Сообщения imsystem

Форум — Admin

LVM

Здравствуйте. Недавно начал познавать LVM.

Решил посмотреть как оно выглядит из коробки в debian. И получилось как: Создаётся extended раздел /dev/sda2 В нём лежит linux lvm раздел /dev/sda5

/dev/sda1 не беру, т.к. там системные директории.

Объясните мне, пожалуйста, почему в данном случае lvm создаётся на разделе, который внутри другого?

imsystem
(13.07.18 16:33:19 MSK)

15 комментариев

Форум — Admin

bridge между двумя vlan

bridge, bridge-utils, debian

Здравствуйте. Есть тачка с двумя eth: eth1 eth2

eth1 для связи с vlan1: 192.18.1.0/24 имеет адрес 192.18.1.10
eth2 для связи с vlan2: 192.18.2.0/24 имеет адрес 192.18.2.20

Нужно vlan1 и vlan2 объединить через мост или есть другой вариант (помимо правил в iptables)?

Настройки interfaces:

auto eth1
allow-hotplug eth1
iface eth1 inet static
  address 192.18.2.10/24

auto eth2
allow-hotplug eth2
iface eth2 inet static
  address 192.18.1.20/24

Далее смотрю https://wiki.debian.org/BridgeNetworkConnections И делаю всё как там написано за исключением:

 # Set up interfaces manually, avoiding conflicts with, e.g., network manager
 iface eth0 inet manual

 iface eth1 inet manual

Т.к. как я тогда на этих интерфейсах буду иметь нужные адреса не понимаю. И соотвественно, видимо из-за этого, ничего не работает. При подъёме моста br0 тачка не видит обе сетки.

В одной из тем в гугле проскакивало сообщение вроде «интерфейс eth не должен иметь адреса», но тогда опять вопрос - а если он мне нужен, что делать.

imsystem
(05.04.18 13:58:08 MSK)

30 комментариев

Форум — Admin

OpenVPN

debian, openvpn

Доброго времени суток. Собственно всё настроено, всё отлично работает, но ! всё работает если прописать

openvpn --configure /etc/openvpn/server.conf

и после этого, пока не вырублю (ctrl+c), ничего на серваке делать не могу. Если же просто сделать service openvpn start, то сервак запускается, но интерфейс tun0 не поднимается, в логах ничего не пишется и соответственно ничего не работает. Подскажите дураку, я явно чего-то не понимаю. Есть мысля, что просто конфиг не подхватывается. Почему я уверен, что в первом случае tun0 поднимается - правила в iptables завязаны на -i tun0, без них не работает соответственно.

imsystem
(18.01.18 17:13:02 MSK)

4 комментария

Форум — Admin

Обновить debian, ядро, nginx

debian, nginx, update

Здравствуйте, имеется сервер раздачи картинок/видео.

Linux storage 3.16.0-4-amd64 #1 SMP Debian 3.16.36-1+deb8u1 (2016-09-03) x86_64 GNU/Linux
Debian 8.6 - jessie
nginx version: nginx/1.6.2

Хочу реализовать h2 протокол на nginx, т.е. нужно обновить nginx.

1. Коль обновляю одно, то стоит ли обновить и остальное?

2. Как обновлять? :D

/etc/apt/source.list

deb http://mirror.mephi.ru/debian/ stretch main
deb-src http://mirror.mephi.ru/debian/ stretch main

deb http://security.debian.org/debian-security stretch/updates main
deb-src http://security.debian.org/debian-security stretch/updates main

deb http://mirror.mephi.ru/debian/ stretch-updates main
deb-src http://mirror.mephi.ru/debian/ stretch-updates main

deb http://nginx.org/packages/debian/ stretch nginx
deb-src http://nginx.org/packages/debian/ stretch nginx

apt-get update
apt-get upgrade

Это обновится nginx и debian, а как обновить ядро?

