はてなブックマーク

cacti/cloudforecastってどやって取ってるん？とふと気になって調べた。 cloudforecastのlib/CloudForecast/Data/Disk.pm 見てたらhrStorage* という単語あったので snmpのoid見てたらこの辺だった。 各サーバのsnmpd.conf にdiskの設定追加しなくても良い方法 (cacti、cloudforecastが使ってるのはこのoid) 使ってるのはこれ以下のoidツリー # snmptranslate .1.3.6.1.2.1.25.2 HOST-RESOURCES-MIB::hrStorageまず HOST-RESOURCES-MIB::hrStorageIndex でパーティションに対応するindex調べる # snmpwalk -v2c -c public localhost HOST-RESOURCES-MIB

(OS違ったけど詳細忘れた)現象が発生するサーバとしないサーバあったので、これだけが原因じゃないかも。とりあえず心に留めておく。 location /hoge/ { proxy_pass "http://example.com/"; } これは問題なく動いた。 proxy_pass先でurlまで指定すると location /hoge/ { proxy_pass "http://example.com/hoge/"; } "no resolver defined to resolve"というエラーで502 Bad Gatewayが出た。 (もちろんosの/etc/resolv.confにはdns server指定している) resolver でdns server指定したら動いた location /hoge/ { resolver 8.8.8.8; proxy_pass "http://

/var/log/maillog STARTTLS=client, error: connect failed=-1, SSL_error=1, errno=0, retry=-1 STARTTLS=client: 26136:error:14082174:SSL routines:SSL3_CHECK_CERT_AND_ALGORITHM:dh key too small:s3_clnt.c:3342: ruleset=tls_server, arg1=SOFTWARE, relay=tls.ng.example.com, reject=403 4.7.0 TLS handshake failed. 抜粋 dsn=4.0.0, stat=Deferred: 403 4.7.0 TLS handshake failed. https://access.redhat.com/solution

たぶん普通?は逆で、例えば 403 error時にproxy_passではなく localのerror_pageを見せたいというときは こう。 error_page 403 /403.html; proxy_intercept_errors on; 今回は、403 error時にbackendのapacheの特定のURLを見せたいという場合 named locationでいけた。 error_page 403 @error; proxy_intercept_errors on location @error { set $error_page "/index.jsp"; proxy_pass http://backend-tomcat$error_page; } proxy_passには直接urlを書くとsyntax errorになったので 一旦変数をかましている。 proxy_pass"

参考 https://en.wikibooks.org/wiki/OpenSSH/Cookbook/SFTP#Chrooted_SFTP-only_Accounts 設定があまり複雑でなくて、色々な落としどころ求めたらこうなった。 利用するのはopenssh。 opensshのMatch User(Group)とChrootDirectoryを使えばいいけど、 opensshの仕様により、ChrootDirectoryはroot権限でなければいけない。 方法1 他のuser directory名が見れてもいい 今わかっている限りではこれが良さげ。 sshd_config Match Group sftpuser ChrootDirectory /home ForceCommand internal-sftp -d %uinternal-sftp -d はCentOS 6.6 のopenss

http://lets-ubuntu.yui.at/tips/tips_hdparm.html http://www.unix.com/unix-advanced-expert-users/82566-does-sync-2-block-writes-until-completed.html http://www.thinkit.co.jp/cert/tech/23/5/4.htm /proc/meminfo dirtyバッファがメモリに対しての一定割合(vm.dirty_ratio)を越えると、 pdflushが動作してメモリの内容をディスクに書き込む。 書き込み中の値はwritebackの数字。 関連するパラメータ 値はデフォルト。 vm.swappiness = 60 vm.dirty_expire_centisecs = 2999 vm.dirty_writeback_centis

# openssl ocsp -index index.txt -CA cacert.pem -rsigner cacert.pem -rkey \ private/cakey.pem -port 2560 Enter pass phrase for private/cakey.pem: # cakey.pemのpassphrase を入力 Waiting for OCSP client connections... Invalid request Responder Error: malformedrequest (1)ただ、この状態でportscanなどをすると、opensslが以下のメッセージを出力して落ちてしまう。 Invalid request Responder Error: malformedrequest (1)openssl ocsp help にはなかったけど、-ign

