Наверное этот микро-пост нужно было написать ещё лет 5 тому назад, когда я первый дедик брал ...

Итак — после анализа логов на серваке зашевелились волосы от ужаса — постоянные попытки взлома по ssh,  по ftp дрюкают — даже пару раз DDOS из за FTP ложил сервер ... в общем мало приятного.

И всё это на фоне предыдущих моих статей по защите сайта от взлома

• Защита сайта от взлома. Продолжение. Июнь 20th, 2010 (17)
• Защита сайта от взлома Июнь 7th, 2010 (18)

Сначала пробовал настройками ProFTPD ограничить ftp доступ ... но всё же пришел к выводу обязательно врубать фаервол и ограничивать доступ по конкретным айпишникам, либо подсеткам именно на уровне фаервола (так и быстрее и более функционально — защищаем и ssh и др.)  И это первое с чего нужно начать строить оборону сервера!

Дома приплатил за белый статический IP, на работе они уже были — собственно других мест выхода в сеть у меня больше и нету. У коллег под серверу такая же история — соответственно кому давать доступ а кого отрубать — понятно, осталось дело за малым  — врубить и настроить фаервол ...

Не являясь гуру в FreeBSD (именно она рулит на моём дедике) начал разборки с местными фаерволами и тут свершилось одно из давних моих опасений — для статического включения фаервола необходимо было пересобрать ядро.

Перекомпиляция ядра системы — для меня уже давненько звучит ну очень страшно и даже понимая, что сделать это придётся рано или поздно — всё сдвигал сроки, заменяя какими то другими делами, пока не припёрло.

В итоге всё оказалось не так сложно и не так страшно — и ... что удивительно получилось с первого раза — как перекомпиляция ядра, так и настройка фаервола (единственный косяк — ещё на стадии «знакомства» с ipfd — это я динамически подгрузил модуль ipfw  kldload ipfw в режиме политики по умолчанию запрещено всё всем

Кстати пересборка ядра не только дала мне необходимую опцию — фаервол, которая уже сразу не хило разгрузила сервак избавлением от обработки левых поползновений ! Но так же плюс ко всему данная операция значительно разгрузило всю систему от ненужных драйверов и опций. Так изначально моё ядро GENERIC amd64  тянуло аж на 208 мб — после оптимизации осталось всего 33 ! Так что пересборку ядра смело можно включать в цикл заметок по вычислению и снижению нагрузки на сервер

Ну и как ведётся в правильных статьях — используемая литература, а именно материал, помогший мне в сием действе:

1. FreeBSD в качестве сервера доступа. 3 части.
2. Пересборка ядра FreeBSD
3. IPFW HOWTO

В постовой сегодня у меня одна кандидатура — Раскручиваем блог вместе от seokursi.info

ReTweet

Мой друг, не плохой программист в былое время, потихоньку организовывает свой бизнес ... для этих целей своими руками поднял интернет-магазин на базе Joomla + VirtueMart.
С хостингов его довольно быстро «попросили» по причине сильной нагрузки на железо, пришлось пригласить перенести сайтик на свой дедик ... Тут собственно и начались те-же проблемы...

В общем стал мой сервак регулярно «ложится», да так, что даже по ssh хрен достучишся — так как на дедике кроме магазина была ещё куча других сайтов — виновника определить оказалось не просто — помог server-status, подробнее тут  apache (httpd) — вычисление нагрузки по конкретным хостам (vhosts).

Далее с целью оптимизации сервера, фронт-эндом был установлен быстрый сервер nginx, подробнее в статейке nginx — быстрая и эффективная оптимизация сервера Что значительно снизило нагрузку, но в целом не решило проблему — время от времени зависоны в пиковую нагрузку повторялись...

Собственно проблема так до сих пор не решена, поэтому думаю решая этот глобальный вопрос, опубликовать небольшой цикл постов. Вот приблизительный список проблем, по которым запланирован «разбор полётов» и конечно же пост:

* Большая нагрузка MySQL — методы выявление «виновника», оптимизация.

* Оптимизация httpd  (потребляемые ресурсы, время выполнения).

