Inside ASENS

この記事をブックマークする :

タガヤっす。

昨日からサーバの構成を変えています。
CentOSを採用しているのですが、いろんな落とし穴がありまして(汗) もうムカついてますよ。

そしたら今度はこんなエラーが。

InnoDB: Error: tablespace size stored in header is 128640 pages, but
InnoDB: the sum of data file sizes is only 128000 pages

知らねーよ(怒)

怒ってたので荒療治。

[root@ns1 mysql]# rm -rf ibdata*
[root@ns1 mysql]# rm -rf ib_logfile*

治りました(汗)

バージョンアップしたら、デフォルトキャラセットの定義文が変わったりしてて、ちょいと戸惑いました・・・

この記事をブックマークする :

タガヤっす。

さて、先日痛い目に合ったPostgresのポート問題の件。
ボクは以下のように変更して対処しました。

本来ならpostgresql.confから値を取得した方がいいのですが、Red Hat Linux系は、/etc/sysconfig/にシステム的な設定を用意しておくというお作法があるので、それに従うというのがシンプルでいいかと思いました。

◆

# Set defaults for configuration variables
PGENGINE=/usr/bin
PGPORT=5432
PGDATA=/var/lib/pgsql
if [ -f “$PGDATA/PG_VERSION” ] && [ -d “$PGDATA/base/template1” ]
then
echo “Using old-style directory structure”
else
PGDATA=/var/lib/pgsql/data
fi
PGLOG=/var/lib/pgsql/pgstartup.log

# Override defaults from /etc/sysconfig/pgsql if file is present
[ -f /etc/sysconfig/pgsql/${NAME} ] && . /etc/sysconfig/pgsql/${NAME}

export PGDATA
export PGPORT

◆

起動スクリプトを参照すると、
以上のように書いています。

/etc/sysconfig/pgsql 以下に postgresql というファイルを作成し、
PGPORTを設定します。

# echo “PGPORT=xxxxx” > /etc/sysconfig/pgsql/postgresql


うーん、やっぱりコンフィグファイルから抜き出して反映したいなー。

でもこれで、フイにアップデートされてもポートが違うなんてことは回避できそうです。

この記事をブックマークする :

タガヤっす。

ひっさしぶりに技術ネタを。

本日、当社のトラック用品販売サイトが22時間停止してました。
かなり痛い(涙)
今後の教訓のため、書き残しておきます。

◆

ウチでは cron で yum を実行してます。
メンテナンスをすぐにサボるので、自動実行しといて問題が発生したら、そんときシューティングすればいいじゃん的なノリです。

で、今回問題が発生(涙)
土曜日ということもあり、気付くのに時間が掛かりました。
＃システムからのメールで気付きました。メール来るの遅いっ！

サービスはデフォルトポートで運用しないのがウチのルールなので、Postgresも例に漏れず変更していました。

しかし、自動実行されてアップデートされたときに起動スクリプトが書き換えられ、そのスクリプト内にデフォルトのポートが固定で指定されていました。

つまり、コンフィグファイルで指定しているポートは無視され、起動スクリプトに書いてあるデフォルトを採用された結果、ポートが違うということでコネクションエラーとなってしまったわけです。

本来なら、起動スクリプトを修正して、コンフィグファイルで設定しているポートを参照するようにしたかったのですが、めんどくさいので起動スクリプトのポート指定を変更することで復旧させました。

週が明けたら起動スクリプトを修正してみようかなと思っています。

この記事をブックマークする :

タガヤっす。

Mac OS X にテスト環境とか構築してたら、いろんなアプリが動作してるわ、セキュリティ的に常にMySQLが動いてるのってどうなのとか不安になったので、やはりテスト環境は専用の環境を作ろうってことになり、VMWare FUSION をインストールしてみた。