3. Как обновиться наиболее безопасно (варианты новый сервер, бэкапы не подходят, т.к. файлов на несколько тб)

imsystem
(20.12.17 14:37:30 MSK)

5 комментариев

Форум — Admin

nginx reverse proxy + iptables

debian, iptables, nginx

Здравствуйте. Есть две тачки А и Б, сидят они в одной локальной сети, обе смотрят в интернет. Т.е. на каждой по 2 сетевых интерфейса.

А
eth0 ии.ии.10.10
eth1 лл.лл.лл.111

где ии. лл. ip интернет и локал

Б
eth0 ии.ии.20.20
eth1 лл.лл.лл.222

шлюзы на тачках .10.1 и .20.1 соответственно

Сейчас реализована схема проброса пакетов через FORWARD в iptables, соответственно nginx не участвует. Кому интересно, схемка

## RESET table nat and filter (deafult)
/sbin/iptables -t nat -F
/sbin/iptables -F
/sbin/iptables -X

## ACCEPT
# allow eth1 lan
/sbin/iptables -A INPUT -i eth1 -j ACCEPT
# allow eth0 internet
/sbin/iptables -A INPUT -i eth0 -p icmp -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m conntrack --ctstate NEW -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j DROP
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# allow loopback
/sbin/iptables -A INPUT -i lo -j ACCEPT
# allow http, https, ssh, any interface
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 443 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 8185 -j ACCEPT


# Пакеты с нужного адреса заворачиваем на компьютер
/sbin/iptables -t nat -A PREROUTING -p tcp ! --dport 22 -d ии.ии.10.10 -i eth0 \
-j DNAT --to-destination лл.лл.лл.222

# Получаем интернет в локалке
/sbin/iptables -t nat -A POSTROUTING -s лл.лл.1.0/24 -o eth0 \
-j SNAT --to-source ии.ии.10.10

# Меняем адрес источника на локальный
/sbin/iptables -t nat -A POSTROUTING -d лл.лл.лл.222 -p tcp \
-m tcp  -j SNAT --to-source лл.лл.лл.111

# Разрешаем соединение для новых, прошедших проверку, пакетов
/sbin/iptables -A FORWARD -p tcp -m conntrack --ctstate NEW \
-m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j DROP
/sbin/iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

# Разрешаем протоколы для FORWARD
/sbin/iptables -A FORWARD -p tcp -m tcp --dport 8185  -j ACCEPT
/sbin/iptables -A FORWARD -p tcp -m tcp --dport 443 -j ACCEPT
/sbin/iptables -A FORWARD -p tcp -m tcp --dport 80 -j ACCEPT

# Установки по умолчанию
/sbin/iptables -P INPUT DROP
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P FORWARD DROP

Задумка такая: Пользователь из интернета > site.com > тачка A > iptables+nginx > тачка Б

по умолчанию, не работает

## RESET table nat and filter (deafult)
/sbin/iptables -t nat -F
/sbin/iptables -F
/sbin/iptables -X

## ACCEPT
# allow eth1 lan
/sbin/iptables -A INPUT -i eth1 -j ACCEPT
# allow eth0 internet
/sbin/iptables -A INPUT -i eth0 -p icmp -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m conntrack --ctstate NEW -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j DROP
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# allow loopback
/sbin/iptables -A INPUT -i lo -j ACCEPT
# allow http, https, ssh, any interface
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 443 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 8185 -j ACCEPT

Также пробовал добавлять строчку

/sbin/iptables -t nat -A PREROUTING -p tcp ! --dport 22 -d ии.ии.10.10 -i eth0 \
-j DNAT --to-destination лл.лл.лл.222

Конфиг nginx:

upstream backend {
		server лл.лл.лл.222:443;
}

    ## HTTP > HTTPS
server {

		listen 80;

		server_name site.com;
		#return 301 https://$server_name$request_uri;
		return 301 https://site.com;

		access_log /var/log/nginx/site_access.log;
		error_log /var/log/nginx/site_error.log;
}

server {

		listen 443 ssl;

        server_name site.com;

