All perguntas(server)

Eu uso o monit há algum tempo. Uma das verificações que fiz foi ter certeza de que meu servidor de e-mail não estava sendo abusado. Eu uso milter-limit para limitar a taxa de envio - e ele registra no syslog. Antes do bookworm, consegui fazer com que ele verificasse o arquivo syslog em busca de conteúdo específico. Não vi nada que me permita fazer isso com o diário do systemd - existe uma maneira?

Investigando, parece que logcheck ou journalcheck poderia ser usado para criar um script para o monit executar e verificar a saída, mas talvez esteja faltando uma opção mais fácil?

Queria postar uma foto da minha rede, mas não tenho reputação suficiente, então vou tentar explicar sem ela:

Tenho um roteador R1 que é o Servidor DHCP da minha Rede, que está conectado (Interface f0/0) a um switch (SW1) e (Interface f0/2) outro roteador R2 (Interface f0/1) (que será o Servidor dns). O Switch SW1 está conectado a 3 hosts (H1-H3), H1 e H2 estão na VLAN10 e H3 na VLAN20. O roteador R2 também está conectado (Interface f0/2) a um switch SW2 que também está conectado a 3 Hosts (H4-H6), H4-H5 está na VLAN30 e H6 na VLAN40.

Percebi que R1 está fornecendo endereços IP aos hosts 1-3, mas quando tentei o mesmo para o host 4-6, não funcionou. Tentei configurar um endereço IP Helper para a VLAN30 e VLAN40 para encaminhar as mensagens de descoberta, mas não consegui funcionar :(

Configuração para R1:

version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname R1
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
memory-size iomem 5
no ip icmp rate-limit unreachable
!
!
ip cef
no ip domain lookup
no ip dhcp use vrf connected
ip dhcp excluded-address 192.168.20.1
ip dhcp excluded-address 192.168.30.1
ip dhcp excluded-address 192.168.40.1
!
ip dhcp pool VLAN10
   network 192.168.10.0 255.255.255.0
   default-router 192.168.10.1 
   dns-server 10.12.0.1 
!
ip dhcp pool VLAN20
   network 192.168.20.0 255.255.255.0
   default-router 192.168.20.1 
   dns-server 10.12.0.1 
!
ip dhcp pool VLAN30
   network 192.168.30.0 255.255.255.0
   default-router 192.168.30.1 
   dns-server 10.12.0.1 
!
ip dhcp pool VLAN40
   network 192.168.40.0 255.255.255.0
   default-router 192.168.40.1 
   dns-server 10.12.0.1 
!
!
!
!
!
!
!
!
!
!
!
!
!
!
!
!
ip tcp synwait-time 5
!
!
!
interface FastEthernet0/0
 switchport mode trunk
!
interface FastEthernet0/1
 no switchport
 ip address 10.13.0.1 255.255.255.252
!
interface FastEthernet0/2
 no switchport
 ip address 10.12.0.1 255.255.255.252
!
interface FastEthernet0/3
!
interface FastEthernet0/4
!
interface FastEthernet0/5
!
interface FastEthernet0/6
!
interface FastEthernet0/7
!
interface FastEthernet0/8
!
interface FastEthernet0/9
!
interface FastEthernet0/10
!
interface FastEthernet0/11
!
interface FastEthernet0/12
!
interface FastEthernet0/13
!
interface FastEthernet0/14
!
interface FastEthernet0/15
!
interface Vlan1
 no ip address
!
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
!
interface Vlan20
 ip address 192.168.20.1 255.255.255.0
!
!
router ospf 1
 log-adjacency-changes
 network 10.12.0.0 0.0.0.3 area 0
 network 10.13.0.0 0.0.0.3 area 0
 network 10.31.0.0 0.0.0.3 area 0
!
no ip http server
ip forward-protocol nd
!
!
!
no cdp log mismatch duplex
!
!
!
control-plane
!
!
!
!
!
!
!
!
!
line con 0
 exec-timeout 0 0
 privilege level 15
 logging synchronous
line aux 0
 exec-timeout 0 0
 privilege level 15
 logging synchronous
line vty 0 4
 login
!
!
end

Configuração para R2:

!