* Отказ от Apache (переход на nginx с поддержкой php при помощи FastCGI)

* Критическая загрузка сервера — как не допустить (ограничение на запуск новых процессов при сильной загрузке).

* Создание отказоустойчивой системы — распределение нагрузки по нескольким серверам.

<Постовой>
Вам интересен вопрос: как заработать в интернете? Тогда добро пожаловать на блог о онлайн заработке
</Постовой>

ReTweet

Постик не совсем про заработок в интернете, но о наболевшем — думаю многим пригодиться

Не так давно пришлось восстанавливать систему на компьютере. Всё как обычно — установочный диск с виндой от ALEXISa, загрузка с CD-ROM и вперед. После установки дрова на чипсет не накатились, но это вообще пустяк. Скачиваю дрова с сайта производителя, скидываю на флэшак Transcend 32 GB и вставляю её в компьютер и опять не задача: не работает USB на передней панели. Хорошо, вставляю сзади непосредственно в материнскую плату и там она не работает. Флэшка перестала определяться, моргать и не горит индикатор. Как оказалось нет больше у меня рабочей флэшки на 32 гига !!! Всему вина — неправильное подключение USB разъема на переднюю панель (переполюсовка).

Немного расстроившись погуглил по интернету и нашел несколько статеек по восстановлению флэшек, информацией из которых и решил воспользоваться в благих целях

Итак начнем восстановление моего Transcenda 32 GB JF V60.

1. Вскрываем флэшку обычным кухонным ножом. Здесь надо приложить небольшое усилие, чтобы отсоединить корпус — наблюдаем на плате несколько микросхем — одна из них контроллер, другие — непосредственно чипы памяти.
2. Берем цифровой мультиметр и начинаем прозванивать питание на контролере AU6986 на 13 и 14 ноге. На 13 ноге должно быть 5 вольт, а на 14 — 3,3 вольта  соответственно. В нашем случае мы наблюдаем на 13 ноге 0,9 вольта, а на 14 — 0,72 вольта. Даташит контроллера для наглядности можно скачать здесь

   

3. Раскинув мозгами понимаем, что сгорел резистор, но какой? На самом деле их не много, в нашем случае это R9 (он даже подписан на плате) номиналом 1 Ом. Вычислить его очень просто: переключаем мультиметр на прозвон КЗ и одним проводом встаем на контакт флэшки +5V, а вторым концом тыкаем по резисторам и ищем где будет короткое замыкание. Чтобы убедиться, что найден нужный резистор необходимо прозвонить оставшуюся часть схемы. Для этого встаем мультиметром на второй контакт найденного резистора и прозваниваем 13 ногу контроллера — получам КЗ и значит мы на правильном пути.
4. Самый простой способ закоротить этот резистор и быстро скачать всю инфу, но оставлять перемычку не рекомендую т.к. резистор нужен для того, чтобы в случае переполюсовки сгорел именно он, а не контроллер.

Внимание! Прозвонку платы необходимо производить при отключенной флэшки от USB разъема.

P.S. Взял для себя правило: в чужие компьютеры вставлять флэшку только непосредственно в USB, которое расположено на материнке т.е. сзади.

ReTweet

Немного подробнее о переезде и текущих проблемах:

Сначала о насущном — проблемы с серваком

Уже гуглить руки устали, ничего не нашел и сам придумать не могу — грешу на «железо», сапорт сегодня ночью отрубит часов на 5 сервер — будут память тестить...  (добавил позже — уроды обещали 5−6 часов, а вывели сервак в офлайн на 16 часов !!!)

Может кто чего подскажет:

В логах /var/log/message проблемы от процесса httpd, вот кусочек:

Apr 10 21:51:26 km32712 suhosin[4545]: ALERT - canary mismatch on  efree() - heap overflow detected (attacker '89.178.136.25', file  '/var/vhosts/.......ru/httpdocs/index.php')
Apr 10 21:53:02 km32712 kernel: pid 4678 (httpd), uid 80: exited on  signal 10
Apr 10 21:55:36 km32712 kernel: pid 4079 (httpd), uid 80: exited on  signal 11

