Перейти к собственно контенту

Блог@DeathStar.Name

Блог системного администратора

Архив

Рубрика: FreeBSD

При попытке залить дамп базы данных через утилиту mysqldump столкнулся с ошибкой:
ERROR 2006 (HY000) at line 40283: MySQL server has gone away

Пофиксить можно следующим образом:
открываем файл my.cnf ( в Linux как правило /etc/my.cnf , во FreeBSD — /etc/my.cnf или же /usr/local/etc/my.cnf ), и добавляем следующие строки в секцию [mysqld]

wait_timeout = 6000
max_allowed_packet = 1G
, перезапускаем MySQL согласно той ОС которая у Вас стоит и пробуем залить дамп опять.
root@armfilm:/var/www/rg# mysql -p huid < 2017-11-02_04-35-42.sql Enter password: root@armfilm:/var/www/#
Дамп залит успешно

Случилось так, что у одного из сайтов появилось какое-то «левое» зеркало,  которое сильно подбило позиции в поисковике. Я думал что домен просто направили на IP того сервера, на который ссылался домен. Прописал в конфиг виртуального хоста строки, запрещающие доступ к сайту по IP адресу

if ($host !~ ^(example.com|www.example.com)$ ) {
return 403;
}

Но не помогло, так как выяснилось что сайт на «левом» зеркале парсился PHP скриптами через CURL. Сразу возникла идея просто запретить доступ по User Agent, но он был изменен на GoogleBot/2.1 , и если его забанить то и поисковые боты не смогут попасть на сайт. Осталось только 1 решение, сравнивать User Agent и IP адрес, с которого был запрос, и если это реальные IP адреса гуглобота, то пропускать, иначе отдавать ошибку 403. В конфиг nginx добавляем в секцию http следующие строки ( это все IP адреса и подсети, которые использует гуглобот и которые мне удалось найти, если есть чем дополнить пишите в коментариях ):

geo $googlebotip {
default 0;
64.18.0.0/20 1;
64.233.160.0/19 1;
66.102.0.0/20 1;
66.249.80.0/20 1;
72.14.192.0/18 1;
74.125.0.0/16 1;
108.177.8.0/21 1;
172.217.0.0/19 1;
173.194.0.0/16 1;
207.126.144.0/20 1;
209.85.128.0/17 1;
216.58.192.0/19 1;
216.239.32.0/19 1;
203.208.60.0/24 1;
66.249.64.0/20 1;
72.14.199.0/24 1;
209.85.238.0/24 1;
66.249.90.0/24 1;
66.249.91.0/24 1;
66.249.92.0/24 1;
2001:4860:4000::/36 1;
2404:6800:4000::/36 1;
2607:f8b0:4000::/36 1;
2800:3f0:4000::/36 1;
2a00:1450:4000::/36 1;
2c0f:fb50:4000::/36 1;
2001:4860:4801:1::/64 1;
2001:4860:4801:2::/64 1;
2001:4860:4801:3::/64 1;
2001:4860:4801:4::/64 1;
2001:4860:4801:5::/64 1;
2001:4860:4801:6::/64 1;
2001:4860:4801:7::/64 1;
2001:4860:4801:8::/64 1;
2001:4860:4801:9::/64 1;
2001:4860:4801:a::/64 1;
2001:4860:4801:b::/64 1;
2001:4860:4801:c::/64 1;
2001:4860:4801:d::/64 1;
2001:4860:4801:e::/64 1;
2001:4860:4801:2001::/64 1;
2001:4860:4801:2002::/64 1;
104.132.0.0/21 1;
104.132.12.0/24 1;
104.132.128.0/24 (далее…)

В дополнение к статье Собственный Dynamic DNS сервер на базе Bind решил написать статью, для тех у кого есть домен c использованием Clouflare.com. В настройках CF получаем API Key. Допустим zone называется deathstar.name , мне нужно было для домашнего файлохранилища как и в предыдущей статье менять IP по крону ( метод получения внешнего немного изменен, но можно и использовать метод с предыдущей статьи )

Скрипт находится тут

ID всех записей можно узнать командой:

curl https://www.cloudflare.com/api_json.html   -d 'a=rec_load_all'   -d 'tkn=ВАШ API ключ'   -d 'email=deathstar@deathstar.name'   -d 'z=deathstar.name'

тут находим запись netdisk.deathstar.name и левее названия будет rec_id. Ставим в крон аналогично предыдущей статьи и радуемся.