!
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname R2
!
boot-start-marker
boot-end-marker
!
!
no aaa new-model
memory-size iomem 5
no ip icmp rate-limit unreachable
!
!
ip cef
ip domain name example.com
ip host R2 10.32.0.1
ip host R1 10.12.0.1
ip host R3 10.23.0.2
ip host R3.example.com 10.23.0.2
ip host R1.example.com 10.12.0.1
ip host R2.example.com 10.32.0.1
ip host google.com 8.8.8.8
ip name-server 10.12.0.2
!
!
!
!
!
!
!
!
!
!
!
!
!
!
!
!
ip tcp synwait-time 5
!
!
!
interface FastEthernet0/0
 no switchport
 ip address 10.23.0.1 255.255.255.252
!
interface FastEthernet0/1
 no switchport
 ip address 10.12.0.2 255.255.255.252
!
interface FastEthernet0/2
 switchport mode trunk
!
interface FastEthernet0/3
!
interface FastEthernet0/4
!
interface FastEthernet0/5
!
interface FastEthernet0/6
!
interface FastEthernet0/7
!
interface FastEthernet0/8
!
interface FastEthernet0/9
!
interface FastEthernet0/10
!
interface FastEthernet0/11
!
interface FastEthernet0/12
!
interface FastEthernet0/13
!
interface FastEthernet0/14
!
interface FastEthernet0/15
!
interface Vlan1
 no ip address
!
interface Vlan30
 ip address 192.168.30.1 255.255.255.0
 ip helper-address 10.12.0.1
!
!
router ospf 2
 log-adjacency-changes
 network 10.12.0.0 0.0.0.3 area 0
 network 10.23.0.0 0.0.0.3 area 0
 network 10.32.0.0 0.0.0.3 area 0
!
no ip http server
ip forward-protocol nd
!
ip dns server
!
!
no cdp log mismatch duplex
!
!
!
control-plane
!
!
!
!
!
!
!
!
!
line con 0
 exec-timeout 0 0
 privilege level 15
 logging synchronous
line aux 0
 exec-timeout 0 0
 privilege level 15
 logging synchronous
line vty 0 4
 login
!
!
end

Eu sei que a VLAN40 ainda não tem um endereço auxiliar, só queria que funcionasse primeiro na VLAN30.

Eu tenho um servidor cPanel no qual escrevi um arquivo de configuração incluído com um proxy reverso para apontá-lo para um aplicativo de reação hospedado no servidor.

Aqui está um exemplo:

 ServerName my.website

ProxyRequests off

<Proxy *>
        Order deny,allow
        Allow from all
</Proxy>

<Location />
        ProxyPass http://localhost:8080/
        ProxyPassReverse http://localhost:8080/
</Location>

Meu servidor usa o Let's Encrypt AutoSSL para proteger o domínio, mas o arquivo de configuração causa problemas de redirecionamento, impedindo que o AutoSSL proteja o domínio. Tentei várias isenções para ignorar o arquivo DCV, mas nenhuma teve sucesso até agora. Como posso escrevê-lo para que o AutoSSL continue a proteger meu domínio, mesmo com o proxy reverso instalado.

No trabalho, estamos enfrentando uma espécie de problema misterioso. A cada poucas horas, uma de nossas tabelas ( tasks) vê a latência da consulta aumentar (causada pelo uso da CPU) seguida por uma explosão de LWLock:BufferContent, depois volta ao normal. Aqui está uma captura de tela dos insights de desempenho do RDS:

Fizemos muito trabalho para tentar mitigar isso, e o trabalho resultou em incidentes (anedoticamente) menos frequentes e menos graves. No entanto, o problema não desapareceu.

Primeiro notamos que havia algumas consultas que não atingiam os índices. Passei um tempo certificando-me de que todas as nossas consultas para esta tabela executassem varreduras de índice e somente de índice. As consultas tendem a ser assim:

SELECT COUNT(1) FROM tasks WHERE status = 'PENDING' AND NOT deleted

e temos índices correspondentes statuscom uma condição status = 'PENDING' AND deleted = FALSE. EXPLAIN ANALYZEmostra que o índice está sendo usado corretamente.

Descobrimos que algumas consultas que especificam uma condição em nossa userIdcoluna tinham um plano de consulta incorreto quando o usuário tinha um grande número de registros. Isso foi solucionado com correções na consulta e melhorias no índice. Pelo que podemos dizer, não há consultas que tenham um plano de consulta incorreto para quaisquer valores (ainda assim, o problema persiste).