Kubuntu をインストールしてみたら、かなり重くなったので、メモリをえいやっ！っと4Gにしてみた。早くなったんだろうけど、あまり実感はないw

そっか、SSDにすればいいのか？と思い、いろいろ検索してみたが、まだまだ高いし耐久性が低い。Time Machine のおかげでバックアップ体制は万全なので、冒険してみようかと思ったが、冒険にしては費用が高い。160Gで5万円ぐらいか。

Mac mini 買えるやん(涙)

これ以上、ボクのmacbookにお金をかけてしまうと社内の突き上げを喰らうので我慢する。

しっかし Linux 特にKDEがバージョンアップするたびに、
macっぽいインタフェースになっていくネw

もうみんな Kubuntu でいいんじゃないかな？

この記事をブックマークする :

タガヤっす。

先日、Postfixの設定を変更したことを書きました。
概ね、意図どおりの動作をしてくれているので、非常に満足しています。

毎日、REJECTされてるサーバの情報を確認しています。
毎回ログインするとかめんどくさいので、シェルスクリプトでREJECTされてるログだけを抽出しているのですが、これがとても便利です。

２件ほど、再送処理を繰り返すサーバがあるので、逆引き設定しているか確認してみましたが、EC-CUBEに関しては、わざとコメントアウトして逆引きできないようにしているようです。
＃dig コマンドで誰でも見れます

なんで？？
も少し調べたら、MXレコードをコメントアウトしているのは、どうやら「EC-CUBE.NET」だけのようです。

なんでか気になる・・・


まあ、キックしてても支障はないので、放置しておきます（・∀・）

スパムはなくなり、必要なメールは受け取ることができそうです。良かった良かった。

ML運用してるのに、メールサーバの敷居を上げてしまって、MLメンバーにはご迷惑をかけてしまったけど、まあ、愛嬌ってことでw

この記事をブックマークする :

タガヤっす。

先週末に、「asens.jp」のサーバを移行しました。
VineLinuxで動いていたのですが、最近のサーバはCentOSを採用していまして、サーバ環境毎に文字コードが違うなど、運用面を複雑にしてしまっていた点と、なにより、ハードがかなり古いものを運用していたので、リプレイス的な意味も込めて、Valisafe.jpのサーバに移行しました。

ASENS.JPとVALISAFE.JPの運用ポリシーが違うため、設定のマージに苦労しました。VALISAFEはカチカチ、ASENSはゆるゆるだったんですw

これを機に、ASENSをカチカチで運用できるようにしました。

◆

特に気を使ったのがメールの設定です。

・サーバ内は暗号化する
・認証方法もPLAIN TEXTを禁止
・その他ごにょごにょ

で、スパム対策も行いました。

・身元不明者はキック
・嘘つきもキック
・ある機関のブラックリストに載ってる人もキック
・その他、ごにょごにょ

で、見事にスパムは排除することができました。

が。

来てほしいメールが来ない場合があるのです。
逆引き設定していないのが原因ですが、そもそもメールサーバの逆引きを設定していない時点で、疑わしいと判断してもいいと個人的には思っているので、このまま運用することにしました。


当社にメール送る場合は気をつけてください（・∀・）

逆引き設定していないと、ウチじゃなくともキックされている可能性は非常に高いですよw

この記事をブックマークする :

タガヤっす。

たまには技術情報をばw

cronを使うことって多いですよね、例えば。

毎時１回
毎日１回
毎月１回

とか、いろんな設定ができます。

でもそうじゃない。
ある日時に１回だけ実行したい。

例えば、ウソをついていい日にウソのHPをアップし、ウソをついていい日が終わったら元のHPに戻す。＃エイプリルフールって言えって？w

以下のような場合の設定を書きます。

A.html　＃通常
B.html　＃異常w

#.htaccess
DirectoryIndex A.html

#.htaccess.april
DirectoryIndex B.html

これをcronで入れ替えればいい。
cronでキックするシェルを書く。

#april.cron

#!/bin/bash
cd /var/www/html
mv .htaccess .htaccess.bk
mv .htaccess.april .htaccess

#usual.cron

#!/bin/bash
cd /var/www/html
mv .htaccess .htaccess.april
mv .htaccess.bk .htaccess

はい、ここまでで必要なファイルは用意できましたネ。
これをcrontabを使って設定します。

# crontab -e
0 0 1 4 * /var/www/cron/april.cron 1> /dev/null
0 0 2 4 * /var/www/cron/usual.cron 1> /dev/null

保存してOK.