постоянные ошибки в самом логе сервиса httpd tail -f /var/log/httpd-error.log

[Sun Apr 11 04:24:39 2010] [notice] child pid 6569 exit signal Bus error  (10)
[Sun Apr 11 04:26:57 2010] [notice] child pid 6565 exit signal Bus error  (10)
[Sun Apr 11 08:32:18 2010] [warn] Init: Session Cache is not configured  [hint: SSLSessionCache]
[Sun Apr 11 08:32:20 2010] [notice] Digest: generating secret for digest  authentication ...
[Sun Apr 11 08:32:20 2010] [notice] Digest: done
[Sun Apr 11 08:32:21 2010] [notice] Apache/2.2.14 (FreeBSD)  mod_ssl/2.2.14 OpenSSL/0.9.8k DAV/2 PHP/5.2.12 with Suhosin-Patch  configured -- resuming normal operations
[Sun Apr 11 08:36:13 2010] [notice] child pid 903 exit signal Bus error  (10)
[Sun Apr 11 08:45:50 2010] [notice] child pid 927 exit signal  Segmentation fault (11)
[Sun Apr 11 08:46:13 2010] [notice] child pid 902 exit signal  Segmentation fault (11)

Уже и порты все обновил, ядро, PHP и апач заново пересобрал — в php модули лишние отрубил — и нифига

Сервак встаёт «наглухо» — даже пинги не идут — только ребут и спасает.

Уже решил PHP как CGI ставить, а не как модуль апача — на этапе компилирования php5-fpm сервак снова повис — поэтому я все же сделал вывод, что проблемы из за железа.

Компилятор, перед тем как сервер повис, вываливался на разных местах с разными ошибками

internal compiler error: Segmentation fault: 11
internal compiler error: Bus error: 10
internal compiler error: Internal consistency failure

Хотя может и в памяти из-за проблем с httpd уже такой «мусор» что и другим работать невозможно.

Кстати в связи с зависонами сервака, весьма кстати пришлась последняя статейка Борма «Мониторинг и Анализ доступности сайтов» — надо будет заюзать, хоть буду удалённо ребутить вовремя, пока не разберемся с проблемой

в связи с такой нестабильностью на выделенном сервере ОЧЕНЬ СИЛЬНО задумался о ежедневных бэкапах (файловых и баз данных) — обязательно реализую в ближайшее время.

Это было по траблам, теперь по переезду:

Съехал я с FREEBSD 7.1 на FREEBSD 8.0 (поставили 8-ку хотя вообще заказывал 7.1) в основном по настройке всё изложено в статейке Настройка FreeBSD с нуля — Apache, PHP, MySQL, mc, webmin, proFTPd ... но всё же есть чего добавить:

Что касается переноса данных:

• Сразу все базы данных я бэкапнул с помощью интерфейса Webmin-а. В принципе это mysqldump с параметром --all-databases но прикольнее — сливает сразу в в отдельные файлы
• В процессе в пара таблиц загнулась — одну восстановил с помощью PHPMyAdmin SQL запросом REPAIR TABLE rate EXTENDED вторую с консоли при помощи mysqlcheck -u root -e -p --databases database
• Файло всё я без проблем таром зажал tar -czvf  vhosts.tar.gz ./vhosts и перелил по фтп
• Ну и на всякий случай некоторые конфиг-файлы я тоже с собой забрал (сам бинд, днсы всех сайтов, крон, апач, PHP, nginx, proftpd, rc.conf )

По настройке тоже кое что всплывало:

• Долго тупил с Bind-ом — он никак не хотел обслуживать внешний мир — пока не увидел строчку listen-on 127.0.0.1 — закомментил и наладилось
• Определить траблу помог sockstat | grep named
• Так же — ПРОВЕРКА SOA внешний запрос к dns серваку (111.222.111.222 — айпишник вашего сервера с биндом) dig @111.222.111.222 gtalex.ru
• и ещё ПРОВЕРКА SOA внешний запрос к серваку nslookup gtalex.ru 111.222.111.222
  