1年ぶりにやったらど忘れしてる。 クライアント証明書発行 事前にプライベートCA作っておくこと 詳細は省略 /etc/pki/tls/misc/CA -newca クライアント証明書用 秘密鍵、CSR作成 /etc/pki/tls/misc/CA -newreq上で作ったファイルがあるディレクトリでCAで署名 /etc/pki/tls/misc/CA -sign配布用にPKCS#12ファイル作成 openssl pkcs12 -export -clcerts -inkey newkey.pem -in newcert.pem \ -certfile /etc/pki/CA/cacert.pem -out username.p12 証明書失効 openssl ca -revoke /path/to/newcert.pem openssl ca -gencrl -out /etc/pki/CA

http://www.atmarkit.co.jp/flinux/rensai/linuxtips/116man2txt.html manのマニュアル, scriptで取得したlogなどはエスケープシーケンスが含まれているため、 $ man man > man.txtとしても、余分な文字が含まれているためエディタで正常表示できない。colを使って余計なものを除けば完全なplain textになる。 $ man man | col -bx > man.txt

cybozuのパッケージインストールシェル見てて知った。でも自分で使う機会なさそう。 例えば何かソースを圧縮したtar.gz を埋め込んでおいて、シェルを実行したら、そのtar.gzを展開して何か操作をする。 source.sh この記述方法だとポイントはtailの行数。シェルスクリプトは9行で終わっているので、catで結合されるバイナリファイルは10行以降になるため、tail -n +10 $0 としている。 #!/bin/sh tail -n +10 $0 | tar zxf - ### tailでスクリプト末尾tar.gzを標準出力に出してtarで展開 ### その後 sourceの中をほげほげする処理を書く rm -rf source exit 0 $ cat source.sh source.tar.gz > hoge.sh

### クライアント証明書つかって接続 openssl s_client -connect host:port -cert cert.pem -key key.pem ### CAとクライアントの証明書があっているか openssl verify -purpose sslclient -CAfile cacert.pem clientcert.pem## 追記 curl の-E file.p12:password オプション使ったほうが楽なことに気づいたわ。 man curl 抜粋 -E, --cert <certificate[:password]> (SSL) Tells curl to use the specified client certificate file when getting a file with HTTPS, FTPS or another SSL-based

適当にやったらできたけどこんなんでいいのかわからない。。。 用途: 例えば開発環境用サーバにdockerをinstallしていて、社内のネットワークからコンテナ内に直接ssh したい場合など。 ちなみにdockerにはポートマッピングの機能があって、hostのX番に接続したらコンテナYのZ番に転送する、みたいなことが出来るがこのエントリはその話ではない。 準備 dockerホスト 192.168.0.1 コンテナのprivate network 172.17.0.0/16 docker の install iptables で外からコンテナのNWへのアクセスの際にNATする設定を追加 ログインしたい外部の端末 192.168.0.2 静的ルーティングを足しておく route add -net 172.17.0.0/16 gw 192.168.0.1 ホストサーバ # iptables -t

こんなトリッキーなことしないほうが良い気もするけど。 ソースIPの指定はif $remote_addr で正規表現で書いてもいいけど、複数あると煩雑になるのでgeo使ったほうが楽ですね。 気をつけないといけないのはifのの中などでproxy_passを指定する場合は URLの指定ができない(末尾に"/"つけてはいけない)ので設定を間違えるとエラーになること。 # nginx.conf http { # 略 geo $hoge { default 0; 192.0.1.1 1; 192.0.2.0/24 1; } include vhosts.conf; } # vhosts.conf server { server_name example.com; root /var/www/html; # 略 location /hoge/ { proxy_set_header X-Forwarded

