четверг, 16 ноября 2017 г.

%global _hardened_build 1

У некоторых пакетов можно встретить такое
%global _hardened_build 1

Описание есть тут
https://fedoraproject.org/wiki/Changes/Harden_All_Packages

Currently, the Packaging Guidelines allow maintainers to decide whether their packages use position-independent code (PIC). There are rules that say that a lot of packages should use PIC, but in reality a lot of packages do not use PIC even if they must. Also since a lot of packages if not all potentially process untrusted input, it makes sense for these packages to use PIC to enhance the security of Fedora. Therefore I propose to build all packages with PIC by changing RPM to use the appropriate flags by default.

rpmbuild и дополнительные опции

Есть такая интересная штука
http://rpm.org/user_doc/conditional_builds.html
используется так:
$ rpmbuild -ba newpackage.spec --with gnutls --without openssl
и дальше проверять так
%if %{with gnutls} BuildRequires: gnutls-devel %endif %if %{with openssl} BuildRequires: openssl-devel %endif

Также для работы в начале .spec файла можно вписать (как предустановленные значения)
%bcond_with gnutls

Но тут есть нюанс: то, что вписано в .spec, имеет противоположное значение! Объяснение есть например тут

вторник, 14 ноября 2017 г.

keepalived и snmp

keepalived+snmp
Поскольку у keepalived нет штатного метода снятия ряда метрик (включая текущий статус), имеет смысл подключить snmp.

среда, 8 ноября 2017 г.

bup - backup system based on git

Very efficient backup system based on the git packfile format, providing fast incremental saves and global deduplication (among and within files, including virtual machine images).

https://github.com/bup/bup

В центоси легче всего поставить так:
1) либы
yum install python python-devel
yum install fuse-python pyxattr pylibacl
yum install perl-Time-HiRes

2) скачать сам пакет
http://dl.fedoraproject.org/pub/fedora/linux/releases/26/Everything/x86_64/os/Packages/b/bup-0.29-2.fc26.x86_64.rpm

3) rpm -Uvh bup*

4) используем.
Initialize the default BUP_DIR (~/.bup):
 bup init

Make a local backup (-v or -vv will increase the verbosity):
 bup index /etc
 bup save -n local-etc /etc

Restore a local backup to ./dest:
 bup restore -C ./dest local-etc/latest/etc
 ls -l dest/etc

Для пропуска некоторых файлов у index есть опции
--exclude
--exclude-from

Чтобы указать рабочий каталог отличный от ~/.bup, можно сделать так
export BUP_DIR=/backup/bup/...

четверг, 26 октября 2017 г.

How to calculate system memory usage from /proc/meminfo (like htop)

https://stackoverflow.com/questions/41224738/how-to-calculate-system-memory-usage-from-proc-meminfo-like-htop

These are the calculations I make to get the numbers for the green, blue and yellow bars in the memory meter:
  • Total used memory = MemTotal - MemFree
  • Non cache/buffer memory (green) = Total used memory - (Buffers + Cached memory)
  • Buffers (blue) = Buffers
  • Cached memory (yellow) = Cached + SReclaimable - Shmem
  • Swap = SwapTotal - SwapFree
In the htop source code: linux/LinuxProcessList.c and linux/Platform.c.

воскресенье, 6 августа 2017 г.

freebsd и raid контроллеры lsi

Для старых версий, где используется драйвер mfi, не так просто получить smart с дисков. И если в линуксе есть -d megaraid,0 - тут это не работает. Но легко делается через /dev/passX, просто сказав kldload mfip и потом smartctl -a /dev/pass0 например.


https://www.smartmontools.org/wiki/Supported_RAID-Controllers

четверг, 13 апреля 2017 г.

ping: socket: Address family not supported by protocol

# ping 8.8.8.8
ping: socket: Address family not supported by protocol
# ping 127.0.0.1
ping: socket: Address family not supported by protocol
# ping -4 127.0.0.1
ping: socket: Address family not supported by protocol

Проблема может возникать с OpenVZ виртуалками после обновления пакета iputils. В частности, с ядром 2.6.32-042stab113.21

среда, 5 апреля 2017 г.

