступе к ключу).
Если же хотите сгенерировать ключи из скрипта, чтобы он не задавал лишних вопросов, используйте такой вызов:
ssh-keygen -t rsa -q -f /root/.ssh/id_rsa -P ""
2. Теперь надо свой ключ разложить по серверам:
ssh-copy-id -i ~/.ssh/id_rsa.pub my_login_on_target_system@target-hostname.ru
или более кратко в случае, если файл лежит по стандартному пути:
ssh-copy-id target-hostname.ru
3. При этом (т.е. при закладывании ключей на удаленную систему) будет запрошен ваш пароль на сервер, но сделано это будет в крайний раз, потом вход на сервер будет осуществляться исключительно по ключам
4. Все, можете входить на удаленную систему по ключам:
ssh target-hostname.ru uname -r
Online миграция контейнеров OpenVZ
Имеем две хост-машины: host_source и host_target, перенос контейнера будем осуществлять с первой на вторую.
Для начала на обоих машинах обновляем до последней актуальной версии пакет vzctl (vzmigrate входит в его состав):
Кладем на удаленный (target) сервер свои ключи: http://phpsuxx.blogspot.com/2009/12/ssh_17.html
Вызываем команду vzlist на host_source чтобы определить, CTID контейнера, который будем переносить:
В моем случае это контейнер 1201.
Сохраняем состояние host_source:
И host_target:
Так как ssh может отцепиться в процессе переноса, а это очень долгий процесс ставим и запускаем screen:
Обращаю внимание, что если идет речь о переносе веб-сервера, то на нем заведомо может быть огромное число файлов в папке /tmp (либо /var/www/username/data/mod-tmp), которые могут ОЧЕНЬ сильно замедлить процесс переноса, поэтому позаботьтесь об их удалении загодя, иначе это чревато тем, что миграция будет идти пару суток :)
Также есть опасность получить проблемы (например, такие), если на source сервере загружены спец модули iptables, которых может не оказаться на target машине.
Поэтому смотрим, какие IPTABLES модули подключены к VPS:
cat /etc/vz/conf/1201.conf | grep IPTABLES -i
Тут список модулей весьма велик и на время миграции (ну или навсегда, их стоит отключить во избежание проблем):
И приводим строку к виду:
Перезапускаем контейнер:
Запускаем перенос (если хотите, чтобы скрипт миграции не забивал экран текстом, то уберите --rsync="-v"):
Если нужно отказаться от копирования каких-либо файлов, после -v через пробел дописываем:
В итоге получаем облом:
Бороться с этим вот так: http://phpsuxx.blogspot.com/2009/12/ssh_17.html (те для source системы настраиваем авторизацию на target)
Повторяем предыдущую команду.
И в итоге на host_source имеем:
А на host_target:
А с private data дела сложнее - данные 1201 VE были удалены с source ноды целиком (что очень не радует...), зато целиком (надеюсь) переехали на новую в папку: /vz/private/1201/
А вот пинги у меня обломались, т.к. датацентр не поддерживает live-миграцию айпи с одной машины на другую.
После окончания переноса не забываем удалить ssh ключи с target машины, ибо это крайне небезопасно:
Далее не забываем отдать все ресурсы выделенного сервера контейнеру: http://phpsuxx.blogspot.com/2010/03/openvz-vps.html
Далее, если при переносе сменился IP необходимо скорректировать настройки контейнера:
Далее производим изменения ip уже в контейнере (пример для Debian):
А также на всякий случай поищем упоминания старого IP в других конфигах:
Также, если используется VDSManager, то необходимо открыть его конфиг:
И удалить оттуда блок, соответствующий перенесенному VPS:
После этого перезапускаем VDSManager:
И убеждаемся, что команда сбора статистики:
Более не выдает ошибки: "ERROR 1 : VDS not found"
Основано на мануале: http://wiki.openvz.org/Checkpointing_and_live_migration
Для начала на обоих машинах обновляем до последней актуальной версии пакет vzctl (vzmigrate входит в его состав):
yum upgrade vzctl -y
Кладем на удаленный (target) сервер свои ключи: http://phpsuxx.blogspot.com/2009/12/ssh_17.html
Вызываем команду vzlist на host_source чтобы определить, CTID контейнера, который будем переносить:
vzlist
В моем случае это контейнер 1201.
Сохраняем состояние host_source:
vzlist | grep 1201
1201 42 running ip.ad.dr.es domain.ru
И host_target:
vzlist | grep 1201
Container(s) not found
Так как ssh может отцепиться в процессе переноса, а это очень долгий процесс ставим и запускаем screen:
yum install screen -y
screen
# а если у Вас отцепится ssh, при повторном входе делаете screen -r
Обращаю внимание, что если идет речь о переносе веб-сервера, то на нем заведомо может быть огромное число файлов в папке /tmp (либо /var/www/username/data/mod-tmp), которые могут ОЧЕНЬ сильно замедлить процесс переноса, поэтому позаботьтесь об их удалении загодя, иначе это чревато тем, что миграция будет идти пару суток :)
Также есть опасность получить проблемы (например, такие), если на source сервере загружены спец модули iptables, которых может не оказаться на target машине.
