Recentes Perguntas - Page 2

King David

Asked: 2025-04-23 00:16:06 +0800 CST

Como lidar com discos grandes ao escolher um sistema de arquivos?

5

Estamos usando discos de 15 TB em nossos servidores RHEL 8.6 Linux. Esses discos são para o sistema de arquivos HDFS. Em comparação com outros discos, como 4 TB ou 8 TB, notamos alguma degradação nos logs do nó de dados. Verificamos vários aspectos para entender a diferença entre clusters Hadoop que usam discos de 4 TB ou 8 TB e o cluster Hadoop mais recente com discos de 16 TB. Após pesquisar no Google, notamos que o sistema de arquivos criado nos discos é ext4. Gostaria de saber se o ext4 pode ser usado em discos grandes, como 15 TB. Então, minha pergunta é: o ext4 suporta discos muito grandes, como 15 TB, ou é melhor usar o XFS em discos de 15 TB?

codechurn

Asked: 2025-04-21 12:03:24 +0800 CST

Gerar certificado curinga usando a CA do Windows

5

Estou tentando emitir um certificado de servidor Web *.internal usando minha CA do Windows que posso então importar para o PFSense e usar com o HAProxy.

Na CA, abri o Gerenciador de certificados no escopo Computador local.
Eu navego até Personal, Certificatesclico com o botão direito e entãoRequest New Certificate
Selecione e clique em Avançar Certificate Enrollment.Active Directory Enrollment Policy
Seleciono o Web ServerModelo de Certificado e defino os seguintes detalhes:
Guia Assunto
Common Name: *.internal
DNS Name: *.internal
Guia Chave Privada
Make Private Key Exportable
Em seguida, clico em "Inscrever-se". O certificado aparece no meu repositório pessoal. Exporto o certificado (com a chave privada) e depois o importo para o PFsense.
Configurei o HAProxy para fazer o offload de SSL usando o certificado. Ao navegar em um site, recebo o seguinte erro:

O que estou perdendo/fazendo errado com o certificado? Aqui está o certificado (como baixado do navegador) após visualizar o site:

Mohammadmahdi

Asked: 2025-04-19 15:32:22 +0800 CST

Sintaxe nftables para correspondência de políticas ipsec/xfrm

5

Tenho um IPtables correspondente como -m policy --dir out --pol ipsec --mode tunnel --tunnel-src 1.1.1.2 --tunnel-dst 1.1.1.1. Sei que essa correspondência funciona com nftables em modo compatível como xt "policy", mas preciso usar a sintaxe nftables para isso, a fim de usar nfte fazer backup apenas a partir dele.

Ele também nftables v0.9.3 (Topsy)não suporta o modo de compatibilidade xt "policy". Eu também tentei, ipsec out ip saddr 1.1.1.2 ip daddr 1.1.1.1mas não pareceu funcionar nem com esta versão nem nftables v1.0.9 (Old Doc Yak #3)como esperado.

Franck Dernoncourt

Asked: 2025-04-19 06:38:53 +0800 CST

Como posso alterar a duração da validade de um token obtido com `az account get-access-token`?

5

Eu uso um token obtido com az account get-access-tokenpara implantar GPTs ajustados no Azure, atualizá-los (por exemplo, alterando sua taxa máxima de acerto) ou removê-los.

Li em https://learn.microsoft.com/en-us/cli/azure/account?view=azure-cli-latest :

az account get-access-token: Obtenha um token para que os utilitários acessem o Azure.

O token será válido por pelo menos 5 minutos e, no máximo, 60 minutos. Se o argumento de assinatura não for especificado, a conta corrente será usada.

Atualmente, os tokens que obtenho são válidos por 15 minutos.

Como posso alterar a duração da validade de um token obtido com az account get-access-token?

Ryctas

Asked: 2025-04-18 01:27:02 +0800 CST

O certificado expirado ainda aparece como válido no navegador

5

Estou configurando uma CA com OCSP e estou recebendo erros de validação.

