錦稜会 KINRYOKAI - ニュース

投稿者： f-otake 投稿日時： 2014-5-9 0:37:15 (838 ヒット)

やっとサブホストをインストールするが、KVMはクローンで簡単にサブホストのコピーが出来るので、各サブホストに最低必要なプログラムを入れた雛形のサブホストを作る。
グラフィックから作った方が簡単なので、アプリケーション→システムツール→仮想マシンマネージャーを走らせる。開いたウインドウのターミナルが光っているようなアイコンで、新しい仮想マシンを作成する。
このマシンはDVDドライブがないので、USBのドライブをつけてもいいが、予め、CentOSの6.5のイメージをダウンロードしておき（拡張子が .iso）そこを指定してインストールを行う。
普通にやっていくと（インストールはここを参照してね。ここはcentOS5.3だがあまり変わらない。ただVer６はローカルのＯＳイメージの選択ができる）、どうしても途中 selinux-policy-target-3-7.19-231.el6.noarch の所で止まってしまい、先にいかない、ネットワークをDHCPにしたり、固定にしたり色々やるが同じである。
2016ｰ6ｰ12追記：KVMのサブホストのインストール時に selinux-policy-targeted で止まるでもインストール出来る
それではと日本語を止め英語でインストールをすると無事終わった。その際、わざとSWAPなしでインストールする。理由はインストール時に指定した領域の中にさらに領域を作り、ルートとSWAPの二つの領域を作るため、私はこれが嫌で、インストール後SWAPの設定をした。インストールはminimal Desktopにし、General Purpose Desktop と Graphical Administration Tools を入れた。
インストールが終わり再起動するとkernel Panic だー！！！表示は

Kernel panic - not sycing: Attempted to kill init!
以下省略

これはスタートし､ＯＳが選択され比較的すぐにパニックになっているので､多分ブートに問題がありそう｡ググって見ると､[color=ff0000]ここに解決があった｡
2016ｰ02ｰ03追記：これは間違い見たい。enforcing=0は起動時に SELinux のカレントモードを Permissive モードで起動するそうな。selinuxを無効にして起動するには selinux=0 とする。ここを参照
まずはサブホストの領域をこのホストにマウントするが､作られた領域は､さらにその中に領域を作っている(イメージファイルを使えるためそのようになっている見たい)
マウントする方法はここを参照してね.｡私は /test1 にマウントした｡
/test1/boot/grub/grub.confは

#boot=/dev/sda
default=0
timeout=5
splashimage=(hd0,0)/boot/grub/splash.xpm.gz
hiddenmenu
title CentOS (2.6.32-431.el6.x86_64)
	root (hd0,0)
	kernel /boot/vmlinuz-2.6.32-431.el6.x86_64 ro root=UUID=500d2a6b-f175-42c6-ad79-6b7ec6d5dd7c
 rd_NO_LUKS LANG=en_US.UTF-8 rd_NO_MD SYSFONT=latarcyrheb-sun16 crashkernel=auto KEYBOARDTYPE=pc
 KEYTABLE=jp106 rd_NO_LVM rd_NO_DM rhgb quiet 
selinux=0 ← selinux=0（2016ｰ02ｰ03訂正）を追記､実際にはkernel からここまで一行
	initrd /boot/initramfs-2.6.32-431.el6.x86_64.img

これでやっとサブホストが稼働したので、初期設定をすまし、再起動。

Comments?

Linux (サーバー制作) : １１：ネットに繋がらなくなった。

投稿者： f-otake 投稿日時： 2014-5-9 0:03:03 (636 ヒット)

今日、設定の続きをやろうとホストを立ち上げると、ネットに繋がらない。network は動いているし、ifconfig で設定をみても固定IPになっているし、br0とeth0 も問題ない。
もしやと思い
# lsmod | grep r81
でネットワークのドライバーを調べてみると r8169 になっていた。
何で、変更されたかは不明、多分何かのアップデート時にドライバーが変わった!!
ともかくダウンロードしてあったドライバーの保存場所にCDし、
# ./autorun.sh
でドライバーをインストールすると無事ネットワークが復活した。
ドライバーのダウンロードとインストールはhttps://www.kinryokai.net/modules/news/article.php?storyid=205を参照

Comments?