Смотрим причины D+ статуса

Возникла ситуация, что yum update встал в режим D+ (uninterruptable sleep). Просто прибить такой процесс не получится:
http://unix.stackexchange.com/questions/5642/what-if-kill-9-does-not-work

 Понять происходящее помогла статья
http://blog.tanelpoder.com/2013/02/21/peeking-into-linux-kernel-land-using-proc-filesystem-for-quickndirty-troubleshooting/

В любом случае, обычно это значит "нужен hard reboot", желательно с контролем ipmi - если /proc/(pid)/wchan типа writeback_inodes_sb_nr_ub - система штатно не перезагрузится.
Можно попробовать перезапустить диск, если он в массиве, допускающем такое (зеркало, 5, 6,...), примерно так
echo 1 > /sys/block/sr1/delete
echo "- - -" > /sys/class/scsi_host/host7/scan
тут все пути будут отличаться, это что примерно нужно
но если массив такое не позволяет - после отключения диска система "встанет".

четверг, 30 марта 2017 г.

systemd: rsyslog больше не пишет логи

Очень подробно проблема описана тут
http://unix.stackexchange.com/questions/124942/rsyslog-not-logging

Также может быть связано с /var/log/journal, повреждением записей или удалением этого каталога. Права выглядят примерно так
drwxr-sr-x  3 root     systemd-journal
Вроде можно просто создать /var/log/journal и при перезапуске сервера/journal сервисов права выставит как надо.
Также иногда нужно закомментировать $OmitLocalLogging on в rsyslog.conf

И быстрый фикс:
rm -f /var/lib/rsyslog/imjournal.state
service rsyslog restart

вторник, 14 марта 2017 г.

centos 7: заставляем работать почту

Есть сервер, с которого не уходит почта, ошибка выглядит так
send-mail: Cannot open mail:25

После активации rsyslog (service rsyslog start) в логе /var/log/maillog видим
sSMTP[30209]: Unable to locate mail
sSMTP[30209]: Cannot open mail:25

И видим виновника, это ssmtp. Какой-то стрёмный сервер, не умеющий быть полноценным MTA даже на отправку. 
Поставим postfix
yum -y install postfix
systemctl enable postfix
systemctl start postfix
Но для работы этого недостаточно. Смотрим, кто сейчас mta
alternatives --display mta
Видим снова ssmtp. Можно переключить мта на postfix, а можно просто yum -y erase ssmtp и всё начнёт ходить, переключать mta не нужно.
Ну и убедимся, что стоит mailx
yum install -y mailx


вторник, 28 февраля 2017 г.

rsyslog и шаблоны

Иногда нужен особый формат лога, и тут помогают шаблоны.
Писать их можно прямо в отдельном конфиге, например rsyslog.d/ourService.conf:
$template Short,"%timegenerated% serviceName[%PROCID%] %msg%\n"

local0.*                                                -/var/log/service.log;Short

четверг, 16 февраля 2017 г.

rsyslog: писать лог только в 1 файл, не трогая rsyslog.conf

Допустим, есть сервис, который мы хотим писать через syslog в отдельный файл, уровень local2, но чтобы он не засорял /var/log/syslog|/var/log/messages. Создадим /etc/rsyslog.d/sea с текстом local2.* /var/log/sea.log

2 варианта:
1) дописываем в любое место нашего файла
local2.none /var/log/messages
local2.none /var/log/syslog

2) дописываем сразу после правила
&~
(означает - если записали в этот файл, то дальше заканчиваем обработку строки, & это И, ~ это discard). Правил может быть несколько в файле, поэтому ставим именно после тех, где заканчиваем обработку строки.

UP
В свежих версиях в логе можно увидеть
rsyslogd-2307: warning: ~ action is deprecated, consider using the 'stop' statement instead [try http://www.rsyslog.com/e/2307 ]
Правда, по ссылке нет примеров применения и описания. Выглядеть это будет примерно так:
& stop
Но могут быть проблемы.