Durante os picos, não há aumento na carga recebida. Antes, durante e depois do incidente, as consultas afetadas mostram o mesmo número de "chamadas/s" nos insights de desempenho do RDS, e nosso aplicativo cliente mostra um QPS estável, portanto, isso não é causado por um aumento nas consultas .

Observei que os EXPLAIN ANALYZEresultados dessas consultas mostram um aumento nas buscas de heap durante esses picos, mesmo para verificações somente de índice. Li que o heap ainda é atingido durante as varreduras de índice porque o mapa de visibilidade pode indicar que as páginas que contêm tuplas referenciadas pelo índice podem não estar visíveis. Este parecia ser um sinal forte: PENDINGas tarefas (conforme mostrado na consulta acima) são frequentemente linhas "quentes" que recebem muitas atualizações, por isso faz sentido que o mapa de visibilidade para páginas que contêm essas linhas exija buscas.

Para compensar, as configurações de vácuo automático foram ajustadas para causar vácuos muito mais frequentes. Agora vemos vácuos automáticos a cada poucas horas, mas o problema não desapareceu. Eu vi esses picos apenas 20 minutos após a conclusão do vácuo automático da mesa. Além disso, o número de buscas de heap relatado EXPLAIN ANALYZEdurante o pico pode ser de 1 a 2 ordens de magnitude maior que o número de PENDINGregistros de tarefas: o número raramente excede 200 no total, e podemos ver muitos milhares de buscas de heap em varreduras somente de índice para índices que contêm apenas PENDINGregistros.

Durante a depuração, percebi que o planejador de consultas tende a ajustar quais índices consulta ao longo do tempo, mesmo quando a carga permanece ~constante. Às vezes, ele escolhe índices que permitem varreduras de índice, mas não varreduras apenas de índice. Por exemplo, ele pode escolher um índice on statusalone e ignorar um índice on statuscondicional on status = 'PENDING' and not deleted, mesmo quando este último satisfaz perfeitamente a consulta. Ajustei as configurações seq_page_coste random_page_costpara ambos em 1.0vez dos padrões do Postgres (1 e 4, respectivamente), o que deve direcionar o Postgres a preferir varreduras de índice. Infelizmente, o problema persistiu (embora talvez com menos frequência). A captura de tela acima é após o ajuste das configurações.

Algumas informações adicionais:

1. O problema afeta apenas esta tabela (ou devo dizer, as consultas para esta tabela).
2. Todas as consultas na tabela durante o pico são afetadas, e não uma única consulta.

Neste ponto, estou quase sem ideias. Para referência, estamos no Postgres 14.10 rodando db.m5.16xlargecom um volume SSD GP2. Minha suspeita é que esta versão do Postgres só precisa de uma atualização (trabalho planejado), mas não é uma solução satisfatória.

Algo que me deixa um pouco perplexo é por que o uso de recursos que causa a latência é a CPU. Você pode ver na imagem acima o aumento em verde (CPU). Basicamente, em todas as consultas, deve haver muito poucos registros verificados. Todas as consultas são agregações de contagem e as condições das consultas são todas de igualdade simples. Aqui está uma das saídas de consulta afetadas quando não há pico:

Aggregate  (cost=46.02..46.03 rows=1 width=8) (actual time=0.362..0.362 rows=1 loops=1)
"  ->  Index Only Scan using ""tasks_globalPending"" on tasks  (cost=0.25..37.54 rows=3393 width=0) (actual time=0.239..0.353 rows=128 loops=1)"
        Heap Fetches: 178
Planning Time: 0.161 ms
Execution Time: 0.377 ms

Muito rápido! Indiscutivelmente extremamente eficiente (embora eu prefira zero buscas de heap). E para um COUNT()valor que nunca retorna um valor superior a 300, é surpreendente como isso pode ir de 0,4 ms para 10-20 ms por consulta e queimar esse tempo no uso da CPU. O que isso está fazendo?

Uma interrupção global foi causada quando Crowdstrike enviou um arquivo de conteúdo inválido. Isso é bem abordado em muitos outros lugares, então não vou entrar em detalhes sobre isso.

O que me interessa é se as políticas da empresa para atrasar as atualizações automáticas teriam contido a interrupção.