Linux (サーバー制作) : １０：侵入検知システムの導入（aide）

投稿者： f-otake 投稿日時： 2014-5-6 0:09:07 (3613 ヒット)

参考URL：http://www.websec-room.com/2013/11/09/999
# yum -y install aide
AIDE の動作設定は、/etc/aide.conf で行いますが、ここではセキュリティー上の理由で公開しません。と言うのも、悪さをしようとする者は必ずAIDEのDBファイルを改竄しようとしますので、この場所が非常に大事になります。また下記に示してあるのはテスト時の場所で、最後にテストが終了後、この位置ではなく別の場所にしております。
/etc/aide.confは参考URLを参照し、設定していってください。
監視対象から外すには、先頭に ! を付けます。取り敢えず走らせ、メールが着ますので、よく変更になるdirectoryやファイルを設定していけばいいと思います。
AIDEの持っているデータベースの初期化
# aide --init
ありゃりゃエラーが出るぞ、

/usr/sbin/prelink: /usr/sbin/mtr: at least one of file's dependencies has changed since prelinking
Error on exit of prelink child process

これはインストール後、時間が経ちyum の updateが走り、リンク済みのバイナリと新しいバイナリではハッシュ値が合わないので、prelinkがエラーを出している見たい
# /etc/cron.daily/prelink
でハッシュ値を更新する。再度
# aide --init
これは全てのファイルをスキャンしているので時間がかかる

AIDE, version 0.14
### AIDE database at /var/lib/aide/aide.db.new.gz initialized.

と表示されファイルが出来たので、出来たファイルを登録
# cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
改ざんのチェックをするために、ファイルを作成
# echo "TEST" >> dummy.txt
aideでチェックを実行
# aide --check

AIDE found differences between database and filesystem!!
Start timestamp: 2014-05-06 10:19:07
Summary:
  Total number of files:	180686
  Added files:			1
  Removed files:		0
  Changed files:		77
---------------------------------------------------
Added files:
---------------------------------------------------
added: /root/dummy.txt
---------------------------------------------------
Changed files:
---------------------------------------------------
changed: /usr/sbin changed:
/usr/bin changed:
/usr/lib64 changed:
中略 
--------------------------------------------------
Detailed information about changes:
---------------------------------------------------
Directory: /usr/sbin
  Mtime    : 2014-05-06 10:07:48              , 2014-05-06 10:07:57
  Ctime    : 2014-05-06 10:07:48              , 2014-05-06 10:07:57
Directory: /usr/bin
  Mtime    : 2014-05-06 10:07:49              , 2014-05-06 10:09:38
  Ctime    : 2014-05-06 10:07:49              , 2014-05-06 10:09:38
後略

ファイルが一つ増え（dummy.txtを足したから当たり前）、７７のdirectoryの Mtime と Ctime に変更があった。
私は未熟なので何故directoryの時間が変更になったかは不明。
MtimeとCtimeはhttp://x68000.q-e-d.net/~68user/unix/pickup?%A5%BF%A5%A4%A5%E0%A5%B9%A5%BF%A5%F3%A5%D7を参照
後で調べて見よう。
【2015-07-07追記】この理由が分かりました。ここを参照 prelinkingのせいだそうです。ここにあるように
# gedit /etc/sysconfig/prelink

# Set this to no to disable prelinking altogether
# (if you change this from yes to no prelink -ua
# will be run next night to undo prelinking)
PRELINKING=no　← ここをnoに変更

定期実行するスクリプトの作成
# gedit /etc/cron.daily/aide

#!/bin/bash
MAILTO=root
LOGFILE=/var/log/aide/aide.log
AIDEDIR=/var/lib/aide
/usr/sbin/aide  -u > $LOGFILE
cp $AIDEDIR/aide.db.new.gz $AIDEDIR/aide.db.gz
x=$(grep "Looks okay" $LOGFILE | wc -l)
if [ $x -eq 1 ]; then
  echo "All Systems Look OK" | /bin/mail -s "AIDE OK" $MAILTO
else
  echo "$(egrep "added|changed|removed" $LOGFILE)" | /bin/mail -s "AIDE DETECTED CHANGES" $MAILTO
fi
/etc/cron.daily/prelink　←2015-07-07追記：prelinking をignoreしたので追記
exit

私は root へのメールは /etc/aliases に設定があり、そこに設定したメアドにメールが来る
スクリプトに実行権限をつける
# chmod +x /etc/cron.daily/aide
スクリプトを試してみる
# /etc/cron.daily/aide
設定したメアドのメールが着ているかチェックする。
あと、アップデートがあった時は
# aide --init
でデーターベースをアップデートしておくこと。

Comments?

Linux (サーバー制作) : ９：NTPサーバーの設定

投稿者： f-otake 投稿日時： 2014-5-5 21:32:22 (832 ヒット)

ntpサーバーはインストールされていたので、その設定ファイルの /etc/ntp.conf の設定

restrict 192.168.xx.xx mask 255.255.255.0 nomodify notrap　← 18行目位、先頭の＃を外し、IPレンジを自分に合わせる
＊＊ここから（20行目位）
# Use public servers from the pool.ntp.org project.
# Please consider joining the pool (http://www.pool.ntp.org/join.html).
server 0.centos.pool.ntp.org iburst
server 1.centos.pool.ntp.org iburst
server 2.centos.pool.ntp.org iburst
server 3.centos.pool.ntp.org iburst
＊＊ここまで消去、centosのntpは使わない。代わりに次を挿入
server 133.100.10.8 iburst # NTPサーバー(stratum 1)
server 210.173.160.27 iburst # 上記サーバーと直接同期しているNTPサーバー(stratum 2)
server 202.224.32.4 iburst # プロバイダのNTPサーバー※