ま、心配ならテストしてちょー。

あと、イベントが終わったら、必ず。

# crontab -r

として、cronの設定を解除しておきましょう。
来年の同じ日に実行されてしまいますよw

この記事をブックマークする :

タガヤっす。

最近、完全に夜型でして、AM4時ぐらいまで仕事して昼まで寝るという生活習慣になってます。いろいろスイマセン(汗)

年末からか、意味のわからんアクセスが増えてます。
サーバを管理している人は注意してくださいネ。

中国、韓国、台湾からのアクセスがハンパないッス。
JCERTも注意喚起していますので、一度チェックしてみてください。

ウチがやってる対応を書き出しておきます。

◆

・SSHはポートを変える
　→ ポートは言えませんが、
　　 ピンポンダッシュ的なアクセスはなくなりました。

・suできるユーザを限定する
　→ FTPを許可するユーザを管理ユーザと同じに
　　 しておくのはよくありません。

・SMTP認証を行う
　→ スパムの送信サーバにされてしまいますよ。
　　 絨毯爆撃のようなアクセスが絶えません。

・FTPは使わない or パスフレースを20文字以上設定する
　→ できれば、IPでアクセス許可したりの設定は必要です。

・FTPユーザは、他のユーザとリンクしない
　→ FTPだけしかできないユーザで管理するんですよ。

他にも細かいテクニックはありますけど、上記が運用されてないと、セキュリティレベルは低いと判断してもらっていいでしょう。

またデータベースをグローバルで運用している場合、

・データベースのポートを変更する
・データベースの接続をIPで制限する

も有効です。
クラックされないための施策は必要ですよ。

この記事をブックマークする :

タガヤっす。

VineLinuxとさよならしたので、先日届いたNECのサーバにCentOSをインストールしました。　インターンにCD7枚にイメージを焼いておいてもらってたので、さくさくと進みました。

しかし。

Bind9から設定ファイルがややこしいことになってます(涙)
viewという機能が実装されました。簡単に説明すると、外向きと内向きのDNSを同じプロセスで管理しちゃおうというものです。

そんなの無視して以前と同じ記述方法で回避。

使えるようにはなっておきたいので、いろいろ調べました。

DNSの世界も様変わりしたようですネ。
上記の変更に加え、

　・IPv6対応
　・DDNS対応

など、機能が増えてます。知らんかったｗ
DNSなんて一回設定してしまえば、放置プレイもいいとこです。ゾーンファイルをいじるぐらいです。

たまには新規でインストール、設定をするという行為は重要だと再認識した次第です。

◆

12,800円サーバが思ったよりいい感じなので追加購入しました。

自社サーバ
ホスティングサーバ
DBサーバ

こんな感じで運用しよーかと。
メモリも安いし、いい時代になったもんだ。

この記事をブックマークする :

タガヤっす。

あるサーバの構築をイチからやってて苦労しました。
セキュリティセミナーやってる身としては、
せっかくイチから環境を構築してるんだから、
すべての通信をSSLで暗号化してやろうとしたわけです。

表題の技術でつまずいたのでメモ。

◆

QpopperはMaildir方式に対応してません。
なので今まであるパッチをあててたんですけど、
そのファイルがなくなっていました。

以前構築したサーバに残ってたファイルを
持って来てことなきを得ましたが。

次回からは、表題と同じ環境はメンテナンス性を考えると選択できないようになったと。

でも、このサーバと通信する際、HTTP以外の通信はすべて暗号化されることになってます。

いやーすばらしい。


参考サイト：
　Linux/QpopperでSSLを使用する
　Postfix2 で SMTP-AUTH

参考になりました。
ボクも有益な情報をアップしていきますよっ！