とある情報システム担当の午後 tag:jhh-style.homelinux.com,2007-12-19:/dabun/3 2010-03-12T13:11:34Z Linux、ネットワーク管理を行っている情シス担当の技術メモ Movable Type Pro 4.27-ja sftp接続のカスタマイズ tag:jhh-style.homelinux.com,2010:/dabun//3.409 2010-03-12T12:29:30Z 2010-03-12T13:11:34Z 以前構築した、OpenSSHを使って、chroot環境下でSFTPを動かす方法の... jun
今回設定したのは、ログ出力と、bash権限を持つアカウントだけ鍵認証を行う設定。

理想の状態はこんな感じ。

  1. chroot後の環境で、データのやりとりをsyslogで管理したい
  2. sftpのログ専用のファシリティを設ける
  3. rsshユーザーはパスワード認証、bashユーザーは鍵認証をさせる

【 chroot環境下のログの採取方法 ＆ sftpファシリティの追加】
通常、chroot環境では、/dev/logを参照することが出来ないので、ログ出力は行えない。
そこで、syslogのオプションに、chroot後のディレクトリのdev/に、ソケットを作成する記述を行う。

[/etc/sysconfig/syslog]
　変更前：SYSLOGD_OPTIONS="-m 0"
　変更後：SYSLOGD_OPTIONS="-m 0 -a chrootディレクトリ/dev/log"

通常では-aオプションは１９個までしか設定出来ないっぽい。

オプションの変更後、syslogを再起動すると、設定したchrootディレクトリ/varにlogファイルが作成されている。

次に、sshd_configのSubSystemの箇所に、internal-sftpにログを出力するように編集し、編集後sshdの再起動を行う。

[/etc/ssh/sshd_config]
　変更前：Subsystem       sftp    internal-sftp
　変更後：Subsystem       sftp    internal-sftp -f local1 -l info

※-fはsyslogのファシリティ、-lでログレベルを指定する。

参考にしたサイトとかだと、ファシリティをauthprivに設定しているとこが多かったけど、/var/log/secureにsftpのログを追記したくなかったので変更する。
新規にlocal1というファシリティを作成して、そのログを/var/log/sftp.logに出力するように設定。
作成後、syslogの再起動が必要。

　echo "local1.* /var/log/sftp.log" >> /etc/syslog.conf

【 SSHの認証方法の変更 】
最後にbashも持つアカウントは鍵認証をさせて、ｓｆｔｐ専用のユーザーはパスワード認証をさせる。

[/etc/ssh/sshd_config]
全ユーザー共通の設定（鍵認証させる）
PubkeyAuthentication yes
AuthorizedKeysFile      .ssh/authorized_keys
PasswordAuthentication no

sftpユーザーはMatchのこんな感じになる。
 
Match Group chrootgroup
PasswordAuthentication yes
AllowAgentForwarding no
AllowTcpForwarding no
ChrootDirectory /usr/local/chroot/
PubkeyAuthentication no

ここまで設定したら、sshdを再起動。

試しに、teratermからsftpユーザーで接続してみると、ユーザー名とパスワードの入力プロンプトは表示されるが、正常なパスワードであっても、一瞬rsshのエラーが出てきて接続が終了する。


]]> iphoneが壊れた・・・ tag:jhh-style.homelinux.com,2010:/dabun//3.408 2010-03-07T14:43:36Z 2010-03-07T14:50:33Z 電源が切れたので、充電ケーブルを差し込んで電源を入れたら、最初のリンゴマークから... jun
修復方法を調べたら、こちらの記事と一緒の状況とだったので、記事通りに対応すると、iTuneで認識する事に成功。

バックアップデータが昨年の脱獄前のデータしか無かったが、取り敢えずそこまで戻せました。

今から再脱獄と設定のやり直しです。

修復とか言いつつ、アプリは全部入れ直しってｗ
]]> BlueCoat ProxySGの監視 tag:jhh-style.homelinux.com,2010:/dabun//3.407 2010-03-06T17:22:49Z 2010-03-07T12:58:55Z nagiosのプラグインを幅広く揃えてあるMonitoringExchangeに... jun MonitoringExchangeにも、BlueCoatProｘｙSGのプラグインが存在しなかった為、自作でプラグインを用意する事にしました。

nagiosのプラグインの作成方法を少し調べたら、どうやら決められた終了コードを返せばよいらしい。

終了コードはこれらしい。
OK=0
WARNING=1
CRITICAL=2
UNKNOWN=3
DEPENDENT=4

で、作ってみた。
BlueCoatProｘｙSGのMIBを追加している環境で作ったので、MIB定義も念の為アップロードしておく。

bcmib.zip
check_bluecoat_cpu
check_bluecoat_mem
check_bluecoat_disk1
check_bluecoat_disk2