サーバーをIPアドレスで設定しているのはDNSを引かなくて済むから
一度手動で時刻を合わせる
# ntpdate 133.243.238.163

 6 May 06:08:25 ntpdate[17950]: step time server 133.243.238.163 offset -29.735837 sec

ntpを起動する
# service ntpd start
# chkconfig ntpd on
NTPサーバーへの時刻同期状態確認
# ntpq -p

     remote           refid      st t when poll reach   delay   offset  jitter
 ==============================================================================
*ntp-b2.nict.go. .NICT.           1 u    2   64    1    5.517    0.712   0.098
 ntp1.jst.mfeed. 172.29.2.50      2 u    1   64    1  258.952  -126.97  45.508
 orion.asahi-net 133.243.238.244  2 u    -   64    1    3.856    0.853   0.466

行の最初に * や + がついて入ればOK、ない時は数分後に再度行うと表示される筈。
CentOSはシステム終了時にハードウェアクロックの時刻をシステムクロックの時刻に合わせるようになっているらしいが、このサーバーは原則、動きっぱなしなのでハードウェアのクロックとも同期をさせるが、週に1度ぐらいでいいと思うので、/etc/cron.weeklyにsethcと言う名で

#!/bin/bash
hwclock -- systohc

実行フラグを付ける
# chmod +x /etc/cron.weekly/sethc
これで一週間に1回システム時間とハードウェアのクロックを同期する。

Comments?

Linux (サーバー制作) : ８：ファイアウォール構築(iptables)

投稿者： f-otake 投稿日時： 2014-5-5 8:33:04 (984 ヒット)

参考URL：http://centossrv.com/iptables.shtml
iptablesを設定するがブリッジを作ったので、参考URLとは若干違います。
スクリプトの作成
# gedit iptables.sh

#!/bin/bash
# インタフェース名定義
LAN=eth0
BR=br0

# 内部ネットワークのネットマスク取得
LOCALNET_MASK=`ifconfig $BR|sed -e 's/^.*Mask:\([^ ]*\)$/\1/p' -e d`
# 内部ネットワークアドレス取得
LOCALNET_ADDR=`netstat -rn|grep " "$BR|grep $LOCALNET_MASK|cut -f1 -d' '`
LOCALNET=$LOCALNET_ADDR/$LOCALNET_MASK

# ファイアウォール停止(すべてのルールをクリア)
/etc/rc.d/init.d/iptables stop

# デフォルトルール(以降のルールにマッチしなかった場合に適用するルール)設定
iptables -P INPUT   DROP   # 受信はすべて破棄
iptables -P OUTPUT  ACCEPT # 送信はすべて許可
iptables -P FORWARD DROP   # 通過はすべて破棄

# 自ホストからのアクセスをすべて許可
iptables -A INPUT -i lo -j ACCEPT

# 内部からのアクセスをすべて許可
iptables -A INPUT -s $LOCALNET -j ACCEPT

# 内部から行ったアクセスに対する外部からの返答アクセスを許可
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# SYN Cookiesを有効にする
# ※TCP SYN Flood攻撃対策
sysctl -w net.ipv4.tcp_syncookies=1 > /dev/null
sed -i '/net.ipv4.tcp_syncookies/d' /etc/sysctl.conf
echo "net.ipv4.tcp_syncookies=1" >> /etc/sysctl.conf
# ブロードキャストアドレス宛pingには応答しない
# ※Smurf攻撃対策
sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1 > /dev/null
sed -i '/net.ipv4.icmp_echo_ignore_broadcasts/d' /etc/sysctl.conf
echo "net.ipv4.icmp_echo_ignore_broadcasts=1" >> /etc/sysctl.conf

# ICMP Redirectパケットは拒否
sed -i '/net.ipv4.conf.*.accept_redirects/d' /etc/sysctl.conf
for dev in `ls /proc/sys/net/ipv4/conf/`
do
    sysctl -w net.ipv4.conf.$dev.accept_redirects=0 > /dev/null
    echo "net.ipv4.conf.$dev.accept_redirects=0" >> /etc/sysctl.conf
done

# Source Routedパケットは拒否
sed -i '/net.ipv4.conf.*.accept_source_route/d' /etc/sysctl.conf
for dev in `ls /proc/sys/net/ipv4/conf/`
do
    sysctl -w net.ipv4.conf.$dev.accept_source_route=0 > /dev/null
    echo "net.ipv4.conf.$dev.accept_source_route=0" >> /etc/sysctl.conf
done

# フラグメント化されたパケットはログを記録して破棄
iptables -A INPUT -f -j LOG --log-prefix '[IPTABLES FRAGMENT] : '
iptables -A INPUT -f -j DROP