Crowdstrike tem uma maneira de definir políticas para limitar a versão do sensor Falcon a n-1, n-2 ou até mesmo uma construção específica. Assim, você pode atribuir um grupo de teste para obter a versão mais recente do sensor e seus grupos de produção para obter uma versão um pouco anterior.

Essa é uma prática comum usada para outros tipos de patches, como atualizações do Windows. Entendo que o ritmo seja necessariamente mais rápido para produtos de segurança da informação, mas talvez alguma forma de verificação pudesse ter sido possível.

O arquivo que causou o problema é classificado como “arquivo de conteúdo” e, portanto, é possível que não tenha sido evitado pelas políticas de atualização do sensor.

Por outro lado, o vídeo de Dave Plummer no YouTube sugeriu que Crowdstrike estava usando atualizações de conteúdo para corrigir o código do sensor sem ter que passar sempre pelo processo de aprovação de driver da Microsoft. E os números das versões dos sensores parecem aumentar bastante rapidamente. Portanto, também é possível que as políticas também controlem as atualizações de conteúdo.

Então, podemos dizer que se um cliente da Crowdstrike tivesse configurado um procedimento para testar máquinas em relação a atualizações de sensores antes de aprová-las para lançamento geral em sua empresa, que a interrupção poderia ter sido contida no(s) grupo(s) de teste?

Estamos usando o File Server Resource Manager no Windows Server 2019 para monitorar todos os compartilhamentos de rede e evitar ataques de ransomware. Inicialmente, estávamos usando uma lista negra, mas agora quero mudar para uma lista branca usando comandos do PowerShell.

Este é o comando que estou usando para criar um modelo (o FileGroup foi criado antes):

$ntf_action = New-FsrmAction -Type Command -Command "C:\WINDOWS\system32\WindowsPowerShell\v1.0\powershell.exe" -CommandParameters "c:\admin-skripte\block-ransomware\block-ransomware.ps1 '[Source Io Owner]' '[Source File Path]' '[Server]'"

New-FsrmFileScreenTemplate -Name "testing" -IncludeGroup "Whitelist" -Notification $ntf_action

Falha com erro New-FsrmFileScreenTemplate : 0x80070057, The parameter is incorrect.(ou 0x80070057, Falscher Parameter.em alemão)

macOS Sonoma 14.2.1 (23C71), recém-atualizado para 14.5 (23F79)

História

Eu tinha um script python (norgis ALKIS-Import) importando muitos dados para meu banco de dados Postgres no fim de semana. Quando voltei hoje, o banco de dados ainda estava funcionando, mas não consegui acessá-lo. Recebi esta mensagem de erro: "base/5/2703": No such file or directory. Depois de reiniciar meu Mac, ele não iniciava mais.

Cópias de segurança

Eu tenho um armazenamento conectado diretamente com RAID 10, onde faço backups diários e mensais usando um script de shell rsync e LaunchAgents. Apenas copia a pasta var-16 para o grande armazenamento. Tentei iniciar todos os backups diários (7) e o backup mensal e todos apresentaram o mesmo erro. Eu também tinha um backup com algumas semanas, mas recebo o mesmo erro. Minha mente simplesmente não consegue explicar por que diabos todos os meus backups estão danificados sem que eu toque em nenhum deles.

O que eu tentei

• Criei um novo servidor Postgres no mesmo Mac e ele funciona perfeitamente.
• Executei o servidor em outro Mac (está armazenado em um SSD externo), mas ainda recebi a mesma mensagem de erro.

Esta é a saída de log do arquivo postgresql.log após iniciar o servidor.

2024-07-22 14:29:58.728 CEST [9382] LOG:  listening on IPv6 address "::", port 5432
2024-07-22 14:29:58.728 CEST [9382] LOG:  listening on IPv4 address "0.0.0.0", port 5432
2024-07-22 14:29:58.729 CEST [9382] LOG:  listening on Unix socket "/tmp/.s.PGSQL.5432"
2024-07-22 14:29:58.744 CEST [9382] LOG:  could not open directory "pg_tblspc/.DS_Store/PG_16_202307071/pgsql_tmp": Not a directory
2024-07-22 14:29:58.744 CEST [9382] LOG:  could not open directory "pg_tblspc/.DS_Store/PG_16_202307071": Not a directory
2024-07-22 14:29:58.745 CEST [9385] LOG:  database system was interrupted while in recovery at 2024-07-22 14:23:35 CEST
2024-07-22 14:29:58.745 CEST [9385] HINT:  This probably means that some data is corrupted and you will have to use the last backup for recovery.
2024-07-22 14:30:03.952 CEST [9385] LOG:  database system was not properly shut down; automatic recovery in progress
2024-07-22 14:30:03.966 CEST [9385] FATAL:  could not open directory "pg_tblspc/.DS_Store/PG_16_202307071": Not a directory
2024-07-22 14:30:03.967 CEST [9382] LOG:  startup process (PID 9385) exited with exit code 1
2024-07-22 14:30:03.967 CEST [9382] LOG:  aborting startup due to startup process failure
2024-07-22 14:30:03.967 CEST [9382] LOG:  database system is shut down

