admin

1.建目录存放SSL/TLS用到的key mkdir /etc/ssl/private 2.生成自签名key和证书 使用命令：openssl req -x509 -nodes -days 3650 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.key -out /etc/ssl/certs/vsftpd.crt 生成自签名key和证书过程中，Common Name填写服务器IP，其它可以忽略。 备注：如已购买SSL，可将购买SSL的key放至/etc/ssl/private/，证书放至/etc/ssl/certs/。 3.配置vsftpd使用SSL/TLS 编辑/etc/vsftpd/vsftpd.conf，在文件末尾增加如下配置项： ssl_enable=YESallow_anon_ssl=NOforce_local_data_ssl=YESforce_local_logins_ssl=YESssl_tlsv1_1=YESssl_tlsv1_2=YESssl_tlsv1=NOssl_sslv2=NOssl_sslv3=NOrequire_ssl_reuse=YESssl_ciphers=HIGHrsa_cert_file=/etc/ssl/certs/vsftpd.crtrsa_private_key_file=/etc/ssl/private/vsftpd.key 保存文件并重启vsftpd： systemctl restart vsftpd 备注：SSL配置项说明 //强制用户名/密码和数据进行SSL/TLS加密 force_local_data_ssl=YESforce_local_logins_ssl=YES //使用TLS 1.1和1.2提供的更强、更好的加密 ssl_tlsv1_1=YESssl_tlsv1_2=YES //TLS 1.0变得不安全了，所以要禁用它。请注意，一些较老的FTP客户端与新的TLS版本不兼容，可能需要将该选项设置为“YES”。 ssl_tlsv1=NO //额外的保护设置以对抗MITM攻击。这可能与一些较老的FTP客户端不兼容。如果遇到连接丢失，请将此选项设置为“NO”。 require_ssl_reuse=YES //要求服务器使用更强的密码套件 ssl_ciphers=HIGH 4.客户端测试： 4.1  windows客户端（示例filezilla client）配置： （1）加密下拉框选择“要求显式的FTP over TLS” （2）连接后出现证书提示，点击确定： （3）已连接登录FTP： 4.2 Linux客户端（示例lftp）配置： （1）首先安装lftp：yum -y install lftp （2）将服务器端证书vsftpd.crt拷贝到客户端，然后编辑/etc/lftp.conf 配置文件，在文件末尾添加： … Read more

queue length and load averages: sar -q -f /var/log/sa/sa$D CPU utilization: sar -u -f /var/log/sa/sa$D swapping statistics: sar -W -f /var/log/sa/sa$D paging statistics: sar -B -f /var/log/sa/sa$D memory utilization statistics: sar -r -f /var/log/sa/sa$D activity for each block device: sar -d -p -f /var/log/sa/sa$D network statistics: sar -n DEV -f /var/log/sa/sa$D top 30 cpu usage … Read more

1、reset slave  1）清理掉master.info  2）清理relay-log.info  3）删除所有的relay log文件，重启用一个新的relay log文件  4）不清理内存里的同步复制配置信息。清除slave 复制时的master binlog的位置，重置复制延迟(CHANGE MASTER TO 的 MASTER_DELAY参数指定的)为0，不会改变复制连接使用的参数，例如master host, master port, master user, or master password  5）不重置 gtid_executed or gtid_purged 参数值 2、reset slave all  1）清理掉master.info  2）清理relay-log.info  3）删除所有的relay log文件，重启用一个新的relay log文件  4）立即清理内存里的同步复制配置信息。这一点很有用：提升从库为主库，特别是在集群迁移中，新集群的新主库同步了旧集群的旧主库后，需要断开,则执行       stop slave;       reset slave all;       show slave status\G;       此时真正实现了清除slave同步复制关系！       # mysql主从复制中，需要将从库提升为主库，需要取消其从库角色，这可通过执行RESET SLAVE ALL清除从库的同步复制信息、包括连接信息和二进制文件名、位置。从库上执行这个命令后，使用show slave status将不会有输出。 … Read more