# 外部とのNetBIOS関連のアクセスはログを記録せずに破棄
# ※不要ログ記録防止
iptables -A INPUT ! -s $LOCALNET -p tcp -m multiport --dports 135,137,138,139,445 -j DROP
iptables -A INPUT ! -s $LOCALNET -p udp -m multiport --dports 135,137,138,139,445 -j DROP
iptables -A OUTPUT ! -d $LOCALNET -p tcp -m multiport --sports 135,137,138,139,445 -j DROP
iptables -A OUTPUT ! -d $LOCALNET -p udp -m multiport --sports 135,137,138,139,445 -j DROP

# 1秒間に4回を超えるpingはログを記録して破棄
# ※Ping of Death攻撃対策
iptables -N LOG_PINGDEATH
iptables -A LOG_PINGDEATH -m limit --limit 1/s --limit-burst 4 -j ACCEPT
iptables -A LOG_PINGDEATH -j LOG --log-prefix '[IPTABLES PINGDEATH] : '
iptables -A LOG_PINGDEATH -j DROP
iptables -A INPUT -p icmp --icmp-type echo-request -j LOG_PINGDEATH

# 全ホスト(ブロードキャストアドレス、マルチキャストアドレス)宛パケットはログを記録せずに破棄
# ※不要ログ記録防止 iptables -A INPUT -d 255.255.255.255 -j DROP
iptables -A INPUT -d 224.0.0.1 -j DROP

# 113番ポート(IDENT)へのアクセスには拒否応答
# ※メールサーバ等のレスポンス低下防止
iptables -A INPUT -p tcp --dport 113 -j REJECT --reject-with tcp-reset

# ACCEPT_COUNTRY_MAKE関数定義
# 指定された国のIPアドレスからのアクセスを許可するユーザ定義チェイン作成
ACCEPT_COUNTRY_MAKE(){
    for addr in `cat /tmp/cidr.txt|grep ^$1|awk '{print $2}'`
    do
        iptables -A ACCEPT_COUNTRY -s $addr -j ACCEPT
    done
}

# DROP_COUNTRY_MAKE関数定義
# 指定された国のIPアドレスからのアクセスを破棄するユーザ定義チェイン作成
DROP_COUNTRY_MAKE(){
    for addr in `cat /tmp/cidr.txt|grep ^$1|awk '{print $2}'`
    do
        iptables -A DROP_COUNTRY -s $addr -m limit --limit 1/s -j LOG --log-prefix '[IPTABLES DENY_COUNTRY] : '
        iptables -A DROP_COUNTRY -s $addr -j DROP
    done
}

# IPアドレスリスト取得
. /root/iptables_functions
IPLISTGET

# 日本からのアクセスを許可するユーザ定義チェインACCEPT_COUNTRY作成
iptables -N ACCEPT_COUNTRY
ACCEPT_COUNTRY_MAKE JP
# 以降,日本からのみアクセスを許可したい場合はACCEPTのかわりにACCEPT_COUNTRYを指定する

# 中国・イラン・ロシア※からのアクセスをログを記録して破棄
# http://www.cyberpolice.go.jp/detect/observation.htmlより
iptables -N DROP_COUNTRY
DROP_COUNTRY_MAKE CN 
DROP_COUNTRY_MAKE IR
DROP_COUNTRY_MAKE RU
iptables -A INPUT -j DROP_COUNTRY

#----------------------------------------------------------#
# 各種サービスを公開する場合の設定(ここから)               #
#----------------------------------------------------------#
# 外部からのTCP22番ポート(SSH)へのアクセスを日本からのみ許可
# ※SSHサーバーを公開する場合のみ
iptables -A INPUT -p tcp --dport 22 -j ACCEPT_COUNTRY

# 外部からのTCP/UDP53番ポート(DNS)へのアクセスを許可
# ※外部向けDNSサーバーを運用する場合のみ
#iptables -A INPUT -p tcp --dport 53 -j ACCEPT
#iptables -A INPUT -p udp --dport 53 -j ACCEPT

# 外部からのTCP80番ポート(HTTP)へのアクセスを許可
# ※Webサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# 外部からのTCP443番ポート(HTTPS)へのアクセスを許可
# ※Webサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# 外部からのTCP21番ポート(FTP)へのアクセスを日本からのみ許可
# ※FTPサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 21 -j ACCEPT_COUNTRY

# 外部からのPASV用ポート(FTP-DATA)へのアクセスを日本からのみ許可
# ※FTPサーバーを公開する場合のみ
# ※PASV用ポート60000:60030は当サイトの設定例
#iptables -A INPUT -p tcp --dport 60000:60030 -j ACCEPT_COUNTRY