Também não entendo por que ele deseja fazer algo em um diretório .DS_Store. Eles não são feitos e usados ​​pelo macOS?

Editar

Se alguém souber por que todos os meus backups também foram danificados, responda. De onde vieram os .DS_Stores e por que o postgres tentou fazer algo com os arquivos .DS_Store? Obrigado!

Match está funcionando apenas para * e não vejo por que isso está acontecendo. Aqui está minha configuração.

Lua

function process_record(tag, timestamp, record)
    print("Input tag: ", tag)
    print("Record: ", record["tag"])
    local s3_log = {}
    local cw_log = {}

    for k, v in pairs(record) do
        cw_log[k] = v
        cw_log["tag"] = "cw"

        s3_log[k] = v
        s3_log["tag"] = "s3"
    end
    print("S3 tag: ", s3_log["tag"])
    print("CW tag: ", cw_log["tag"])
    print("S3 Log: ", s3_log["log"])
    print("CW Log: ", cw_log["log"])
    return 2, timestamp, {s3_log, cw_log}
end

configuração

[SERVICE]
    flush 1
    daemon off
    log_level debug

[FILTER]
    Name          lua
    Match         *
    script        /append_tag.lua
    call          process_record

[FILTER]
    Name          lua
    Match         $tag cw
    script        /print.lua
    call          process_record


[FILTER]
    Name          rewrite_tag
    Match         cw
    Rule          $tag .* cw true
    Emitter_Name  cw_emitted
[OUTPUT]
    Name                cloudwatch_logs
    Match               *cw*
#    Match               *
#    Match_regex         ^(cw)$
    log_key             log
    region              af-south-1
    log_group_name      /ecs/log
    log_stream_prefix   fluent-bit-
    auto_create_group   On
    log_format          json/emf

Informações adicionais:

Versão Fluent Bit: AWS_FOR_FLUENT_BIT_VERSION 2.32.2.20240627

Configuração do AWS Fargate

Usando contêineres log_router

Em nossos servidores Debian, quero garantir que todas as conexões SSH expirem e sejam desconectadas após 8 horas. Isso foi recomendado pelo nosso consultor de segurança.

Eu executei estas etapas:

# Log in as root then:
sudo vi /etc/ssh/sshd_config
# Use / to search for and change:
ClientAliveInterval=3600
ClientAliveCountMax=8
# Second parameter is number of hours before connection times out and drops.

# Then test config:
sudo sshd -t
# Restart
sudo systemctl restart sshd

No entanto, os testes falharam. Quando eu configurei e reiniciei temporariamente ClientAliveInterval=120o ClientAliveCountMax=2daemon sshd, esperaria que a conexão caísse após 4 minutos de inatividade. No entanto, isso não aconteceu.

Alguma ideia?

Estou tentando converter algum conjunto de regras do Apache para nginx.

RewriteCond %{REQUEST_FILENAME} -d [OR]
RewriteCond %{REQUEST_FILENAME} -f
RewriteRule ^ ^$1 [N]

RewriteCond %{REQUEST_URI} (\.\w+$) [NC]
RewriteRule ^(.*)$ public/$1

RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_FILENAME} !-f
RewriteRule ^ server.php

Mas, até agora vim com esta configuração Nginx.

server {
    listen 80;
    server_name example.com;

    root /path/to/your/document/root;

    # Serve files from the public directory if they have an extension
    location ~* \.\w+$ {
        rewrite ^(.*)$ /public/$1 break;
    }

    # Route all other requests to server.php
    location / {
        try_files $uri $uri/ /server.php;
    }
}

Não está funcionando

como posso consertar isso