Nix on Uzix | микроблог

Особенность маршрутизации в Linux

Thu, 06 Dec 2018 14:12:36 +0000

Про rp_filter в интернете не писал только ленивый. Но вот о чём редко пишут - rp_filter начисто игнорирует маркер пакета (nfmark, он же fwmark)! Т.е. если у вас настроена policy-based-routing с использованием ip rule fwmark, то обратный маршрут rp_filter будет рассчитывать неверно, что приведёт к тихому дропу пакетов. Что делать? Я вижу пару вариантов:

Отключить rp_filter на интерфейсе и прописать всё что он делает руками;
Использовать TOS для маркировки пакетов. Минусы - он восьмибитный, и ip rule не умеет применять к значению маску. К тому же нужно помнить, что TOS - не метаинформация внутри ядра, а реальное поле в IP-пакете со всеми вытекающими.

Есть также модуль iptables rpfilter. Он делает то же, что и встроенный в ядро rp_filter, но при этом его можно обвязать любыми (в рамках таблицы raw) правилами iptables. К сожалению, он доступен только для ядер >=3.3.

/dev во freebsd chroot

Thu, 02 Mar 2017 09:59:28 +0000

Не нашёл в интернете хорошего решения, поэтому выкладываю тут.

Т.к. во FreeBSD нельзя сделать просто mknod в произвольном месте фс (вернее можно, но результат работать не будет с ошибкой “operation not supported”), то для доступа к устройствам внутри chroot приходится немного шаманить - а именно монтировать devfs с нужными нам устройствами.

Покажу на примере php-fpm. Создаём файл /usr/local/etc/rc.conf.d/php_fpm со следующим содержимым:

mount_devs() {
 for i in $php_fpm_chroots; do
 umount "${i}/dev" 2>/dev/null || true
 devfs_domount "${i}/dev" devfsrules_hide_all
 devfs -m "${i}/dev" rule apply path null unhide
 devfs -m "${i}/dev" rule apply path random unhide
 devfs -m "${i}/dev" rule apply path urandom unhide
 done
}

start_precmd="$start_precmd && mount_devs"

и в rc.conf дописываем:

php_fpm_chroots="/var/www1 /var/www2"

Создаём по нужным путям dev/, делаем рестарт сервиса - и после этого всё должно заработать.

https

Wed, 01 Feb 2017 12:34:09 +0000

В связи с наметившейся тенденцией всяческого ущемления (понижение позиции в выдаче поисковиков, предупреждения о небезопасности в браузерах) сайтов, доступных только по http, а так же по причине необходимости повышения безопасности передаваемых данных, передо мной возникла задача внедрения https с минимальными материально-техническими затратами на внедрение и сопровождение.

Применение m4 для генерации конфигурации

Sun, 05 Jun 2016 14:43:29 +0000

В данной заметке я хочу рассказать о существовании замечательной утилиты - макропроцессора m4. Заметка носит ознакомительный характер и не ставит целью описание нюансов m4 (RTFM!).

ГОСТ шифр

Tue, 17 May 2016 07:06:30 +0000

В данной статье решается задача создания защищённого соединения с сервером госзакупок с минимизацией необходимости дальнейшей поддержки решения.

Расширение корневого раздела в LVM в RHEL6

Thu, 24 Dec 2015 07:23:40 +0000

Вводная: виртуальная машина с одним диском и корневой фс в lvm.

Задача: расширить корневую фс без остановки предоставляемого сервиса.

Решение:

Увеличиваем размер диска средствами системы управления виртуальными машинами. В моём случае это Proxmox: qm resize 100 virtio0 +5G
Далее нужно как-то подключить наше новое пространство к VolumeGroup. Вот тут кроется засада. Для RHEL5 можно увеличить размер раздела с PhysicalVolume и обновить таблицу разделов командой partprobe. Но начиная с RHEL6 она покажет шиш и откажется что-либо делать пока мы всё не остановим и не отмонтируем. Однако есть и обходной путь: создаём на этом же диске ещё один раздел с PhysicalVolume чтобы затем расширить нашу VolumeGroup на неё: parted /dev/vda mkpart primary ext2 НАЧАЛО_РАЗДЕЛА -1 parted set НОМЕР_РАЗДЕЛА lvm on Затем выполняем потенциально опасную операцию - обновляем наживую таблицу разделов. Существующие разделы при этом остаются на месте (даже если были изменены/удалены), новые же добавляются: partx -a /dev/vda
Дальше дело техники - расширяем VolumeGroup: vgextend VolGroup /dev/vda3
… расширяем LogicalVolume: lvextend -l +100%FREE VolGroup/lv_root
… и, наконец, увеличиваем сам раздел: resize2fs /dev/VolGroup/lv_root

Готово.