# 外部からのTCP25番ポート(SMTP)へのアクセスを許可
# ※SMTPサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 25 -j ACCEPT

# 外部からのTCP465番ポート(SMTPS)へのアクセスを日本からのみ許可
# ※SMTPSサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 465 -j ACCEPT_COUNTRY

# 外部からのTCP110番ポート(POP3)へのアクセスを日本からのみ許可
# ※POP3サーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 110 -j ACCEPT_COUNTRY

# 外部からのTCP995番ポート(POP3S)へのアクセスを日本からのみ許可
# ※POP3Sサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 995 -j ACCEPT_COUNTRY

# 外部からのTCP143番ポート(IMAP)へのアクセスを日本からのみ許可
# ※IMAPサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 143 -j ACCEPT_COUNTRY

# 外部からのTCP993番ポート(IMAPS)へのアクセスを日本からのみ許可
# ※IMAPSサーバーを公開する場合のみ
#iptables -A INPUT -p tcp --dport 993 -j ACCEPT_COUNTRY

# 外部からのUDP1194番ポート(OpenVPN)へのアクセスを日本からのみ許可
# ※OpenVPNサーバーを公開する場合のみ
#iptables -A INPUT -p udp --dport 1194 -j ACCEPT_COUNTRY

# VPNインタフェース用ファイアウォール設定
# ※OpenVPNサーバーを公開する場合のみ
#[ -f /etc/openvpn/openvpn-startup ] && /etc/openvpn/openvpn-startup

#----------------------------------------------------------#
# 各種サービスを公開する場合の設定(ここまで)               #
#----------------------------------------------------------#

# 拒否IPアドレスからのアクセスはログを記録せずに破棄
# ※拒否IPアドレスは/root/deny_ipに1行ごとに記述しておくこと
# (/root/deny_ipがなければなにもしない)
if [ -s /root/deny_ip ]; then
    for ip in `cat /root/deny_ip`
    do
        iptables -I INPUT -s $ip -j DROP
    done
fi

# 上記のルールにマッチしなかったアクセスはログを記録して破棄
iptables -A INPUT -m limit --limit 1/s -j LOG --log-prefix '[IPTABLES INPUT] : '
iptables -A INPUT -j DROP
iptables -A FORWARD -m limit --limit 1/s -j LOG --log-prefix '[IPTABLES FORWARD] : '
iptables -A FORWARD -j DROP

# サーバー再起動時にも上記設定が有効となるようにルールを保存
/etc/rc.d/init.d/iptables save

# ファイアウォール起動
/etc/rc.d/init.d/iptables start

変更点はインタフェース名定義の LAN=eth0 の下に
BR=br0
を追記。# 内部ネットワークのネットマスク取得の所を
LOCALNET_MASK=`ifconfig $BR|sed -e 's/^.*Mask:$[^ ]*$$/\1/p' -e d`　←$LANの代わりに $BR
# 内部ネットワークアドレス取得の所を
LOCALNET_ADDR=`netstat -rn|grep " "$BR|grep $LOCALNET_MASK|cut -f1 -d' '`　←$LANの代わりに " "$BR、$BRだけだと virbr0 も該当する。
ファイアウォール設定スクリプト外部関数作成
# gedit iptables_functions

# IPアドレスリスト取得関数定義
IPLISTGET(){
    # http://nami.jp/ipv4bycc/から最新版IPアドレスリストを取得する
    wget -q http://nami.jp/ipv4bycc/cidr.txt.gz
    gunzip cidr.txt.gz
    # 最新版IPアドレスリストが取得できなかった場合
    if [ ! -f cidr.txt ]; then
        if [ -f /tmp/cidr.txt ]; then
            # バックアップがある場合はその旨をroot宛にメール通知して処理を打ち切る
            echo cidr.txt was read from the backup! | mail -s $0 root
            return
        else
            # バックアップがない場合はその旨をroot宛にメール通知して処理を打ち切る
            echo cidr.txt not found!|mail -s $0 root
            exit 1
        fi
    fi
    # 最新版IPアドレスリストを /tmpへバックアップする
    /bin/mv cidr.txt /tmp/cidr.txt
}

IPアドレスリストチェックスクリプト作成
# gedit /etc/cron.daily/iplist_check.sh

#!/bin/bash
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
# 新旧IPLIST差分チェック件数(0を指定するとチェックしない)
# ※新旧IPLIST差分がSABUN_CHKで指定した件数を越える場合はiptables設定スクリプトを実行しない
# ※新旧IPLIST差分チェック理由はhttp://centossrv.com/bbshtml/webpatio/1592.shtmlを参照
SABUN_CHK=100
[ $# -ne 0 ] && SABUN_CHK=${1}