Configuração bem simples

CA publica CRL na pasta C: padrão
CA publica URL OCSP no campo AIA
A configuração de revogação do OCSP está funcionando (marca de seleção verde) com o certificado OCSP (ainda válido)
O servidor Web IIS está sendo executado com o diretório OCSP
DNS aponta para o IP correto com diretório

Revoguei alguns certificados de teste que fiz ao longo do caminho com as seguintes etapas:

Publicou manualmente a pasta de revogação
definir um GPO que incluísse o certificado raiz com o URL do OCSP para verificar a validade mesmo quando o certificado original não o incluísse no campo AIA

Ao testar a validade, encontrei alguns erros.

Erro 1:

Na imagem acima, a CRL confirmou que o certificado expirou e não é válido.

No entanto, ainda o uso apenas porque ESPERO que dê um erro. Não dá. Consigo acessar o site sem problemas ou aviso de que é inválido.

Erro 2:

O GPO orientaria os dispositivos clientes a verificar a validação do OCSP em certificados que não o incluíam originalmente. Surpreendentemente, meu OCSP nem está funcionando. Eu costumava certutil -urlconfirmar e recebia o status: sem sucesso. Não consigo encontrar uma lista de possíveis status em lugar nenhum, mas presumo que deveria ver "revogado" ou "expirado", se houver.

siemon

Asked: 2025-04-17 23:22:39 +0800 CST

Leitura/gravação extremamente lenta em XFS + LUNs multicaminhos, apesar do excelente desempenho do fio (Oracle Linux 9.5)

6

Ambiente:

SO: Oracle Linux 9.5 (systemd 252)
Sistema de arquivos: XFS
Armazenamento: IBM SAN LUNs via multipathd (configuração ALUA)
Dispositivos:/dev/mapper/mpath[a-d]1
Opções de montagem:rw,relatime,seclabel,attr2,inode64,logbufs=8,logbsize=32k,noquota,_netdev
O sistema não está sob pressão de memória, o uso da CPU é nulo (pré-implantação não produtiva)

Problema: Operações simples de arquivo como cp, rsync e até mesmo dd direto (com iflag=direct oflag=direct) de/para sistemas de arquivos XFS são extremamente lentas (até 2 MB/s), mesmo ao copiar arquivos pequenos (por exemplo, 50 MB). No entanto, ao testar com fio, obtive excelente taxa de transferência — até 3 GB/s de leitura e 1,8 GB/s de gravação, tanto no sistema de arquivos montado quanto diretamente no dispositivo (por exemplo, /dev/mapper/mpathc1).

Even cat file > /dev/nullmostra 3,2 MB/s enquanto fio com o mesmo arquivo mostra 2-3 GB/s.

O que eu tentei:

Cache desabilitado usando iflag=direct/oflag=direct
Alterou entre opções de montagem sincronizadas e assíncronas (sem impacto)
Contabilidade de E/S e cgroups testados (funcionando bem)
Prioridades ALUA e multicaminho verificadas (devidamente balanceadas, sem erros de caminho)
Usado nice, ionice, systemd-run --scope com IOWeight, CPUWeight
Analisado com strace, que mostra o loop de cópia normal (chamadas de sistema de leitura/gravação)
Defina zero para /proc/sys/vm/dirty_ratioedirty_background_ratio
multipath.confConfiguração adequada garantida (round-robin, no_path_retry, etc.)

Comportamento notável:

Todos os comandos de leitura/gravação no dispositivo (por exemplo, dd, cat, cp, rsync) se comportam de forma anormalmente lenta.
fio funciona perfeitamente — tanto em testes baseados em arquivos quanto em testes baseados em dispositivos brutos.
O problema não parece estar relacionado à SAN ou limitado à largura de banda.
Estatísticas de E/S (iostat, vmstat, iotop) mostram atividade mínima durante essas operações lentas.
Sem corrupção no sistema de arquivos — a montagem XFS está limpa, sem logs ou erros de dmesg. Sistema novo.

Pergunta: O que poderia explicar a enorme discrepância de desempenho entre fio e operações básicas de arquivo, como cp ou rsync?