Секунда координации

Wed, 01 Jul 2015 05:45:00 +0000

Быстрофикс зависших серверов:

/etc/init.d/ntp stop; date; date `date +"%m%d%H%M%C%y.%S"`; date; /etc/init.d/ntp start

Если долго запускается Wine...

Thu, 12 Mar 2015 13:51:57 +0000

…то попробуйте сделать так: mkdir ~/.cups ; echo 'ServerName dev.null' >~/.cups/client.conf

Проверяем готовность сервера к переходу на зимнее время

Thu, 25 Sep 2014 05:56:30 +0000

Всего месяц остался до перевода стрелок - пора подготавливаться к этому.

Почему Linux катится в тар-тарары

Wed, 30 Jan 2013 07:50:15 +0000

https://pappp.net/?p=969

Получение информации об IP/домене из командной строки

Wed, 08 Aug 2012 13:49:47 +0000

Заметил что часто люди забывают что информацию о домене можно получить не только на ресурсах, подобных http://2ip.ru/, но и с помощью командной строки, причём гораздо быстрее и в “парсабельной” форме.

Команда №1: whois. Всё элементарно: в качестве аргумента принимает домен (ну или айпишник) и рассказывает нам всё что whois-сервер (его можно задать ключём -h) знает об этом адресе. С ключём -H рассказывает немного меньше, пропуская флуд о “правах и обязанностях” :)

Команда №2: geoiplookup (из пакета geoip-bin). Так же принимает ип или имя домена в качестве параметра, после чего сверяет айпишник со своей внутренней базой (пакет geoip-database) и показывает нам страну. Просто, практично.

Tcpkill

Tue, 24 Jul 2012 10:15:53 +0000

Полезная программа: tcpkill из пакета dsniff. Она позволяет разрывать tcp-соединения, подходящие под заданный фильтр (синтаксис как у tcpdump). Что интересно, программа не просто разово разрывает все подходящие соединения, но и следит за появлением новых. Примеры использования:

: разорвать все соединения до хоста с ip-адресом 11.22.33.44 на интерфейсе eth0
tcpkill -i eth0 -9 host 11.22.33.44
: разорвать все соединения на порт 5222 на интерфейсе ppp0
tcpkill -i ppp0 -9 port 2222

Меню монтирования в OpenBox

Sat, 23 Apr 2011 16:43:00 +0000

Буду краток. Давеча, не найдя готового, написал вот такую штуку:

Итак, код:

Виртуальная веб-камера и микрофон

Wed, 27 Oct 2010 11:27:00 +0000

Многим знаком софт для Windows, позволяющий накладывать в реальном времени эффекты на изображение с веб камеры, воспроизводить видео “как-бы” с нее и делать другие непотребности. Под Linux так же есть подобные решения - та же WebCam Studio, имеющая в своем арсенале множество нужных и ненужных функций.

Внимание! Под катом много мутного текста без картинок! :-)

Удобный поиск и каталогизация файлов в консоли

Sun, 10 Oct 2010 09:30:00 +0000

Все началось с того, что сегодня утром качалка FatRat сообщила о завершении многонедельной закачки торрента с рипом одного сайта с обоями. Распаковав полторы сотни архивов, удивлению моему предела не было - все 33 тысячи файлов были свалены в одну кучу. О том, чтобы нормально выбрать что-то из нее говорить не приходится. Но зато имена файлов были вполне нормальные, с тегами… так и родился этот простенький скрипт. Он рекурсивно ищет файлы, имя которых содержит заданную фразу и помещает симлинки на эти файлы в отдельную папочку.