# チェック国コード
COUNTRY_CODE='JP CN IR RU'

# iptables設定スクリプトパス
IPTABLES=/root/iptables.sh

# iptables設定スクリプト外部関数取り込み
. /root/iptables_functions

# IPアドレスリスト最新化
rm -f IPLIST.new
IPLISTGET
for country in $COUNTRY_CODE
do
    if [ -f /tmp/cidr.txt ]; then
        grep ^$country /tmp/cidr.txt >> IPLIST.new
    else
        grep ^$country /tmp/IPLIST >> IPLIST.new
    fi
done
[ ! -f /tmp/IPLIST ] && cp IPLIST.new /tmp/IPLIST

# IPアドレスリスト更新チェック
diff -q /tmp/IPLIST IPLIST.new > /dev/null 2>&1
if [ $? -ne 0 ]; then
    if [ ${SABUN_CHK} -ne 0 ]; then
        if [ $(diff /tmp/IPLIST IPLIST.new | egrep -c '<|>') -gt ${SABUN_CHK} ]; then
            (
             diff /tmp/IPLIST IPLIST.new
             echo
             echo "$IPTABLES not executed."
            ) | mail -s 'IPLIST UPDATE' root
            rm -f IPLIST.new
            exit
        fi 
    fi
    /bin/mv IPLIST.new /tmp/IPLIST
    sh $IPTABLES > /dev/null
else
    rm -f IPLIST.new
fi

IPアドレスリストチェックスクリプトに実行権限付加
# chmod +x /etc/cron.daily/iplist_check.sh
ファイアウォール設定スクリプト実行
# sh iptables.sh
私の場合はかなり長い時間（５分位かな）かかった。
iptables自動起動設定
# chkconfig iptables on
開いているポートを調べる為にnmapとそのGUIフロントエンドをインストールする
# yum -y install nmap nmap-frontend
その後、ポートをチェックするがnmapの使い方はgoogleで調べてね
ここなんかは良さげhttp://knowledge.sakura.ad.jp/tech/97/

Comments?

Linux (サーバー制作) : ７：アンチウィルスソフト導入(Clam AntiVirus)

投稿者： f-otake 投稿日時： 2014-5-5 6:30:33 (993 ヒット)

参考URL：http://centossrv.com/clamav.shtml
この前にhttps://www.kinryokai.net/modules/news/article.php?storyid=208を参照し、EPELレポジトリーをインストールする事
# yum -y install clamd
# gedit /etc/clamd.conf

#User clam　←　行頭に#を追加(root権限で動作するようにする)

Clam AntiVirusの起動
# service clamd start
# chkconfig clamd on
ウィルス定義ファイル最新化
# freshclam

ClamAV update process started at Mon May  5 14:29:28 2014
main.cvd is up to date (version: 55, sigs: 2424225, f-level: 60, builder: neo)
WARNING: getfile: daily-18354.cdiff not found on remote server (IP: 211.10.155.48)
WARNING: getpatch: Can't download daily-18354.cdiff from db.jp.clamav.net
Trying host db.jp.clamav.net (203.212.42.128)...
WARNING: getfile: daily-18354.cdiff not found on remote server (IP: 203.212.42.128)
WARNING: getpatch: Can't download daily-18354.cdiff from db.jp.clamav.net
Trying host db.jp.clamav.net (219.94.128.99)...
WARNING: getfile: daily-18354.cdiff not found on remote server (IP: 219.94.128.99)
WARNING: getpatch: Can't download daily-18354.cdiff from db.jp.clamav.net
WARNING: Incremental update failed, trying to download daily.cvd
Downloading daily.cvd [100%]
daily.cvd updated (version: 18924, sigs: 929974, f-level: 63, builder: neo)
Downloading bytecode.cvd [100%]
bytecode.cvd updated (version: 236, sigs: 43, f-level: 63, builder: dgoddard)
Database updated (3354242 signatures) from db.jp.clamav.net (IP: 120.29.176.126)

毎日のアップデートは/etc/cron.dailyに自動的に出来た freshclam によりなされる。
ウィルススキャンテスト
# clamscan --infected --remove --recursive
全体をスキャンするので時間がかかる。スキャンが終わるとサマリーが表示され何行目かに　"Infected files: 0"　と表示がでていればOK。
テスト用のウィルスをダウンロード。（もちろん害はない） : は ; に変えてある（XOOPSの問題）
# wget http;//www.eicar.org/download/eicar.com
# wget http;//www.eicar.org/download/eicar.com.txt
# wget http;//www.eicar.org/download/eicar_com.zip
# wget http;//www.eicar.org/download/eicarcom2.zip
再度ウィルスチェック
# clamscan --infected --remove --recursive

/root/eicarcom2.zip: Eicar-Test-Signature FOUND　←　ウィルス検知
/root/eicarcom2.zip: Removed　←　ウィルス削除
/root/eicar.com.txt: Eicar-Test-Signature FOUND　←　ウィルス検知
/root/eicar.com.txt: Removed　←　ウィルス削除
/root/eicar_com.zip: Eicar-Test-Signature FOUND　←　ウィルス検知
/root/eicar_com.zip: Removed　←　ウィルス削除
/root/eicar.com: Eicar-Test-Signature FOUND　←　ウィルス検知
/root/eicar.com: Removed　←　ウィルス削除
以下省略