[root@oracle01 ~]# fio --name=read_test --filename=/u01/oradata/edm/testfile --rw=read --bs=64k --size=50M --iodepth=32 --numjobs=4 --time_based --runtime=10s --ioengine=libaio --group_reporting
{...}
Jobs: 4 (f=4): [R(4)][100.0%][r=42.3MiB/s][r=676 IOPS][eta 00m:00s]

[root@oracle01 ~]# fio --name=read_test --filename=/u01/oradata/edm/testfile --rw=read --bs=64k --size=50M --iodepth=32 --numjobs=4 --time_based --runtime=10s --ioengine=libaio --group_reporting --direct=1
{...}
Jobs: 4 (f=4): [R(4)][100.0%][r=3523MiB/s][r=56.4k IOPS][eta 00m:00s]

[root@oracle01 ~]# rsync -ah --progress OracleLinux-R9-U5-x86_64-dvd.iso  /u01/oradata/edm/tesst
sending incremental file list
OracleLinux-R9-U5-x86_64-dvd.iso
          7.18M   0%    1.56MB/s    2:11:12  ^C

Mohammadmahdi

Asked: 2025-04-16 22:43:21 +0800 CST

A marca de política de saída XFRM não corresponde à marca de pacote definida no IPtables

6

Estou com um problema com dir out marka política do XFRM. Configurei mark_ino mark_outStrongSwan e estabeleci uma conexão IPsec. Também adicionei algumas regras simples do IPTables para marcar pacotes e verificar apenas se a correspondência funciona (é apenas para fins de teste, então permite tudo, exceto os pacotes relacionados ao IPsec que não correspondem) .

eth3 está conectado aos clientes deste lado do túnel

eth8 é usado para o túnel

Configuração do StrongSwan:

connections {
  tun_p1 {
    local_addrs=1.1.1.2
    remote_addrs=1.1.1.1
    send_cert=never
    unique=replace
    version=2
    mobike=no
    keyingtries=5
    dpd_delay=30
    dpd_timeout=90
    rekey_time=3600s
    over_time=120s
    rand_time=60
    children {
      tun_1 {
        local_ts=3.3.3.0/24
        remote_ts=2.2.2.0/24
        mode=tunnel
        ipcomp=no
        dpd_action=trap
        start_action=start
        close_action=none
        rekey_time=28800s

        # Marks are here
        mark_out=0x1000/0xff000
        mark_in=0x100000/0x100000
      }
    }
    local {
      auth=psk
      id=1.1.1.2
    }
    remote {
      auth=psk
      id=1.1.1.1
    }
  }
}

Política XFRM:

root@ubuntu-24:~# ip xfrm policy
src 3.3.3.0/24 dst 2.2.2.0/24
        dir out priority 375423
        mark 0x1000/0xff000
        tmpl src 1.1.1.2 dst 1.1.1.1
                proto esp spi 0xc862dc7c reqid 1 mode tunnel
src 2.2.2.0/24 dst 3.3.3.0/24
        dir fwd priority 375423
        mark 0x100000/0x100000
        tmpl src 1.1.1.1 dst 1.1.1.2
                proto esp reqid 1 mode tunnel
src 2.2.2.0/24 dst 3.3.3.0/24
        dir in priority 375423
        mark 0x100000/0x100000
        tmpl src 1.1.1.1 dst 1.1.1.2
                proto esp reqid 1 mode tunnel

Configuração do IPtables:

*raw
:PREROUTING ACCEPT
:OUTPUT ACCEPT

 -A PREROUTING -i eth3 -j TRACE

COMMIT

*mangle
:PREROUTING ACCEPT
:POSTROUTING ACCEPT
:INPUT ACCEPT
:OUTPUT ACCEPT
:FORWARD ACCEPT
:IPsec -

 -A PREROUTING  -i eth8 -p esp -d 1.1.1.2 -s 1.1.1.1 -j MARK --set-mark 0x100000/0x100000