Поэтому смотрим, какие IPTABLES модули подключены к VPS:
cat /etc/vz/conf/1201.conf | grep IPTABLES -i
IPTABLES="ip_tables iptable_filter iptable_mangle ipt_limit ipt_REJECT ipt_LOG ipt_length ip_conntrack ip_conntrack_ftp ipt_state iptable_nat ipt_REDIRECT "
Тут список модулей весьма велик и на время миграции (ну или навсегда, их стоит отключить во избежание проблем):
vi /etc/vz/conf/1201.conf
И приводим строку к виду:
IPTABLES=""
Перезапускаем контейнер:
vzctl stop 1201; vzctl start 1201
Запускаем перенос (если хотите, чтобы скрипт миграции не забивал экран текстом, то уберите --rsync="-v"):
vzmigrate -v --remove-area no --online --rsync="-v" host_target_ip 1201
Если нужно отказаться от копирования каких-либо файлов, после -v через пробел дописываем:
--exclude-from=/root/exclude.txt
В итоге получаем облом:
Starting online migration of CT 1201 to host_target_ip
Error: Can't connect to destination address using public key
Error: Please put your public key to destination node
Бороться с этим вот так: http://phpsuxx.blogspot.com/2009/12/ssh_17.html (те для source системы настраиваем авторизацию на target)
Повторяем предыдущую команду.
OPT:--online
OPT:88.198.37.23
Starting online migration of CT 1201 to 88.198.37.23
Preparing remote node
Initializing remote quota
Syncing private
Live migrating container...
Syncing 2nd level quota
Cleanup
И в итоге на host_source имеем:
vzlist | grep 1201
А на host_target:
vzlist | grep 1201
1201 42 running ip.ad.dr.es domain.ru
А с private data дела сложнее - данные 1201 VE были удалены с source ноды целиком (что очень не радует...), зато целиком (надеюсь) переехали на новую в папку: /vz/private/1201/
А вот пинги у меня обломались, т.к. датацентр не поддерживает live-миграцию айпи с одной машины на другую.
После окончания переноса не забываем удалить ssh ключи с target машины, ибо это крайне небезопасно:
rm -f /root/.ssh/authorized_keys
Далее не забываем отдать все ресурсы выделенного сервера контейнеру: http://phpsuxx.blogspot.com/2010/03/openvz-vps.html
Далее, если при переносе сменился IP необходимо скорректировать настройки контейнера:
sed -i 's/178.63.175.246/' /etc/vz/conf/1201.conf
vzctl stop 1201
vzctl start 1201
Далее производим изменения ip уже в контейнере (пример для Debian):
export OLD_IP=12.1.1.1
export NEW_IP=122.33.44.55
vzctl enter 1201
# Debian
sed -i "s/$OLD_IP/$NEW_IP/" /etc/nginx/nginx.conf
sed -i "s/$OLD_IP/$NEW_IP/" /etc/apache2/apache2.conf
sed -i "s/$OLD_IP/$NEW_IP/" /etc/apache2/conf.d/rpaf.conf
sed -i "s/$OLD_IP/$NEW_IP/" /etc/apache2/mods-enabled/rpaf.conf
sed -i "s/$OLD_IP/$NEW_IP/" /etc/hosts
/etc/init.d/nginx restart
/etc/init.d/apache2 restart
# CentOS
sed -i "s/$OLD_IP/$NEW_IP/" /etc/nginx/nginx.conf
sed -i "s/$OLD_IP/$NEW_IP/" /etc/httpd/conf/httpd.conf
sed -i "s/$OLD_IP/$NEW_IP/" /etc/hosts
/etc/init.d/httpd restart
/etc/init.d/nginx restart
А также на всякий случай поищем упоминания старого IP в других конфигах:
cd /etc
grep -HiR "$OLD_IP" *
Также, если используется VDSManager, то необходимо открыть его конфиг:
vi /usr/local/ispmgr/etc/vdsmgr.conf
И удалить оттуда блок, соответствующий перенесенному VPS:
vds "xx.xx.xx.xx" {
Name test.domain.ru
Owner admin
CPULimit 0
TrafLimit 99999999
TrafUsed 574
Backup none
}
После этого перезапускаем VDSManager:
killall -9 vdsmgr
И убеждаемся, что команда сбора статистики:
/usr/local/ispmgr/sbin/dostat.pl
Более не выдает ошибки: "ERROR 1 : VDS not found"
Основано на мануале: http://wiki.openvz.org/Checkpointing_and_live_migration
Подписаться на:
Сообщения (Atom)