諸事情でlogrotate を使わないでスクリプトで自前でローテートしたいときがたまにあって、でも自力で hoge.log をhoge.log.1(.gz)、hoge.log.1(.gz)をhoge.log.2(.gz) にリネーム、、、なんてことやってたんだけど面倒くさくてやだなーと思っていたら素敵モジュールあった。 Logfile::Rotate 使い方はsynopsysのままで十分いけますね。ローテートの前後で何か処理をしたいときはPre,Post にコールバック書いておく。 use Logfile::Rotate; my $log = new Logfile::Rotate( File => '/var/adm/syslog/syslog.log', Count => 7, Gzip => 'lib', Post => sub{ open(IN, "/var/run/syslog.

http://www.samba.gr.jp/project/translation/3.6/htmldocs/manpages-3/vfs_shadow_copy2.8.html http://d.hatena.ne.jp/hogem/20130122/1358862685 LVMやbtrfsのsnapshotを使わなくてもrsyncの--link-dest と組み合わせれば簡単にshadow copy 使えて、昔のファイルにも復元可能にできますね。 snapshotの作成 http://d.hatena.ne.jp/hogem/20130122/1358862685 sambaが利用するdefaultのsnapshotのディレクトリ名のformatは @GMT-%Y.%m.%d-%H.%M.%S $ DIR=$(TZ=GMT date +@GMT-%Y.%m.%d-%H.%M.%S)

自分が運用する環境では、うっかりrm、mv、cpでファイルを消さない/上書きしないようにbashのaliasの機能を使って"-i"オプションを有効にしています。 alias rm='rm -i' alias cp='cp -i' alias mv='mv -i'これはこれでいいんですが、このaliasはうっかりファイルリダイレクトの前には無力です。例えば圧縮されているログをパイプでごにょごにょした結果をリダイレクトして、テキストに出力したいとする。 # zcat hoge.gz | sed -e 's/hoge/fuga/g' | sort -k1 -n > output.txtこのとき寝ぼけて、zcat > hoge.gz などとやってしまうと地獄を見ます＞＜ なのでうっかりしても大丈夫なようにリダイレクトを禁止してしまおう。bashではset -C もしくはset -o noclobb

http://serverspec.org/ # gem install rake # gem install serverspec 使ってみた。 rspecを使って、サーバのファイル、ファイルの中身、listenしているportや、起動スクリプト(chkconfig の状況など)をテストできるブツ。ぱっと使って見たけど簡単で良さそうですね。 ちなみにperlのTest::System::Config を使っても似たようなことできるかも。 http://d.hatena.ne.jp/hogem/20120606/1338983238 謎 (解決済み) http://serverspec.org/resource_types.html#file ruby力なさすぎて、file のcontainがよくわからない。単純な文字列と比較する場合はOKだけど。。。 ここで/hogehoge/ のような

python製 構成管理ソフト https://github.com/ansible/ansible/ http://www.ansibleworks.com/docs/ chef(まともに使ったことないので良く知らないけど)は各nodeが管理サーバへアクセスする方式で、ansibleはサーバから各nodeへアクセスするpush方式。なので一部のmoduleを利用しない限り、各nodeへ何かをinstallする必要はない。管理サーバからsshでアクセスができれば良い。 ファイルをコピーする、コマンドを実行する、などの処理を定義しているものがmodule。 それらをまとめたものがplaybook。 まとめって書いているけど後半疲れてきてただ列挙しているだけなのであまりまとまってない。 (ほんとに初期設定の導入部分をかじった程度だけど)chefの仕組みは理解し辛かったけのに対して、ansibl

https://www.varnish-cache.org/lists/pipermail/varnish-misc/2011-March/020169.html これも同じような感じ？ backendの設定とbackendに投げる設定のvclはこんな感じ(抜粋) backend probe healthcheck { .url = "/index.html"; .interval = 30s; .timeout = 10s; .threshold = 3; .window = 3; .expected_response = 200; } backend apache1 { .host = "192.168.0.1"; .port = "80"; .probe = healthcheck; .connect_timeout = 60s; .first_byte_timeout = 60s;