В дополнение к этой статье я напишу как установить Redmine и при необходимости перенести данные на сервер с ОС CentOS 6.5 и панелью ISPmanager Lite.

У нас имеется один сервер с рабочим Redmine и второй с ISPmanager Lite на котороый и будет делать перенос.

1) Ставим пакеты для сборки сорцов:

# yum install gcc-c++ patch readline readline-devel zlib zlib-devel
# yum install libyaml-devel libffi-devel openssl-devel make
# yum install bzip2 autoconf automake libtool bison iconv-devel mysql-devel

2) Устанавливаем RVM ( Ruby Version Manager ):

# curl -L get.rvm.io | bash -s stable

3) Выставляем переменные окружения:

# source /etc/profile.d/rvm.sh

4) Ставим Ruby 1.9.3 и назначаем дефолтным в системе, проверяем работоспособность:

# rvm install 1.9.3
# rvm use 1.9.3 --default

Провеверям:

# ruby --version
ruby 1.9.3p551 (2014-11-13 revision 48407) [x86_64-linux]

5) Ставим Passenger и добавляем поддержку в Nginx:

# gem install passenger

Качаем исходный код nginx:

# cd /tmp
# wget http://nginx.org/download/nginx-1.7.9.tar.gz && tar xvzf nginx-1.7.9.tar.gz

Смотри с какими параметрами был уже бинарик у нас собран:

# nginx -V
nginx version: nginx/1.7.9
built by gcc 4.4.7 20120313 (Red Hat 4.4.7-11) (GCC)
TLS SNI support enabled
configure arguments: --user=nginx --group=nginx --prefix=/usr/share/nginx --sbin-path=/usr/sbin/nginx --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --http-client-body-temp-path=/var/lib/nginx/tmp/client_body --http-proxy-temp-path=/var/lib/nginx/tmp/proxy --http-fastcgi-temp-path=/var/lib/nginx/tmp/fastcgi --http-uwsgi-temp-path=/var/lib/nginx/tmp/uwsgi --http-scgi-temp-path=/var/lib/nginx/tmp/scgi --pid-path=/var/run/nginx.pid --lock-path=/var/lock/subsys/nginx --with-debug --with-http_secure_link_module --with-http_random_index_module --with-http_ssl_module --with-http_realip_module --with-http_addition_module --with-http_sub_module (далее…)

Как правило у большинства домашних провайдеров всегда динамические IP адреса, а так как порой надо было иметь доступ к внешнему жесткому диску MyBookLive из интернета — было решено поднять свой DynDNS сервер.
Нам потребуется домен и DNS сервер который будет обслуживать домен.
Про настройку Bind в качестве Master и Slave сервера писать не буду — в интернете куча статей, у меня крутится Bind99 на FreeBSD в качестве Master + Slave с двумя внешними IP адресами на сервере.

На клиенте ( у меня это MyBookLive с Debian на борту ) генерируем ключи для возможности удаленного обновления зоны:
dnssec-keygen -a hmac-md5 -b 128 -n USER deathstar

Должно получится два файла Kdeathstar.+157+03649.private и Kdeathstar.+157+03649.key
Смотрим содержимое файла Kdeathstar.+157+03649.key
deathstar# cat Kdeathstar.+157+03649.key
deathstar. IN KEY 0 3 157 OoMn1WMkDFdAH/ZZ9ip0Imm==

На сервере создаем файл /etc/namedb/keys.conf с таким содержимым ( значение для строки secret берем выше из файла ключа Kdeathstar.+157+03649.key на клиенте ):
key deathstar {
algorithm hmac-md5;
secret "OoMn1WMkDFdAH/ZZ9ip0Imm==";
};