 -A FORWARD  -i eth3 -o eth8 -j MARK --set-mark 0x1000/0xff000

 -A POSTROUTING -j IPsec

 -A IPsec -m mark --mark 0x1000/0xff000 -m policy --dir out --pol ipsec --mode tunnel --tunnel-src 1.1.1.2 --tunnel-dst 1.1.1.1 -j RETURN
 -A IPsec -m mark --mark 0x1000/0xff000 -j DROP

COMMIT

*nat
:PREROUTING ACCEPT
:POSTROUTING ACCEPT
:OUTPUT ACCEPT

COMMIT

*filter
:INPUT ACCEPT
:OUTPUT ACCEPT
:FORWARD ACCEPT
:PolicyFilterChain -

 -A FORWARD -j PolicyFilterChain

 -A PolicyFilterChain -m state --state NEW,ESTABLISHED,RELATED -m mark --mark 0x100000/0x100000  -m policy --dir in --pol ipsec --mode tunnel --tunnel-src 1.1.1.1 --tunnel-dst 1.1.1.2  -j ACCEPT

 -A INPUT -i eth8 -p udp --sport 500 --dport 500 -d 1.1.1.1 -s 1.1.1.2 -j ACCEPT
 -A INPUT -i eth8 -p esp -d 1.1.1.2 -s 1.1.1.1 -j ACCEPT

COMMIT

Quando envio pacotes do outro lado do túnel, tudo funciona bem e recebo a resposta. O problema está nos dir outpacotes deste lado do túnel. Sei que eles recebem a marca, pois são descartados pela regra após a verificação da política, mas não correspondem à política do XFRM e, mesmo que eu não os descarte, eles não são criptografados pelo XFRM.

Se eu comentar -A IPsec -m mark --mark 0x1000/0xff000 -j DROPa regra, o pacote é enviado para o outro lado sem criptografia, embora a marca esteja definida no pacote.

Rastreamento após queda de comentário :

TRACE: raw:PREROUTING:policy:2 IN=eth3 OUT= MAC=00:50:56:9f:3d:99:00:50:56:9f:c8:bc:08:00 SRC=3.3.3.3 DST=2.2.2.2 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=42626 DF PROTO=ICMP TYPE=8 CODE=0 ID=2584 SEQ=1
TRACE: mangle:PREROUTING:policy:2 IN=eth3 OUT= MAC=00:50:56:9f:3d:99:00:50:56:9f:c8:bc:08:00 SRC=3.3.3.3 DST=2.2.2.2 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=42626 DF PROTO=ICMP TYPE=8 CODE=0 ID=2584 SEQ=1
TRACE: nat:PREROUTING:policy:1 IN=eth3 OUT= MAC=00:50:56:9f:3d:99:00:50:56:9f:c8:bc:08:00 SRC=3.3.3.3 DST=2.2.2.2 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=42626 DF PROTO=ICMP TYPE=8 CODE=0 ID=2584 SEQ=1
TRACE: mangle:FORWARD:rule:1 IN=eth3 OUT=eth8 MAC=00:50:56:9f:3d:99:00:50:56:9f:c8:bc:08:00 SRC=3.3.3.3 DST=2.2.2.2 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=42626 DF PROTO=ICMP TYPE=8 CODE=0 ID=2584 SEQ=1
TRACE: mangle:FORWARD:policy:2 IN=eth3 OUT=eth8 MAC=00:50:56:9f:3d:99:00:50:56:9f:c8:bc:08:00 SRC=3.3.3.3 DST=2.2.2.2 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=42626 DF PROTO=ICMP TYPE=8 CODE=0 ID=2584 SEQ=1 MARK=0x1000
TRACE: filter:FORWARD:rule:1 IN=eth3 OUT=eth8 MAC=00:50:56:9f:3d:99:00:50:56:9f:c8:bc:08:00 SRC=3.3.3.3 DST=2.2.2.2 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=42626 DF PROTO=ICMP TYPE=8 CODE=0 ID=2584 SEQ=1 MARK=0x1000
TRACE: filter:PolicyFilterChain:return:3 IN=eth3 OUT=eth8 MAC=00:50:56:9f:3d:99:00:50:56:9f:c8:bc:08:00 SRC=3.3.3.3 DST=2.2.2.2 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=42626 DF PROTO=ICMP TYPE=8 CODE=0 ID=2584 SEQ=1 MARK=0x1000
TRACE: filter:FORWARD:policy:2 IN=eth3 OUT=eth8 MAC=00:50:56:9f:3d:99:00:50:56:9f:c8:bc:08:00 SRC=3.3.3.3 DST=2.2.2.2 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=42626 DF PROTO=ICMP TYPE=8 CODE=0 ID=2584 SEQ=1 MARK=0x1000
TRACE: mangle:POSTROUTING:rule:1 IN=eth3 OUT=eth8 MAC=00:50:56:9f:3d:99:00:50:56:9f:c8:bc:08:00 SRC=3.3.3.3 DST=2.2.2.2 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=42626 DF PROTO=ICMP TYPE=8 CODE=0 ID=2584 SEQ=1 MARK=0x1000
TRACE: mangle:IPsec:return:2 IN=eth3 OUT=eth8 MAC=00:50:56:9f:3d:99:00:50:56:9f:c8:bc:08:00 SRC=3.3.3.3 DST=2.2.2.2 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=42626 DF PROTO=ICMP TYPE=8 CODE=0 ID=2584 SEQ=1 MARK=0x1000
TRACE: mangle:POSTROUTING:policy:2 IN=eth3 OUT=eth8 MAC=00:50:56:9f:3d:99:00:50:56:9f:c8:bc:08:00 SRC=3.3.3.3 DST=2.2.2.2 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=42626 DF PROTO=ICMP TYPE=8 CODE=0 ID=2584 SEQ=1 MARK=0x1000
TRACE: nat:POSTROUTING:policy:1 IN=eth3 OUT=eth8 MAC=00:50:56:9f:3d:99:00:50:56:9f:c8:bc:08:00 SRC=3.3.3.3 DST=2.2.2.2 LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=42626 DF PROTO=ICMP TYPE=8 CODE=0 ID=2584 SEQ=1 MARK=0x1000