вторник, 14 февраля 2017 г.

Методы замены MAC-адреса

Временная смена


1) ifconfig
/etc/init.d/networking stop
ifconfig eth0 hw ether xx:xx:xx:xx:xx:xx
/etc/init.d/networking start

(как вариант, ifconfig down eth0, ... ifconfig up eth0)

2) ip link
(stop)
ip link set eth0 address xx:xx:xx:xx:xx:xx
(start)

3) macchanger
полностью случайный новый мак
macchanger -r eth0
с сохранением принадлежности к вендору
macchanger -e eth0

4) iptables
Не совсем понятна применимость, через nat. Третий линк.

Постоянная смена

1) через средства системы
centos:
/etc/sysconfig/network-scripts/ifcfg-ethN
MACADDR=...

debian и форки
/etc/network/interfaces
hwaddress ether ...

2) systemd-networkd
/etc/systemd/network/00-default.link
[Match]
MACAddress=постоянный MAC

[Link]
MACAddress=новый MAC
NamePolicy=kernel database onboard slot path

3) systemd-udevd
/etc/udev/rules.d/75-mac-spoof.rules
ACTION=="add", SUBSYSTEM=="net", ATTR{address}=="02:03:09:xx:xx:xx", RUN+="/usr/bin/ip link set dev %k address c8:0a:a9:xx:xx:xx"

4) юнит systemd
см первый линк, там варианты сервис файла, дёргающие ip link или macchanger

Линки

https://wiki.archlinux.org/index.php/MAC_address_spoofing_(%D0%A0%D1%83%D1%81%D1%81%D0%BA%D0%B8%D0%B9)
https://en.wikibooks.org/wiki/Changing_Your_MAC_Address/Linux
http://sandilands.info/sgordon/address-spoofing-with-iptables-in-linux

вторник, 31 января 2017 г.

systemd: больше информации по service файлам

По опциям для .service файлов даже гугл выдаёт совсем не то, что просят. В частности, почти нереально сделать запрос так, чтобы найти аналог того же locked memory (-l), но без ulimit.
И вот она, табличка:
Table 1. Resource limit directives, their equivalent ulimit shell commands and the unit used
Directiveulimit equivalentUnit
LimitCPU=ulimit -tSeconds
LimitFSIZE=ulimit -fBytes
LimitDATA=ulimit -dBytes
LimitSTACK=ulimit -sBytes
LimitCORE=ulimit -cBytes
LimitRSS=ulimit -mBytes
LimitNOFILE=ulimit -nNumber of File Descriptors
LimitAS=ulimit -vBytes
LimitNPROC=ulimit -uNumber of Processes
LimitMEMLOCK=ulimit -lBytes
LimitLOCKS=ulimit -xNumber of Locks
LimitSIGPENDING=ulimit -iNumber of Queued Signals
LimitMSGQUEUE=ulimit -qBytes
LimitNICE=ulimit -eNice Level
LimitRTPRIO=ulimit -rRealtime Priority
LimitRTTIME=No equivalentMicroseconds
отсюда: https://www.freedesktop.org/software/systemd/man/systemd.exec.html

Выбираем, ставим. Размерности тоже принимаются. Для бесконечности ставим infinity
Также в помощь man systemd.directives

вторник, 24 января 2017 г.

CentOS: requests и как всегда древний софт

Суть в том, что в центоси весь софт древний как говно мамонта, и как итог - в том числе проблемы с LetsEncrypt сертификатами.
Для частичного решения данной проблемы есть пакет
https://pypi.python.org/pypi/certifi

Certifi is a carefully curated collection of Root Certificates for validating the trustworthiness of SSL certificates while verifying the identity of TLS hosts. It has been extracted from the Requests project.

Можно ставить через pip, но любителям делать всё централизованно - стоит найти .src.rpm и обновлять для себя. Пример - тут
https://packages.temboard.io/yum/srpms/rhel7/python-certifi-2016.2.28-1.el7.centos.src.rpm