Затем на сервере в файл /etc/namedb/named.conf впишите в самый конец файла:
include "/etc/namedb/keys.conf";

и приводим зону в этом же файле к такому состоянию:
zone "deathstar.name" {
type master;
file "/etc/namedb/master/deathstar.name";
allow-update { key deathstar; };
allow-query { any; };
notify yes;
};

и перезапускаем bind
deathstar# /etc/rc.d/named restart

На клиенте создаем скрипт такого вида:
#!/bin/sh

# SETTINGS
TTL=10
SERVER=ns1.deathstar.name
HOSTNAME=netdisk.deathstar.name.
ZONE=deathstar.name
KEYFILE="/etc/Kdeathstar.+157+03649.private"

IP_FILE="/tmp/myBookLiveIP"
OLDIP="$(grep -o '[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}' $IP_FILE)"
IP="$(wget -q checkip.dyndns.org -O - | grep -o '[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}')"
DNSIP="$(host -t A $HOSTNAME | grep -o '[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}')"

if (далее…)

В дополнение к этой статье  напишу как сделать несколько IP адресов на 3proxy:

 

Установка все как в предыдущей статье

( в CentOS : yum install -y 3proxy

Debian / Ubuntu: apt-get install 3proxy )

но конфиг уже выглядит иначе

# Name servers
nserver 8.8.8.8
nserver 8.8.4.4
# nscache is good to save speed, traffic and bandwidth
nscache 65536

# Here we can change timeout values

users user:CL:password

daemon

log /var/log/3proxy/3proxy.log
logformat «- +_L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T»
archiver gz /bin/gzip %F
rotate 30

auth strong
allow * * * *

proxy -n -a -p3128 -i100.218.211.82 -e100.218.211.82 -p3128
proxy -n -a -p3128 -i142.218.209.164 -e142.218.209.164 -p3128
proxy -n -a -p3128 -i167.248.229.155 -e167.248.229.155 -p3128
proxy -n -a -p3128 -i162.211.209.142 -e162.211.209.142 -p3128
proxy -n -a -p3128 -i162.213.109.133 -e162.213.109.133 -p3128
proxy -n -a -p3128 -i162.219.302.124 -e162.219.302.124 -p3128

auth strong

flush

maxconn 32
socks -n -a -p3128 -i100.218.211.82 -e100.218.211.82 -p3128
socks -n -a -p3128 -i142.218.209.164 -e142.218.209.164 -p3128
socks -n -a -p3128 -i167.248.229.155 -e167.248.229.155 -p3128
socks -n -a -p3128 -i162.211.209.142 -e162.211.209.142 -p3128
socks -n -a -p3128 -i162.213.109.133 -e162.213.109.133 -p3128
socks -n -a -p3128 -i162.219.302.124 -e162.219.302.124 -p3128

setgid 65535
setuid 65535

Надо было удалить мне файлы от poudriere, но вот не задача — система выкидывала вот такую ошибку

deathstar# rm -rf /poudriere/*
rm: /poudriere/jails/fbsd9-amd64/libexec/ld-elf32.so.1: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/libexec/ld-elf.so.1: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/libexec: Directory not empty
rm: /poudriere/jails/fbsd9-amd64/sbin/init: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/sbin: Directory not empty
rm: /poudriere/jails/fbsd9-amd64/var/empty: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/var: Directory not empty
rm: /poudriere/jails/fbsd9-amd64/usr/lib32/libthr.so.3: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/lib32/librt.so.1: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/lib32/libcrypt.so.5: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/lib32/libc.so.7: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/lib32: Directory not empty
rm: /poudriere/jails/fbsd9-amd64/usr/lib/librt.so.1: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/lib: Directory not empty
rm: /poudriere/jails/fbsd9-amd64/usr/bin/opiepasswd: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/bin/chpass: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/bin/login: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/bin/crontab: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/bin/ypchpass: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/bin/rlogin: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/bin/rsh: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/bin/ypchsh: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/bin/ypchfn: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/bin/yppasswd: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/bin/chfn: Operation not permitted
rm: /poudriere/jails/fbsd9-amd64/usr/bin/opieinfo: (далее…)

При входе в панельку по адресу https://X.X.X.X/manager/ пишет вот такую ошибку
Request timeout to panel reached. Panel has not started yet.
Но по адресу https://X.X.X.X/manager/ispmgr панелька открывется,

Причина ошибки — обновиление панельки с версии 4.4.10.6 на 4.4.10.8.

