Otos eduotos

eduotos:apache

Tue, 06 Sep 2011 23:16:46 +0200

vhost

Przykładowy vhost

NameVirtualHost *
<VirtualHost *>
ServerAdmin  email@wp.pl
ServerName  otos.pl
ServerAlias  www.otos.pl
DocumentRoot  /var/www/ots
php_admin_value open_basedir /var/www/ots/:/tmp/
<Directory />
Options FollowSymLinks -Indexes
AllowOverride All
php_flag display_errors off
</Directory>
ErrorLog /var/log/apache2/ximmy/error.log
LogLevel warn
CustomLog /var/log/apache2/ximmy/access.log combined
</VirtualHost>

apache konfiguracja

Rozszerzone statystyki - spowalnia apache, daje większy pogląd na to co się z nim dzieje. Można wrzucić do /etc/apache2/conf.d lub prosto do apache.conf

status.conf

ExtendedStatus On
 
<IfModule mod_status.c>
    # Allow server status reports generated by mod_status,
    # with the URL of http://servername/server-status
    # Change the ".example.com" to match your domain to enable.
    #
    <Location /server-status>
        SetHandler server-status
        Order deny,allow
        Deny from all
        Allow from <ip>
    </Location>
</IfModule>
 
<IfModule mod_info.c>
    #
    # Allow remote server configuration reports, with the URL of
    #  http://servername/server-info (requires that mod_info.c be loaded).
    # Change the ".example.com" to match your domain to enable.
    #
    <Location /server-info>
        SetHandler server-info
        Order deny,allow
        Deny from all
        Allow from <ip>
    </Location>
</IfModule>

Nie pokazuje *.lua

configlua.conf

<filesMatch "\.lua$">
Order Deny,Allow
Deny from all
</filesMatch>

mod_cban

na debianie 6 - http://www.howtoforge.com/mod_cband_apache2_bandwidth_quota_throttling

  aptitude install apache2-dev make #apx2

Makefile:

APXS_OPTS=-lm -Wc,-Wall -Wc,-DDST_CLASS=3I

eduotos:backup

Thu, 31 Mar 2011 13:11:43 +0200

http://www.ducea.com/2009/03/08/mdadm-cheat-sheet

http://pl.wikipedia.org/wiki/RAID

eduotos:bind

Thu, 14 Oct 2010 23:26:39 +0200

plik strefy

000default

$TTL 600 ; Domyslny TTL
<domena>.               IN      SOA     ns1.h4v.eu.     h4v-dns.h4v.eu. (
                1       ; numer seryjny
                10800   ; Czestosc odswieżania (rrefresh)
                3600    ; czestosc powtórek (retry)
                604800  ; Czas wygasniecia (expire)
                10800   ; Negatywne buforowanie TTL
                )
 
$ORIGIN <domena>.
@               IN      NS      ns1.h4v.eu.
@               IN      NS      ns2.h4v.eu.
ns1             IN      A       94.23.88.13
ns2             IN      A       188.165.23.5
mail            IN      MX  10  178.33.49.99
 
<domena>.       IN      A       <ip>
 
www             IN      A       94.23.88.13
otos            IN      A       94.23.88.13
 
*               IN      CNAME   otos

/etc/init.d/bind9 reload

tail /var/log/daemon.log

http://pl.docs.pld-linux.org/uslugi_named.html

http://pl.wikipedia.org/wiki/Domain_Name_System

eduotos:firewall

Mon, 18 Apr 2011 14:55:21 +0200

iptables -A INPUT -i lo -j ACCEPT
iptables -t filter -A INPUT -i eth0 -p tcp -s 0/0 --dport 3306 -m connlimit --connlimit-above 35 -j REJECT
iptables -A INPUT -s 91.121.90.167 -p tcp --dport 3306 -j ACCEPT
iptables -A INPUT -s 94.23.240.37 -p tcp --dport 3306 -j ACCEPT
iptables -A INPUT -s 94.23.228.85 -p tcp --dport 3306 -j ACCEPT
iptables -A INPUT -s 127.0.0.1 -p tcp --dport 3306 -j ACCEPT
#iptables -A INPUT -s 0/0 -p tcp --dport 3306 -j DROP
iptables -A INPUT -s 0/0 -p tcp --dport 3306 -j LOG