man lvm man lvextend man lvreduce man resize2fs あんましlvm使わないので勉強。実験した環境 VG Name vg_hoge LV Name lv_home LV Size 400.00 GiB device /dev/vg_hoge/lv_home ext4(ext3も?)拡大はオンライン(マウントしたまま)で変更可能。縮小はアンマウントが必要。 準備 色々確認しておく # tune2fs -l /dev/vg_hoge/lv_home # vgs # lvs # lvdisplay # df -h 縮小する (lvreduce) 400Gから300Gに変更。順番としては、まずファイルシステム上でサイズを変更してから、パーティションのサイズを変更する。 1. umount する # umount /home 2. fsckする これをせずに

最近忙しかったり、怠けてたり、ネタがなかったりで気がついたら4月何も書いてなかったのでせめて小ネタでも書く。 ext3などのファイルシステムによっては1ディレクトリ中のファイルが10万単位になると、lsを実行した際の応答が遅くなる。これはファイルの結果を名前順にsortしているから。というわけで"-f" オプションを付ければsortされないので、結果が早く帰ってくる。場合によってはls -f してからパイプでsortするほうが早くなるかも。 man ls -f ディレクトリの中身をソートせず、ディスク上にある順番にリスト表示する。このオプションは -a も有効にする。 -f より前に -l, --color, -s が指定された場合、それらのオプションは無効になる。 とはいえ、一度lsを実行したらキャッシュに載って次回以降早くなるのであまり気にしないでも良いかもしれないし、そもそも1ディレ

タイトルのまま。 ext4 でdistributed volume 作ると、まともに使えなくて困っていた。(stripe だと問題なし) サーバ # mkfs.ext4 /dev/vdb1 # mount /dev/vdb1 /data # gluster volume create vol1 gf01:/data/vol1 gf01:/data/vol1 gf03:/data/vol1 # gluster volume start vol1 このvolumeをクライアントからgluster nativeでmountして、適当なサブディレクトリを作成すると、lsで応答がなくて困ってた。 (strace ls するとgetdents が出続ける) https://gist.github.com/hogem/4043772 xfs に変えた理由 パッとドキュメント見ても、ext4 ではダメ、と

LVMを使っていない場合はrescueモードで起動したあとに # mount /dev/sda1 /mnt/sysimageなどとするだけで良いけど、lvmを使っているとそのままではパーティションが見えないのでmount出来ない。 rescue モード起動時にはlvmパーティション領域が有効になってないので、有効にしてからmountする。 パーティション確認 # fdisk -l /dev/vda Disk /dev/vda: 31.5 GB, 31457280000 bytes 16 heads, 63 sectors/track, 60952 cylinders Units = cylinders of 1008 * 512 = 516096 bytes Sector size (logical/physical): 512 bytes / 512 bytes I/O size (mi

http://wiki.nginx.org/LikeApache http://wiki.nginx.org/HttpProxyModule#proxy_redirect proxy_redirect apacheのProxyPassRervese のようなことをする設定。defaultの設定は proxy_redirect default;で、これはLocationヘッダのHostとportの書き換えまででやってくれる。 apacehだとproxypassするときに ProxyPass / http://myapp:8080/ ProxyPassReverse / http://myapp:8080/とセットでProxyPassReverseを書かないとダメだけど、nginxはdefaultの設定でここまでしてくれるのでproxypassだけで良い。 proxypass http://m

ということを知った。iphoneの仕様？ iphoneからアクセスして、realサーバでは動画の再生が出来るけど、とあるキャッシュサーバでは動画の再生ができないことがあった。tcpdump/ngrepでpacket captureしてみるとキャッシュサーバのレスポンスヘッダから"Accept-Range: bytes"が欠けていた。(これはこのキャッシュサーバの仕様でRangeリクエストに対応していないから) iphoneのリクエストヘッダを見ていると、動画再生時にまず"Range: bytes=0-1" を送って、Rangeリクエストに対応しているかチェックしている様子。そのときに"206 Partial Content" が返ってこない場合、Rangeリクエストに対応していないと判断して、動画の再生を諦めるっぽ。