    ## SSL
	ssl_certificate			/etc/nginx/crt/site.com.crt;
	ssl_certificate_key		/etc/nginx/crt/site.com.key;
	ssl_session_cache		shared:SSL:10m;
        ssl_session_timeout		10m;
        ssl_verify_client		off;
        ssl_protocols			TLSv1.2;
        ssl_ciphers			RC4:HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;

        location / {

    ## backend site
			proxy_pass https://backend;

    ## тут пробовал играться
#		    proxy_redirect<---->off;
#		    proxy_set_header<-->Host<-->		site.com;
#		    proxy_set_header<-->X-Real-IP<----->$remote_addr;
#		    proxy_set_header<-->X-Forwared-For<>$proxy_add_x_forwarded_for;
#		    proxy_ssl_session_reuse off;
		}

    ## LOGS
        access_log /var/log/nginx/site_ssl_access.log;
        error_log /var/log/nginx/site_ssl_error.log error;
}

imsystem
(07.11.17 13:10:59 MSK)

1 комментарий

Форум — Admin

IIS за nginx

dns, iis, nginx, ssl

Здравствуйте. Собственно хочу спрятать IIS с сайтами за nginx и есть несколько вопросов.

1. Глупый вопрос, но хочу убедиться. Правильно ли я понимаю, что когда я настроил сервер с nginx, то в настройках днс должен указать его адрес? И сколько времени надо будет ждать, 72 часа?

2. Есть какая-то документация, чтоб проверить себя, правильно ли всё настроил?

upd Ещё один вопрос.

3. Все поддомены тоже улетят за nginx, можно ли как-то пока прозрачно настроить - т.е. просто редирект на iis. Так пойдёт?

server {
   listen 80;
   server_name local.mysite.com;
   location / {
      proxy_pass http://123.123.123.123:80;
   }
}

Или надо сертификат ssl прописывать. Если да, то ещё вопрос.

4. Для каждого поддомена нужен свой сертификат или сойдёт один для основного?

imsystem
(26.10.17 11:33:09 MSK)

3 комментария

Форум — Admin

nginx reload error

nginx

Доброго времени суток. При попытке reaload конфига nginx, вылетают ошибки.

/etc/nginx/nginx.conf reload
/etc/nginx/nginx.conf: line 2: user: command not found
/etc/nginx/nginx.conf: line 3: worker_processes: command not found
/etc/nginx/nginx.conf: line 12: events: command not found
/etc/nginx/nginx.conf: line 13: worker_connections: command not found
/etc/nginx/nginx.conf: line 14: syntax error near unexpected token `}'
/etc/nginx/nginx.conf: line 14: `}'

#ругается соответственно на эти строчки

user  www-data;
worker_processes  4;

#error_log  logs/error.log;
#error_log  logs/error.log  notice;
#error_log  logs/error.log  info;

#pid        logs/nginx.pid;


events {
    worker_connections  4096;
}

Смотрел документацию - всё допустимо, знает кто в чём проблема?

imsystem
(24.10.17 23:28:27 MSK)

4 комментария

Форум — Admin

redirect http -> https

http, https, redirect

Доброго времени суток. Редирект настроен, но не очень понятен один момент. Если я принудительно ввожу ссылку http://mysite.com, то в итоге прихожу на сайт http и соотвественно сертификат ssl не получаю. Если ввожу просто mysite.com, то всё ок. Добавлю, что сайт на чистом nginx.

server {
listen 80;
server_name mysite.com;
return 301 https://mysite.com/;

#так же пробовал такие записи и честно говоря разницы не понял

return 301 https://$server_name$request_uri;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl;
server_name mysite.com;
...
}

Так и должно быть?

imsystem
(22.10.17 23:35:27 MSK)

13 комментариев

RSS подписка на новые темы