Для того, чтобы пофиксить эту проблему выполняем следующую команду
# echo 'ispmgr' > /usr/local/ispmgr/bin/index
то есть создаем в каталоге файл index с содержимым ispmgr.

В дополнение к статье «Настройка OpenVPN сервера» решил написть о настройке VPN сервера , работающего по протоколу PPTP.

Имеем
# root@vpn:/root # uname -a
FreeBSD vpn.server 9.1-STABLE FreeBSD 9.1-STABLE #0 r249412M: Sat Apr 13 02:34:28 MSK 2013 root@vpn.deathstar.name:/usr/obj/usr/src/sys/GENERIC amd64
Цель – поднять VPN PPTP сервер для выхода в интернет.

1) Настройка NAT

Добавляем в файл /boot/loader.conf такие строки
ipfw_nat_load="YES"
libalias_load="YES"

Создаем правила для IPFW ( например файл /etc/firewall )
root@vpn:/root # ee /etc/firewall
#!/bin/sh
ipfw='/sbin/ipfw -q'
${ipfw} flush
${ipfw} add check-state
${ipfw} table all flush
${ipfw} add drop tcp from 172.17.0.0/24 135,137-139 to 172.17.0.0/24 via rl0
${ipfw} add drop tcp from 172.17.0.0/24 135,137-139 to any via rl0
${ipfw} add drop udp from 172.17.0.0/24 135,137,138,139 to 172.17.0.0/24 via rl0
${ipfw} add drop udp from 172.17.0.0/24 135,137-139 to any via rl0
${ipfw} nat 1 config if re0 reset same_ports
${ipfw} add nat 1 ip from 172.17.0.0/24 to any via re0
${ipfw} add nat 1 ip from any to ВНЕШНИЙ_IP_СЕРВЕРА
${ipfw} add allow all from any to any

и делаем исполняемым
root@vpn:/root # chmod +x /etc/firewall

Для загрузки правил при старте добавляем в /etc/rc.conf
gateway_enable=YES
firewall_enable=YES
firewall_script="/etc/firewall"

и перезапускаем сервер
root@vpn:/root # reboot

2) Установка, настройка и запуск VPN PPTP сервера
root@vpn:/root # make install clean -С /usr/ports/net/mpd5 ( опции оставляем по умолчанию как есть )

Переходим в каталог с конфигами
cd /usr/local/etc/mpd5/

и создаем файл mpd.conf со следующим содержанием
root@vpn:/usr/local/etc/mpd5 # ee mpd.conf

startup:
set user foo bar admin
set user foo1 bar1
set console self 127.0.0.1 5005
set console open
set web self 0.0.0.0 5006
set web open

default:
load pptp_server

pptp_server:

set ippool add pool1 172.17.0.50 172.17.0.99 # Диапазон выдаваемых адресов

create bundle template B
set iface enable proxy-arp
set iface idle 1800
set iface enable tcpmssfix
set ipcp yes vjcomp
set ipcp ranges 172.17.0.1/32 ippool pool1
set ipcp dns 8.8.8.8 # DNS сервер
set bundle enable compression
set ccp yes mppc
set mppc yes e40
set mppc yes e128
set mppc yes stateless

create link template L pptp
set link action bundle B
set link enable multilink
set link yes acfcomp protocomp
set link no pap chap eap
set link enable chap
set link keep-alive 10 60
set link mtu 1460
set pptp self ВНЕШНИЙ_IP_СЕРВЕРА
set link enable incoming

Создаем файл с логинами и паролями
root@vpn:/usr/local/etc/mpd5 # ee mpd.secret
# логин пароль
deathstar password
admin password
testuser parol

Добавляем для автозапуска в файл /etc/rc.conf следующие строки

mpd_enable="YES"
mpd_flags="-b"

и запускаем
root@vpn:/root # /usr/local/etc/rc.d/mpd5 start
Starting mpd5.