# www
iptables -t filter -A INPUT -i eth0 -p tcp -s 0/0 --dport 80 -m connlimit --connlimit-above 40 -j REJECT

iptables -N syn_flood
iptables -A INPUT -s 91.121.90.167 -j ACCEPT

#iptables -A INPUT -p tcp -i eth0 -s 0/0 --dport 20123 --syn -m iplimit --iplimit-above 2 -j DROP
iptables -A INPUT -p tcp --syn -j syn_flood
iptables -A syn_flood -m limit --limit 150/s --limit-burst 300 -j LOG --log-prefix SYNFLOOD:
iptables -A syn_flood -m limit --limit 300/s --limit-burst 700 -j RETURN
iptables -A syn_flood -j DROP
#Limiting the incoming icmp ping request:
iptables -A INPUT -p icmp -m limit --limit  10/s --limit-burst 20 -j ACCEPT
iptables -A INPUT -p icmp -m limit --limit 10/s --limit-burst 20 -j LOG --log-prefix PING-DROP:
iptables -A INPUT -p icmp -j DROP

wycięcie 1 ip:

iptables -I INPUT -s 91.121.90.1 -j DROP

zapisanie regułek:

iptables-save > /etc/iptables.conf

wrzucenie regułek na starcie systemu (w /etc/network/interfaces)

auto eth0
iface eth0 inet static
        address 1.1.1.1
        netmask 255.255.255.0
        network 2.2.2.2
        broadcast 1.1.1.255
        gateway 1.1.1.254
        pre-up iptables-restore < /etc/iptables.conf

https://help.ubuntu.com/community/IptablesHowTo

http://otland.net/blogs/don+daniello/linux-anti-ddos-iptables-rules-841/

eduotos:haproxy

Thu, 12 May 2011 19:42:32 +0200

http://kevin.vanzonneveld.net/techblog/article/haproxy_logging - logowanie

eduotos:ispconfig

Tue, 06 Sep 2011 23:21:12 +0200

Instalacja

http://www.howtoforge.com/perfect-server-debian-squeeze-with-bind-and-courier-ispconfig-3

DNS

template:

[ZONE]
origin={DOMAIN}.
ns=ns1.otos.pl.
mbox=h4v-dnsdada@otos.pl
refresh=28800
retry=7200
expire=604800
minimum=86400
ttl=86400

[DNS_RECORDS]
A|{DOMAIN}.|{IP}|0|86400
A|www|{IP}|0|86400
A|mail|{IP}|0|86400
NS|{DOMAIN}.|ns1.otos.pl.|0|86400
NS|{DOMAIN}.|ns2.otos.pl.|0|86400
MX|{DOMAIN}.|{DOMAIN}.|10|86400

apache

server/plugins-enabled/apache2_plugin.inc.php:489

 488 
 489                         $this->_exec("chmod 750 ".escapeshellcmd($data["new"]["document_root"]."/"));
 490                         $this->_exec("chmod 751 ".escapeshellcmd($data["new"]["document_root"])."/*");

client

ogólne

podając maila clienta umożliwimy mu reset hasła jakby zapomniał

limity

zaptaszyć mod_php tylko, bo tylko ten tryb umożliwia izolacje poprzez php openbasedir

Przydatne zapytania

Zmiana ip w myDNS:

update dns_rr set data='178.32.20.143' where data='85.25.98.17';

Zestawienie kont ssh:

select shell_user.username,parent_domain_id,sys_user.username from shell_user join sys_user join client where sys_user.userid=shell_user.sys_userid AND sys_user.client_id=client.client_id group by parent_domain_id;