注：不同版本Pure-FTPd的参数及含义可能存在差异。 本案例场景： ftp服务器TLS加密使用自签名证书，ftp帐号vftpuser1、vftpuser2用户目录如下，目录独立且相互隔离。 /data/ftp/vftpuser1 /data/ftp/vftpuser2 可对ftp帐号设置上传、下载速度，最大单文件大小等，避免服务器过载。 1 环境版本 CentOS Linux release 7.9.2009 (Core) pure-ftpd-1.0.51.tar.gz 2 源码安装Pure-FTPd 2.1 安装依赖 yum install -y gcc gcc-c++ openssl-devel 2.2 下载源码 cd /usr/local/src wget https://download.pureftpd.org/pub/pure-ftpd/releases/pure-ftpd-1.0.51.tar.gz tar zxvf pure-ftpd-1.0.51.tar.gz cd pure-ftpd-1.0.51 2.3 编译安装 ./configure \ –prefix=/app/pure-ftpd \ –with-tls \ –with-everything make make install 3 准备FTPS（TLS加密）证书 创建证书目录： mkdir -p /app/pure-ftpd/etc/ssl/private 生成证书： openssl … Read more

1 dig命令： # dig -help Usage:  dig [@global-server] [domain] [q-type] [q-class] {q-opt}             {global-d-opt} host [@local-server] {local-d-opt}             [ host [@local-server] {local-d-opt} […]] Where:  domain       is in the Domain Name System         q-class  is one of (in,hs,ch,…) [default: in]         q-type   is one of (a,any,mx,ns,soa,hinfo,axfr,txt,…) [default:a]                  (Use ixfr=version for type ixfr) # dig … Read more

本文旨在帮助用户在快速完成 MySQL 部署后，只需要很少的时间就可以完成 MySQL的安全配置。这些安全配置可以帮助用户抵御大多数常用形式的黑客攻击行为。本文选取MySQL5.7 版本+Linux 系统作为安全配置演示对象。所有安全配置项都会展示检测方式和修补方法。以帮助用户快速判断是否存在配置问题并进行修补。 说明：本文档中安全配置项仅供参考，部分配置项需结合实际环境及测试验证正常方可应用到生产环境中。 1操作系统级别安全配置 本节包含和MySQL数据库所运行的操作系统密切相关的安全配置项 1.1确保数据文件在非系统分区 建议理由： 操作系统上有明确的系统分区和非系统分区。如果数据文件在系统分区，会提高整个系统因为磁盘空间用尽发生拒绝服务的几率。 检查手段： （1）进入数据库执行下列语句 show variables where variable_name = ‘datadir’; （2）df –h <上面的地址返回值> 如果发现结果中存在/ /var /usr说明数据文件在系统分区建议换区 修复建议：迁移走数据文件 （1）停止数据库服务 service MySQL stop （2）拷贝数据文件到非系统分区 cp –rp <老地址> <新地址> （3）修改MySQL配置文件中datadir的值成新地址 （4）启动MySQL数据库 service MySQL start 1.2确保MySQL操作系统账号权限最小化 建议理由： MySQL在操作系统上的账号权限最小化有助于减小MySQL数据库漏洞造成的影响。防止黑客利用MySQL漏洞入侵操作系统，造成更大损失。 检查手段： 假设MySQL账号为MySQL ps -ef | egrep “^MySQL.*$” 如果没有返回行，则权限存在问题 修复建议：创建一个仅用于运行MySQL和直接相关进程的用户。 1.3禁止MySQL链接历史记录 建议理由： … Read more