全てbashで書いています。

例によって、私はプログラマではありませんので、ご使用は自己責任でお願いします。

両方のdiskの状態を取得出来るOIDはあったのですが、snmpwalkでの取得結果が2行表示されますが、nagiosのWEB画面には1行しか送信出来ないの部分をどのように表示させれば分かりやすいのかを考えるのがメンドくさかったので、プラグイン自体を2つに分けていますｗ

チェックファイルの使い方は、各ファイルをエディタで開き、
　HOST=監視対象のIPアドレス
　COMMUNITY=SNMPのコミュニティ名
　CRITICAL=クリティカルにする値（パーセント）
　WARNING=ワーニングにする値（パーセント）
を修正して下さい。

来週は内部温度監視と、ファン回転数監視のプラグインを作成してみますｗ

それにしても、BlueCoat ProxySGのCPU使用率が、夜中でも100%に達してクリティカルのアラートがガンガン飛んでくる。
全て2分程度で正常値に戻るので、保存されたキャッシュのクリーニングとかの処理を定期的に実施しているのかな。

なんにしても、アラートメールが結構うざいので、BlueCoat ProxySGのCPU監視のインターバルだけ調整が必要かもしれない。
]]> centreonよりnagiosの日本語版の方が使いやすい tag:jhh-style.homelinux.com,2010:/dabun//3.406 2010-03-05T19:04:44Z 2010-03-05T19:13:47Z http://www.centreon.com/先週末に、会社のnagiosに、... jun http://www.centreon.com/

先週末に、会社のnagiosに、フロントエンドGUIのcentreonをインストールしてみたが、インストールが面倒くさい割には、思ったよりインターフェースが使い辛い。


上司にチラっと画面を見せたけど、案の定反応がイマイチだったので、会社での利用はしない事にする。
]]> 拡張MIBの設定 tag:jhh-style.homelinux.com,2010:/dabun//3.405 2010-03-05T18:52:03Z 2010-03-05T19:04:10Z 拡張MIBの追加設定でハマったので、自分用のメモ。・RPMでnet-snmpをイ... jun
・RPMでnet-snmpをインストールした時に作成される、標準のMIBディレクトリは、/usr/share/snmp/mibsになる。

・MIBの定義は１つしかインストールできない。同じ定義をロードさせた場合、後から追加した定義が既存の定義を上書きする形でロードされる為、拡張MIBを追加する場合は、標準のMIB定義を上書きしないように必要なものだけをロードさせる。

※ベンダーが提供しているMIB全てをロードさせると、大変な目に合う　←　ここで1日はまった。

・拡張MIBは、場所を指定するだけで勝手にロードされる。


拡張MIBを追加する方法は以下の３つ。

・/usr/share/snmp/mibsディレクトリに定義ファイルを入れる。

・/etc/snmp.confファイルを作成し、
　mibdirs /usr/share/snmp/mibs:拡張MIBを格納ししているディレクトリ
　mibs = ALL
　と記述する。（システム全体に適用する場合）
※標準のMIBディレクトリと、拡張MIBディレクトリの間は、「:（コロン）」で区切る。

・$HOME/.snmp/snmp.confに、
　mibdirs /usr/share/snmp/mibs:拡張MIBを格納ししているディレクトリ
　mibs = ALL
　と記述する。（ユーザーだけに適用する場合）

]]> Linux版のnrpe tag:jhh-style.homelinux.com,2010:/dabun//3.402 2010-02-09T08:40:24Z 2010-02-09T08:48:28Z 現在、シコシコと社内用の監視システムを構築中。監視対象はWindowsOSとLi... jun
監視対象はWindowsOSとLinuxOSが混在しているのが、リソース監視やらプロセス監視などの手法は統一したかったので、nrpeを使うことにした。

インストール方法などは省くが、Windows版のnrpeはdont_blame_nrpeの値を「1」にするだけで、$ARG$での引数設定が行えたが、Linux版のnrpeはdont_blame_nrpeを変えても
「CHECK_NRPE: Received 0 bytes from daemon.  Check the remote server logs for error messages.」
と言ったエラーメッセージが表示されて接続出来なかった。