OStatnie 20 linijek logu:

select FROM_UNIXTIME(tstamp),message from sys_log group by tstamp desc limit 30;

Problemy

zmiana hasła root mysql

/usr/local/ispconfig/server/lib/mysql_clientdb.conf

brak propagacji zmian

czasem ispconfig łapie zadyszke, sprawdzamy sytuacje:

/usr/local/ispconfig/server/server.sh

jeśli skarży się, że już uruchomiony skillujmy proces server.php
jeśli skarży się, że jest lockfile, usuńmy lockfile z /usr/local/ispconfig/server/temp/

wirtualizacja

"Unable to switch capabilities : Operation not permitted"

http://www.dikant.de/2009/01/22/setting-up-pureftpd-on-a-virtual-server/

aptitude hold pure-ftpd pure-ftpd-common

eduotos:mysql

Tue, 06 Sep 2011 17:41:42 +0200

mysqltuner

nice            = -5

max_connections        = 130
max_user_connections    = 60
table_cache            = 64
thread_concurrency     = 16

 bind-address            = 127.0.0.1

#h4v's
wait_timeout=100
connect_timeout=10
interactive_timeout=1000
join_buffer_size=8M
sort_buffer_size=8M
read_buffer_size=8M
read_rnd_buffer_size=16M
max_connect_errors=10000
innodb_buffer_pool_size=1024M

query_cache_limit       = 32M
query_cache_size        = 256M

eduotos:ogolna_konfiguracja

Sat, 06 Nov 2010 13:36:04 +0200

eduotos:openvz

Thu, 01 Sep 2011 18:27:04 +0200

Patche

Starting vzquota depends on single and therefore on system facility (...)

http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=594783

------------------------- /etc/vz/dists/scripts/set_ugid_quota.sh

--- set_ugid_quota.sh 2010-08-29 12:44:39.000000000 +0000
+++ set_ugid_quota.sh.works 2010-08-29 12:44:58.000000000 +0000
@@ -32,6 +32,16 @@ if [ -z "$MAJOR" ]; then
    exit 0
 fi
 echo -e '#!/bin/sh

### BEGIN INIT INFO
# Provides: vzquota
# Required-Start: $all
# Required-Stop: $all
# Default-Start: 2 3 4 5
# Default-Stop: 0 1 6
# Short-Description: Start vzquota at the end of boot
# Description: This command is used to configure and see disk quota statistics for Containers.
### END INIT INFO

 start() {
    [ -e "/dev/'${DEVFS}'" ] || mknod /dev/'${DEVFS}' b '$MAJOR' '$MINOR'
    rm -f /etc/mtab >/dev/null 2>&1

-------------------------

eduotos:php

Thu, 14 Oct 2010 17:54:46 +0200

php.ini

safe_mode = Off

disable_functions = system, passthru, proc_open, popen, shell_exec, exec, dl

max_execution_time = 30     ; Maximum execution time of each script, in seconds
max_input_time = 60 ; Maximum amount of time each script may spend parsing request data
memory_limit = 70M      ; Maximum amount of memory a script may consume (16MB)

display_errors = Off

register_globals = Off

upload_max_filesize = 50M

http://xcache.lighttpd.net/wiki/InstallFromSource

eduotos:program

Sat, 01 Jan 2011 23:20:05 +0200

1. System

1.1 linux

uprawnienia plików
root - niebezpieczeństwa
powłoka:
- potoki
- history i !XXX
- ctrl+r

1.2 debian

Debian 5.0 “lenny”

konfiguracja sieci
otwarte porty
- netstat
- ifconfig
- /etc/network/interfaces
manager pakietów
- zależności
- aktualizacje
- apt-get vs aptitude
pakiety pod tfs