• Для правильной парковки .ru доменов нужно чтоб bind обслуживал 2 айпи адреса с разных подсетей — соответственно прикручиваем так: — из командной строки:
  ifconfig re0 95.169.191.208 netmask 255.255.255.0 alias — в rc.conf переделывается строчка с интерфейсом и добавляется новая
  ifconfig_re0_alias0="95.169.190.208 netmask 255.255.255.0"
  ifconfig_re0_alias1="95.169.191.208 netmask 255.255.255.0"
• Мускул почему то не хотел ставиться вперед Апача — после установки апача встал «на ура».
• В конфиге PHP.ini по умолчанию не стоит short_open_tag — поначалу сильно был удивлён на сайтах где вместо полной конструкции <?php  ... ?> в файлах я сокращенно писал просто <? ... ?>
• ну и не забываем прописывать все устанавливаемые сервера в rc.conf

ReTweet

В общем на днях прилично так сервачек мой замёрз — еле как по ssh зацепился и запустил top да ps дабы глянуть в чем трабла!

Процессор как ни странно отдыхал (load average меньше единички было) — а вот оперативки катастрофически не хватало — причиной тому было довольно большое количество процессов моего индейца — httpd с показателями SIZE 50 мегабайт RES тоже в районе 30 мегабайт на каждый процесс (думаю это много — надо будет поотключать неиспользуемые модули)

Какие именно запросы он обрабатывал в текущий момент времени я пока не знаю как оперативно выяснить — вопрос пока остаётся открытым и очень интересным для меня в качестве анализа загрузки — надо будет видимо какие то локальные анализаторы поставить с возможность анализа логов на всех доменах сразу, либо ещё какие то способы продумать ...

В общем для решения проблемы поначалу решил пойти самым простым путём — увеличить оперативку. Зашел на keyweb.ru (Германский провайдер — у них уже давненько арендую сервачек) и увидел, что моей конфигурации KM 5100 за которую я плачу 49 евро уже нет — за те же деньги уже покруче серваки, а дедик моей конфигурации предлагают по 39 евро.

Собственно возникло естественное желание выровнять конфигурацию и оплату до актуального уровня.
Вот что из этого получилось:

ИМХО в итоге получается, что отношения к постоянному клиенту наипоганейшее — апгрейд текущего железа только за дополнительное бабло как сразу так плюс к ежемесячному тарифу!
Переход на другой тариф (сервер) без сохранения айпи-адресации — а это вообще жопа полная — даже не из за денег — например у меня хоть и поднят свой DNS сервер но на регистраторах айпишники тоже завязаны — так что вообще херовый вариант.

Остаётся забить на провайдера и решать вопрос оптимизацией софта
О чем собственно следующий пост.

ReTweet

Выбор остановился на девайсе Transcend T.sonic™ 320 (TS8GMP320)
Вот так это чудо выглядит:

Выводы:

Воткнул в комп — устройство определилось сразу, без проблем — 8 гигов свободно .

Скорость записи на устройство меня сильно разочаровало — в районе 1 мегабайта в секунду (киношка в dvd формате ОЧЕНЬ долго будет писаться — больше часа по моим подсчетам), скорость чтения на порядок выше — и то хорошо.

За счет Литий-ионной батареи — компактен.

Девайс русифицирован — да и вообще начинка сильно порадовала — довольно умная штучка

Как Диктофон пишет мне понравилось — кому интересно послушать — выложил Тест диктофона

Дисплей хоть и 1" двухцветный OLED — лично мне понравился, гораздо надежнее + меньше жрет энергии чем TFT да и имхо никчему тут TFT.

Радио ловит четко без помех — при первом включении сразу автоматом настроил 20 каналов.

MP3 тоже хорошо играет, проблем с русской кодировкой при выводе названия песен на дисплей нет.

Цена порадовала — в DNS-е  выложил 2150р.

В целом — доволен.

ReTweet

1. Качаем kb888111xpsp2.exe и hda_winxp_sp2_ru.rar, устанавливаем
(в данном случае у меня это все уже стояло)
2. Качаем с www.guru3d.com guru3d-driversweeper устанавливаем.
3. В безопасном режиме отключаем Microsoft UAA Bus Driver for High Definition Audio.
4. Через driversweeper сносим сносим все файлы и записи в реесте от Audio девайсов.
5. Удаляем Microsoft UAA Bus Driver for High Definition Audio
6. Перегружаемся, устанавливаем драйвера заново и все нормально.

ReTweet