ウィルススキャン定期自動実行設定
# gedit virusscan

#!/bin/bash
PATH=/usr/bin:/bin
# clamd update yum -y update clamd > /dev/null 2>&1
# excludeopt setup
excludelist=/root/clamscan.exclude
if [ -s $excludelist ]; then
    for i in `cat $excludelist`
    do
        if [ $(echo "$i"|grep \/$) ]; then
            i=`echo $i|sed -e 's/^\([^ ]*\)\/$/\1/p' -e d`
            excludeopt="${excludeopt} --exclude-dir=^$i"
        else
            excludeopt="${excludeopt} --exclude=^$i"
        fi
    done
fi
# virus scan
CLAMSCANTMP=`mktemp`
clamscan --recursive --remove ${excludeopt} / > $CLAMSCANTMP 2>&1
[ ! -z "$(grep FOUND$ $CLAMSCANTMP)" ] && \
# report mail send
grep FOUND$ $CLAMSCANTMP | mail -s "Virus Found in `hostname`" root
rm -f $CLAMSCANTMP

# chmod +x virusscan
除外するファイル、ディレクトリーの設定、ディレクトリを除外する場合は末尾に｢/｣を付加すること
# echo "/proc/" >> clamscan.exclude
# echo "/sys/" >> clamscan.exclude
スクリプトをcron.dailyへ
# mv virusscan /etc/cron.daily/

Comments?

Linux (サーバー制作) : ６：chkrookitのインストール

投稿者： f-otake 投稿日時： 2014-5-5 6:27:13 (685 ヒット)

参考URL：http://centossrv.com/chkrootkit.shtml
この前にhttps://www.kinryokai.net/modules/news/article.php?storyid=208を参照し、EPELレポジトリーをインストールする事
# yum -y install chkrootkit
# chkrootkit | grep INFECTED
grepは大文字と子文字を区別するので必ず大文字でINFECTEDとする事。
汚染されていない場合は not infected となるので、小文字でやると正常な分が表示される。
chkrootkit定期自動実行設定
# gedit chkrootkit

#!/bin/bash
PATH=/usr/bin:/bin
TMPLOG=`mktemp`
# chkrootkit実行
chkrootkit > $TMPLOG

# ログ出力 cat $TMPLOG | logger -t chkrootkit

# SMTPSのbindshell誤検知対応
if [ ! -z "$(grep 465 $TMPLOG)" ] && [ -z $(/usr/sbin/lsof -i:465|grep bindshell) ]; then
      sed -i '/465/d' $TMPLOG
fi

# upstartパッケージ更新時のSuckit誤検知対応
if [ ! -z "$(grep Suckit $TMPLOG)" ] && [ -z $(rpm -V `rpm -qf /sbin/init`) ]; then
       sed -i '/Suckit/d' $TMPLOG
fi

# rootkit検知時のみroot宛メール送信
[ ! -z "$(grep INFECTED $TMPLOG)" ] && grep INFECTED $TMPLOG | mail -s "chkrootkit report in `hostname`" root

rm -f $TMPLOG

# chmod 700 chkrootkit
# mv chkrootkit /etc/cron.daily/
その後、http://centossrv.com/chkrootkit.shtmlを参考に”chkrootkitで使用する安全なコマンドの確保”をやっておく

Comments?

Linux (サーバー制作) : ５：EPELレポジトリの導入

投稿者： f-otake 投稿日時： 2014-5-5 2:46:05 (24020 ヒット)

参考URL：http://centossrv.com/epel.shtml
yumでは出来ないプログラムの為にEPELレポジトリの導入する
# rpm -ivh http;//ftp.riken.jp/Linux/fedora/epel/6/x86_64/epel-release-6-8.noarch.rpm　← これは64bitの場合、32bitの場合は途中のx86_64をi386に変更。（例によってxoopsの問題で ; は : に変更してね。
今日やったらrikenのftpサーバーが落ちているみたい。たまたまかも知れないが、
# rpm -ivh http;//ftp-srv2.kddilabs.jp/Linux/distributions/fedora/epel/6/x86_64/epel-release-6-8.noarch.rpm　←　ここからでも出来る
XOOPSが勝手にリンクを張るのを防ぐため : を ; に変更しています。
yum-prioritiesプラグイン導入
# yum -y install yum-plugin-priorities
# gedit /etc/yum.repos.d/CentOS-Base.repo

[base]
name=CentOS-$releasever - Base
mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=os
#baseurl=http://mirror.centos.org/centos/$releasever/os/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6
priority=1　← 追加

#released updates
[updates]
name=CentOS-$releasever - Updates
mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=updates
#baseurl=http://mirror.centos.org/centos/$releasever/updates/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6
priority=1　← 追加

#additional packages that may be useful
[extras]
name=CentOS-$releasever - Extras
mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=extras
#baseurl=http://mirror.centos.org/centos/$releasever/extras/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6
priority=1　← 追加

プライオリティーについて
優先度は "1〜99"、値が小さいほど優先度が高くなる。又未設定の場合は優先度が "99" 。つまりこの設定はBase,updates,extraを最優先にし、EPELを含むそれ以外は最低のプライオリティーという事。

Comments?