半日ググッてやっと解決。

どうやら、セキュリティ上の理由から、nrpeインストール時にのconfigureに--enable-command-argsを付加してあげないとダメらしい。

先週Linuxサーバにインストールしたnrpeを全部入れ直しかよ！
]]> システム管理者が"暴君"になるとき tag:jhh-style.homelinux.com,2010:/dabun//3.401 2010-02-08T06:08:04Z 2010-02-08T06:09:41Z 古い記事だが、こんなの見つけた。システム管理者が暴君になる時気をつけよう・・・。... jun
システム管理者が暴君になる時

気をつけよう・・・。

]]> updatedbが通らない tag:jhh-style.homelinux.com,2010:/dabun//3.400 2010-02-04T04:58:42Z 2010-02-04T05:00:33Z CentOS5.4って、updatedbが標準でインストールされないのかな？ググ... jun
ググッたら「mlocate」ってパッケージをインストールすると、updatedbやlocateが使えるらしい。


]]> ディスクが死んだ tag:jhh-style.homelinux.com,2010:/dabun//3.398 2010-01-28T13:22:55Z 2010-01-28T13:24:49Z jun
 
 --------------------- Kernel Begin ------------------------

 WARNING:  Kernel Errors Present
    end_request: I/O error, dev hda, sector ...:  3 Time(s)
    hda: dma_intr: error=0x40 { Uncorrect ...:  3 Time(s)
    hda: dma_intr: status=0x51 { DriveReady SeekComplete Error } ...:  3 Time(s)


再起動してもダメっぽいので、また作り直しか。
最悪、書き換えのデータとかは引っ張ってこれないかな。
]]> tracのタイムライン tag:jhh-style.homelinux.com,2010:/dabun//3.396 2010-01-20T04:31:49Z 2010-01-20T04:34:42Z 会社で使っているTracのタイムラインが、1/13を境に表示されなくなってしまっ... jun
更新ボタンを押してもダメ。

いろいろ情報をググッていると、どうやらtrac.iniファイルのパラメータを設定してあげると良いらしい。

[timeline]
ticket_show_details = true

にして、Apacheを再起動。

問題く表示されるようになったが、今まで「false」に設定されていてもタイムラインが表示されていたのは何故だろう？

]]> イオン　越谷レイクタウンのホームページ tag:jhh-style.homelinux.com,2010:/dabun//3.394 2010-01-10T01:31:24Z 2010-01-10T02:56:53Z レイクタウンのホームページのTOPが改ざんされてる？自宅（Windows、Ubu... jun レイクタウンのホームページのTOPが改ざんされてる？

自宅（Windows、Ubuntu）と3G環境のiphoneから繋いでもNG。

画像も含め、ほとんどのの表示が行えない。

AEON LAKE TOWN.jpg


レイクタウンに電話して、改ざんされている可能性を教えてあげたら、

「ウチ（店舗側）ではサイトを変更していない」

「ちゃん見れている」

と返答がきた。

まぁ、いいや。

取り合えずPCのウィルススキャンだけやっとこう。



]]> MovableTypeの脆弱性 tag:jhh-style.homelinux.com,2010:/dabun//3.393 2010-01-09T15:30:58Z 2010-01-09T15:52:08Z 1月6日付けで、MovableTypeの脆弱性が発見されたらしい。対応するには、... jun
対応するには、4.27か5.01にアップグレードすればいいらしいが、以下の問題がある事。

4.27　・・・今年の11月にサポートが終了する。
5.01　・・・PostgreSQLを未サポート

このブログを書いている自鯖のDBはPostgreSQL・・・。

新機能も気になるから、テストで5.01もアップグレードしてみたけど、使っているプラグインのほとんどが未対応になってしまったので、とりあえず4.27にアップグレードして、テスト書き込みも含めて様子見。
]]> ロードバランサーの動作 tag:jhh-style.homelinux.com,2009:/dabun//3.381 2009-12-09T07:48:33Z 2009-12-09T07:50:52Z syslogさんからロードバランサーの動作概要を引用させて頂きます。 ▼leas... jun syslogさんからロードバランサーの動作概要を引用させて頂きます。