2. Usługi

2.1 DNS

zasada działania
primary, secondary
wildcard
resolwer
/etc/hosts
glue record

2.2 Apache

instalacja, konfiguracja
virtual host
- indeksy, allowoverride

2.3 PHP

30min

instalacja, konfiguracja, zabezpieczanie
komunikacja z apache
optymalizacja, xcache

2.4 MySQL

30min

instalacja
konfiguracja
phpmyadmin
wydajność, tuning

2.5 Poczta

30min

postfix

3. Inne

3.1 Ataki

wymagana wiedza z czterech powyższych działów

z wewnątrz, z zewnątrz
na apache
na “php”
na ssh
- denyhosts
- wheel
na silnik
syn flood
udp flood
specyfika ataków na otsy
diagnostyka
- iftop
- iptraf
- tcpdump
- wykresy sieci
antyDDoSy

3.2 Firewall

1h+1h

iptables:
- zasada działania
zadania:
- blokowanie danych ip
- zabezpieczenia przed popularnymi atakami
- kontrolowanie dostępu do usług

3.3 Backup

RAID/LVM
rsync
rdiff-backup
automysqlbackup
miejsca składowania

3.4 Monitoring

usług
przestrzeni dyskowej
load, free mem
wykresy
- mrtg

Planowane

VPN

Bash

składnia języka

eduotos:system

Tue, 13 Sep 2011 23:24:12 +0200

aptitude update
aptitude upgrade
aptitude install htop screen subversion mc xfsprogs openntpd
aptitude install apache2 php5 libapache2-mod-php5 mysql-server mysql-client php5-mysql phpmyadmin rar unrar

Uprawnienia plików

rsync

  -av
  --numeric-ids
  --progress

sieć

http://www.debian.org/doc/manuals/reference/ch-gateway.pl.html - dla zaawansowanych

sources.list

sources.list

deb ftp://mir1.ovh.net/debian/ lenny main contrib non-free
deb-src ftp://mir1.ovh.net/debian/ lenny main contrib non-free
 
deb http://security.debian.org/ lenny/updates main contrib non-free
deb-src http://security.debian.org/ lenny/updates main contrib non-free
 
deb ftp://mirror.ovh.net/volatile.debian.org/ lenny/volatile main contrib non-free
 
deb http://backports.debian.org/debian-backports lenny-backports main
 
#deb ftp://mir1.ovh.net/debian/ squeeze main contrib non-free
#deb-src ftp://mir1.ovh.net/debian/ squeeze main contrib non-free

aptitude

/etc/apt/apt.conf.d/50recommend

50recommend

APT::Install-Recommends "0";
APT::Install-Suggests "0";

eduotos:technikalia

Wed, 27 Oct 2010 19:37:15 +0200

screencast ze szkolenia będzie dostępny w formie filmu ogv

Aktualnie wymagane

klient VNC (np. tightVNC)
klient VoIP (np. sip communicator, ekiga, twinkle, linphone)

opcjonalnie

coś do testów, np. maszyne wirtualną na swoim komputerze (qemu) lub mC z OVH czy jakiś VPS.

Przyszłe

whiteboard?

eduotos:tfs

Tue, 13 Sep 2011 23:24:06 +0200

tfs

squeeze:

aptitude install libboost1.42-dev libboost1.42-all-dev

lenny:

aptitude install liblua5.1-0 liblua5.1-0-dev liblua50 liblua50-dev liblualib50 liblualib50-dev lua50 libsqlite0 libsqlite0-dev libsqlite3-0 libsqlite3-dev sqlite3 lua5.1 libmysql++-dev libgmp3-dev subversion make g++ libxml2 libxml2-dev libxml++2.6-dev libmysqlclient15-dev gcc cpp automake autoconf pkg-config zlib1g-dev ccache libcrypto++-dev

./autogen.sh && ./configure --enable-mysql --enable-server-diag && make

lua

configure: error: “Lua header not found.”

cd /tmp/ && wget http://www.lua.org/ftp/lua-5.1.4.tar.gz && cd lua-5.1.4 && make linux && make install