Проверяем сетевые интерфейсы командой ifconfig

root@vpn:/usr/local/etc/mpd5 # ifconfig
re0: flags=8843 metric 0 mtu 1500
options=8009b
ether 00:16:3e:cd:d5:8f
inet X.X.X.X netmask 0xfffffff8 broadcast 85.10.239.255
nd6 options=29 media: Ethernet autoselect (100baseTX )
status: active
plip0: flags=8810 metric 0 mtu 1500
nd6 options=29 ipfw0: flags=8801 metric 0 mtu 65536
nd6 options=29 lo0: flags=8049 metric 0 mtu 16384
options=600003
inet6 ::1 prefixlen 128
inet6 fe80::1%lo0 prefixlen 64 scopeid 0x5
inet 127.0.0.1 netmask 0xff000000
nd6 options=21 ng0: flags=88d1 metric 0 mtu 1396
inet 172.17.0.1 --> 172.17.0.50 netmask 0xffffffff
nd6 options=29

Если интерфейс ng0 появился — значит все ок. Теперь можно просто настроить VPN клиент в Вашей системе, и ходить в интернет через свежеиспеченный VPN =)))

Имеем
# root@vpn:/root # uname -a
FreeBSD vpn.server 9.1-STABLE FreeBSD 9.1-STABLE #0 r249412M: Sat Apr 13 02:34:28 MSK 2013 root@vpn.deathstar.name:/usr/obj/usr/src/sys/GENERIC amd64

Цель — поднять OpenVPN сервер для выхода в интернет.

1) Настройка NAT

Добавляем в файл /boot/loader.conf такие строки
ipfw_nat_load="YES"
libalias_load="YES"

Создаем правила для IPFW ( например файл /etc/firewall )
root@vpn:/root # ee /etc/firewall
#!/bin/sh
ipfw='/sbin/ipfw -q'
${ipfw} flush
${ipfw} add check-state
${ipfw} table all flush
${ipfw} add drop tcp from 172.17.0.0/24 135,137-139 to 172.17.0.0/24 via rl0
${ipfw} add drop tcp from 172.17.0.0/24 135,137-139 to any via rl0
${ipfw} add drop udp from 172.17.0.0/24 135,137,138,139 to 172.17.0.0/24 via rl0
${ipfw} add drop udp from 172.17.0.0/24 135,137-139 to any via rl0
${ipfw} nat 1 config if re0 reset same_ports
${ipfw} add nat 1 ip from 172.17.0.0/24 to any via re0
${ipfw} add nat 1 ip from any to ВНЕШНИЙ_IP_СЕРВЕРА
${ipfw} add allow all from any to any

и делаем исполняемым
root@vpn:/root # chmod +x /etc/firewall

Для загрузки правил при старте добавляем в /etc/rc.conf
gateway_enable=YES
firewall_enable=YES
firewall_script="/etc/firewall"

и перезапускаем сервер
root@vpn:/root # reboot

2) Установка, настройка и запуск OpenVPN сервера

root@vpn:/root # make install clean -С /usr/ports/security/openvpn ( опции оставляем по умолчанию как есть )

Создаем каталоги для конфигов
root@vpn:/root # mkdir /usr/local/etc/openvpn/
root@vpn:/root # mkdir /usr/local/etc/openvpn/ccd

Копируем каталог easy-rsa в каталог конфигов OpenVPN
root@vpn:/root # cp -r /usr/local/share/easy-rsa /usr/local/etc/openvpn/

Переходим в скопированный каталог
root@vpn:/root # cd /usr/local/etc/openvpn/easy-rsa/

Переходим в оболочку sh
# sh

Выполняем следующим команды:
# . ./vars
# ./clean-all
# ./build-ca

Будут спрашивать данные для сертификата, заполните их в соотвествии с вопросами.

# ./build-key-server (далее…)