Despejo TCP:

root@ubuntu-24:~# tcpdump -i eth8 proto 50 or host 3.3.3.3 -nn
17:58:41.992237 IP 3.3.3.3 > 2.2.2.2: ICMP echo request, id 2603, seq 1, length 64
^C
1 packet captured
1 packet received by filter
0 packets dropped by kernel

O inverso está ok:

root@ubuntu-24:~# tcpdump -i eth8 proto 50 or host 3.3.3.3 -nn
18:00:04.880886 IP 1.1.1.1 > 1.1.1.2: ESP(spi=0xc98cba8d,seq=0x2), length 136
18:00:04.881265 IP 2.2.2.2 > 3.3.3.3: ICMP echo request, id 59100, seq 1, length 64
18:00:04.882554 IP 3.3.3.3 > 2.2.2.2: ICMP echo reply, id 59100, seq 1, length 64
^C
3 packets captured
3 packets received by filter
0 packets dropped by kernel

Eu sei que o problema é com mark_out, porque se eu comentar, tudo funciona como esperado, mas preciso marcar.

Joseph

Asked: 2025-04-16 16:20:15 +0800 CST

Servidor mostrando um certificado raiz na cadeia que não deveria estar

3

Ambiente: Windows Server 2019, Nível Funcional de Floresta/Domínio - 2016, ~40 controladores de domínio com ~17 sites

Estrutura da PKI: Recebemos certificados emitidos por terceiros. Enviamos CSRs a eles e recebemos um certificado deles. Historicamente e atualmente, a cadeia de certificados segue: Raiz > Intermediário > Certificado de Máquina/Usuário.

Tenho o servidor1 e os servidores2-4 em um site, cada um com certificados. Se eu verificar (usando a interface do Windows) a cadeia de certificados de ambos os servidores no servidor2, a cadeia de certificados parece estar como esperado. Se eu verificar no servidor1, há outro certificado misteriosamente aparecendo no topo da cadeia para AMBOS os servidores.