Linux (サーバー制作) : ４：仮想環境を整える

投稿者： f-otake 投稿日時： 2014-5-5 2:44:00 (902 ヒット)

前のサーバーの時はインストールDVDから行ったので、仮想環境を指定してインストールしたのだが、今回はlive DVDからインストールしたので仮想環境がなかったのでインストールする
# yum -y groupinstall "Virtualization" "Virtualization Client" "Virtualization Platform" "Virtualization Tools"
オフラインゲスト編集ツールインストール
# yum -y install '*guestf*'
ここで再起動をしておく。
このまま仮想環境を作るとサブホストは 192.168.122.xx のレンジになり何かと不便なので、このホストと同じレンジにするためにブリッジを導入する。
(注）NetworkManagerはブリッジをサポートしてないそうな！（ここを参照）。もしNetworkManagerが走っていれば止めておく事。再起動後もスタートしないように。又、/etc/resolv.confの設定も忘れずに
# virsh iface-bridge eth0 br0
もしここで

エラー：An error occurred, 後略

見たいなエラーが出る時は、/etc/sysconfig/network-scripts/ifcfg-eth0にDEVICE=eth0が無いと思うので、追加する。name=eth0はあるのだがこれではダメ見たい。
/etc/sysconfig/network-scripts/ifcfg-br0の確認

DEVICE=br0
ONBOOT=yes
TYPE=Bridge
BOOTPROTO=none
IPADDR=192.168.xx.xx ←伏せ字にしています、自分の環境に合わせて設定してください
NETMASK=255.255.255.0
GATEWAY=192.168.xx.xx ←伏せ字にしています、自分の環境に合わせて設定してください
STP=on
DELAY=0

eth0に設定されていたIPアドレスがブリッジのアドレスになっている
/etc/sysconfig/network-scripts/ifcfg-eth0の確認

DEVICE=eth0
HWADDR=D0:50:99:25:73:1F
ONBOOT=yes
BRIDGE=br0

色々設定していたものがbr0に設定され非常にシンプルになっている。 BRIDGE=br0 になっていることが重要
ホスト停止時にサブホストの挙動を設定
# gedit /etc/sysconfig/libvirt-guests

ON_SHUTDOWN=suspend　← 先頭の＃を取りコメントを外す
SHUTDOWN_TIMEOUT=120　← 先頭の＃を取りコメントを外し、右辺を１２０秒に

色々な資料を見ると１８０秒になっているのが多いのですが、私は経験上３０秒くらいですんでいる、もっともSSDの恩恵もあると思うが。
再起動しネットが使えることを確認する

Comments?

Linux (サーバー制作) : ３：初期設定

投稿者： f-otake 投稿日時： 2014-5-5 2:40:00 (904 ヒット)

参考URL　http://centossrv.com/centos6-init.shtml
前回の基本的なインストールで随分と苦労した。気を取り直してインストールを続ける。
rootになれるユーザーの制限。まず可能なユーザーを設定
# usermod -G wheel xxxxx (xxxxはユーザー名）
設定ファイルの修正
# gedit /etc/pam.d/su

#auth       required     pam_wheel.so use_uid　← 先頭の＃を取りコメントを外す

その後、一般ユーザーからrootになれる事を確認しておく
SELinuxの無効化
本来は有効にしていた方がもちろん良いのだが、未熟な為何かとつまずく元凶なので、ここでは無効化にする。
# setenforce 0　←　SELinux無効化
# getenforce　←　SELinux状態確認
Permissive　←　SELinux無効
# gedit /etc/sysconfig/selinux

SELINUX=enforcing　←右辺を disabled に変更

OSのアップデートと（Ver6.5になる）yum関連のインストール
注：この前に　”２：ＯＳ（ＣｅｎｔＯＳＶｅｒ６．５）のインストール” を参照し、ネットワークICのドライバーを変更しておく事
私の場合は6.5になった時点でネットワークが使えなくなった（ドライバーr8169の問題）
# yum -y update
# yum -y install yum-cron
# service yum-cron start
# chkconfig yum-cron on
root宛のメールを転送 /etc/aliasesに

root: 自分のメアド

を最後にでも追加
# newaliases
でエイリアスを反映。
# echo test|mail root
で設定したメアドにメールが着ているか確認
その後、再起動

Comments?

« 1 2 3 (4) 5 »