Nethogs是一个终端下的网络流量监控工具，它的特别之处在于可以显示每个进程的带宽占用情况，这样可以更直观获取网络使用情况。 1 安装 根据具体环境可选择如下3种安装方式中的一种进行安装。 （1）yum安装 yum install nethogs （2）rpm包安装 根据操作系统版本下载相应的包： CentOS7：https://download-ib01.fedoraproject.org/pub/epel/7/x86_64/Packages/n/nethogs-0.8.5-1.el7.x86_64.rpm CentOS8：https://download-ib01.fedoraproject.org/pub/epel/8/Everything/x86_64/Packages/n/nethogs-0.8.5-9.el8.x86_64.rpm 安装： rpm -ivh nethogs-*.rpm （3）源码编译安装 a.确认及安装依赖组件： # yum install libpcap libpcap-devel gcc* ncurses* b.下载源码包： # wget https://github.com/raboof/nethogs/archive/refs/tags/v0.8.6.tar.gz c.编译安装： # tar xf v0.8.6.tar.gz # cd nethogs-0.8.6 # make && make install 注：默认安装后的路径是/usr/local/sbin/nethogs 2 用法 # nethogs 示例输出： 3 参数 usage: nethogs [-V] [-h] [-b] … Read more

1 环境信息 服务器型号：DELL PE R740 显卡型号：GeForce RTX 2080 Ti 操作系统版本：RedHat Enterprise Linux 7.8 2 安装步骤 2.1 关闭secure boot 重启服务器，进入BIOS，找到seure boot，将 “Enable” 改为 “Disable”。 2.2 查看系统是否存在NVIDIA驱动 lspci | grep -i nvidia 官网https://www.nvidia.cn/Download/index.aspx?lang=cn下载NVIDIA驱动 根据显卡型号，选择适合主机linux的驱动，点击搜索后进行下载 2.3 禁用Nouveau驱动 （1）查看nouveau是否运行：lsmod | grep nouveau （2）修改 /lib/modprobe.d/dist-blacklist.conf 文件： 将nvidiafb注释掉： #blacklist nvidiafb 添加两行： blacklist nouveau options nouveau modeset=0 （3）修改 /etc/default/grub 文件： 在GRUB_CMDLINE_LINUX中添加： rd.driver.blacklist … Read more

说明：PHP版本为5.6.40，文中配置路径及文件因实际安装配置方式的不同可能有所差异，仅供参考。 1 问题描述： 1.1 XX项目某系统采用nginx+php作为webserver，在使用过程中经常出现访问后台管理页面响应缓慢，甚至无法打开的现象。 1.2 检查Nginx访问日志，发现502状态码，举例如下： 21.5.116.237 – – [19/Aug/2021:10:01:25 +0800] “POST /adminhd/public/Cdrrecord/index HTTP/1.1” 404 555 14.151 14.151 “http://16.5.32.119/adminqd/Pages/serviceconfig/Recordingservice/Manualrecording.html?T=1629336469931&id=101” “Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36(KHTML, like Gecko) Chrome/90.0.4430.85 Safari/537.36” “-“”502”     “127.0.0.1:8900”  “16.5.32.119” 上述日志中8900为php-fpm监听端口。 1.3 检查php-fpm日志（/usr/local/php/var/log/php-fpm.log），发现如下告警信息： [19-Aug-2021 14:29:23]WARNING:[pool www] server reached pm.max_children setting (5),consider raising it 2 处理步骤： 2.1 根据上述问题描述1.3查看服务器php-fpm配置文件，并调整参数值。 打开/usr/local/php/etc/php-fpm.conf配置文件，调整如下参数： pm = dynamic调整为pm … Read more

方法1：使用自定义脚本 方法1优点：可精确定义切割时间，切割后的日志里只包含相应时段的内容，便于查阅管理。如access.log-20210816只包含20210816的日志内容。 脚本内容如下： cat nginx_log_rotate.sh #!/bin/bash DATE=`date -d “-1 day” +%Y%m%d` LOGDIR=”/app/nginx/log/” NGINX_PID=”/app/nginx/run/nginx.pid” cd $LOGDIR for log in `find . -name “*.log”` do  mv $log $log-$DATE done /bin/kill -USR1 `cat $NGINX_PID` find . -name “*.log-*” -mtime +30 | xargs rm -f 设置定时任务： # crontab -e 0 0 * * * /bin/bash /app/ops/nginx_log_rotate.sh >/dev/null 2>&1 经上述设置后，每天0点对/app/nginx/log/目录的下*.log日志文件进行切割，并保留30天内的切割日志。 … Read more