Parece que meu certificado de CA raiz foi emitido por outro certificado, mas não é.

Gostaria de saber por que esses certificados mostram certificados diferentes na raiz quando visualizados em servidores diferentes.

O Servidor 1 aparece nos relatórios de vulnerabilidade como tendo sido emitido por um certificado não confiável. O Servidor 2 não aparece nesta lista. O servidor que produz esses relatórios é um servidor Linux e parece estar usando OpenSSL para realizar essas verificações.

Outra etapa de solução de problemas que fizemos foi criar um novo certificado. Antes de importar o certificado, ele mostrava uma cadeia de certificados esperada. Depois que o importei, o certificado misterioso apareceu novamente, acima do certificado raiz.

Então, antes de importá-lo, a cadeia de certificados parecia com Raiz > Intermediário > Máquina. Depois de importá-lo, parecia com isso: Nova Raiz Misteriosa > Raiz Anterior > Intermediário > Máquina.

PMetal

Asked: 2025-04-16 03:28:21 +0800 CST

Um PC com Windows 10 que está nos EUA parece pensar que está na China, apesar da configuração de região correta

5

Tenho um PC com Windows 10, que veio originalmente da China. Agora está nos EUA. As configurações de região do Windows estavam originalmente definidas para China, mas agora foram alteradas para "Estados Unidos".

No entanto, quando visualizo a web, ela me direciona para versões em chinês dos sites. Por exemplo, o Google.com aparece parcialmente em chinês.

É quase como se eu estivesse conectado a uma VPN com um endpoint chinês. Mas não estou (pelo menos não que eu saiba).

Este é um PC importante porque é o controlador e está integrado a uma máquina de corte a laser industrial. Portanto, não posso substituí-lo facilmente.

Minhas configurações de internet estão usando DHCP e não há servidores DNS personalizados. As configurações regionais do Windows estão definidas como "Estados Unidos". Limpei o cache dos navegadores.

Alguma ideia de como fazer o PC funcionar como um PC "normal" dos EUA? Ou existe alguma maneira de saber se a máquina está roteando tráfego por meio de uma VPN para a China sem o meu conhecimento?

Jaroslav Kucera

Asked: 2025-04-15 16:32:42 +0800 CST

Como obter o IP do DELL iDRAC do Linux?

11

De alguma forma, a entrada do nosso iDRAC foi perdida no DNS.

Existe uma maneira de descobrir o IP do iDRAC do Linux (RHEL 8) em execução no nó?

Reinicializar para verificar o console físico não é uma opção.

Como lidar com discos grandes ao escolher um sistema de arquivos?

Gerar certificado curinga usando a CA do Windows

Sintaxe nftables para correspondência de políticas ipsec/xfrm

Como posso alterar a duração da validade de um token obtido com `az account get-access-token`?

O certificado expirado ainda aparece como válido no navegador

Leitura/gravação extremamente lenta em XFS + LUNs multicaminhos, apesar do excelente desempenho do fio (Oracle Linux 9.5)

A marca de política de saída XFRM não corresponde à marca de pacote definida no IPtables

Servidor mostrando um certificado raiz na cadeia que não deveria estar

Um PC com Windows 10 que está nos EUA parece pensar que está na China, apesar da configuração de região correta

Como obter o IP do DELL iDRAC do Linux?

Você pode passar usuário/passar para autenticação básica HTTP em parâmetros de URL?

Ping uma porta específica

Verifique se a porta está aberta ou fechada em um servidor Linux?

Como automatizar o login SSH com senha?

Como posso dizer ao Git para Windows onde encontrar minha chave RSA privada?

Qual é o nome de usuário/senha de superusuário padrão para postgres após uma nova instalação?

Qual porta o SFTP usa?

Linha de comando para listar usuários em um grupo do Windows Active Directory?

O que é um arquivo Pem e como ele difere de outros formatos de arquivo de chave gerada pelo OpenSSL?

Como determinar se uma variável bash está vazia?

All perguntas(server)