▼least connections ＜リースト・コネクション＞ [動的]
最もコネクション数の少ないサーバを選択してロードバランスを行う。
▼hash ＜ハッシュ＞ [動的]
クライアントのIPアドレスをハッシュ値計算し、相対させたサーバにバランシングする。つまりあるIPアドレスのものは常にそのサーバにバランシングされる。
▼round robin ＜ラウンド・ロビン＞ [静的]
複数のサーバに対して均等にロードバランスを行う。

▼fastest ＜ファーステスト＞ [動的]
最も速く応答するサーバを選択してロードバランスを行う。
▼observed ＜オブザーブド＞ [動的]
サーバのコネクション数と応答速度を監視して、ロードバランスを行う。
▼predictive ＜プリディクティブ＞ [動的]
サーバのコネクション数と応答速度を監視し、各サーバのパフォーマンスを予測してロードバランスを行う。
▼priority ＜プライオリティ＞ [静的]
あらかじめ指定されたサーバグループ毎の優先度に応じてロードバランスを行う。
▼ratio ＜レシオ＞ [静的]
複数のサーバに対してあらかじめ指定した割合に応じてロードバランスを行う。
▼static load balancing ＜スタティック・ロードバランシング＞ [静的]
あらかじめ定義された基準リストに基づいて接続配分を行う方式。その基準としては、現在のサーバ性能や現在の接続負荷は考慮していない。
]]> ソースから入れたapacheのlogwatchの設定 tag:jhh-style.homelinux.com,2009:/dabun//3.380 2009-12-09T06:26:54Z 2009-12-09T06:45:05Z apacheに限らず、/var/log/配下にログを出力しないものは、デフォルト... jun
/var/log/意外の場所にあるログファイルも集計の対象とする場合、logwatchのサービス毎の設定を変更する必要がある。


（以下はCentOS5.4の場合。CentOS4はディテクトりが違うらしい。）

【場所：/usr/share/logwatch/default.conf/logfiles】

ディテクトりの中は、使っている、使っていないに関わらず、サービス毎の設定ファイルがたくさんあります。
autorpm.conf      emerge.conf            maillog.conf              qmail-pop3ds-current.conf  secure.conf     windows.conf
cisco.conf        exim.conf              messages.conf             qmail-send-current.conf    sonicwall.conf  xferlog.conf
clam-update.conf  extreme-networks.conf  netopia.conf              qmail-smtpd-current.conf   syslog.conf     yum.conf
cron.conf         http.conf              netscreen.conf            resolver.conf              tac_acc.conf
daemon.conf       iptables.conf          pureftp.conf              rt314.conf                 up2date.conf
dnssec.conf       kernel.conf            qmail-pop3d-current.conf  samba.conf                 vsftpd.conf


Apacheのログ出力に関する設定を変更する場合、「http.conf」を修正します。

LogFile行と、Archive行にApacheのログ出力場所を記述

# What actual file?  Defaults to LogPath if not absolute path....
LogFile = httpd/*access_log
LogFile = apache/*access.log.1
LogFile = apache/*access.log
LogFile = apache2/*access.log.1
LogFile = apache2/*access.log
LogFile = apache-ssl/*access.log.1
LogFile = apache-ssl/*access.log

LogFile = "/usr/local/httpd-2.0.63/logs/access_log"
LogFile = "/usr/local/httpd-2.0.63/logs/access_log.1"

# If the archives are searched, here is one or more line
# (optionally containing wildcards) that tell where they are...
#If you use a "-" in naming add that as well -mgt
Archive = archiv/httpd/*access_log.*
Archive = httpd/*access_log.*
Archive = apache/*access.log.*.gz
Archive = apache2/*access.log.*.gz
Archive = apache-ssl/*access.log.*.gz

Archive = "/usr/local/httpd-2.0.63/logs/access_log"
Archive = "/usr/local/httpd-2.0.63/logs/access_log.1"

これだけで次回のlogwatchの実行から、ソースでインストールしたApacheの情報も集計されます。
]]> googleの日本語入力 tag:jhh-style.homelinux.com,2009:/dabun//3.379 2009-12-04T05:22:02Z 2009-12-04T05:25:07Z googleの日本語入力を会社のPCに入れてみた。まぁ、おもしろいからしばらく使... jun
まぁ、おもしろいからしばらく使ってみようｗ

20091204.jpg


Google 日本語入力
http://www.google.com/intl/ja/ime/

]]>