Josh's questions

Ouvi muitas vezes que os instantâneos do ZFS são "gratuitos", que por causa dos instantâneos de design copy-on-write do ZFS não consomem nenhum espaço em disco, a menos que os dados sejam alterados, e só então o uso do espaço é limitado aos blocos que realmente mudado. Muitas respostas no Stack Exchange e postagens na Internet em geral fazem essa afirmação ou dizem que o espaço usado é "insignificante"

Quão precisas são essas declarações? Quanto espaço em disco os instantâneos do ZFS realmente usam?

Eu vi uma coisa curiosa nos logs do IDS recentemente. Era um relatório de uma conexão de saída que mostrava o processo pai como /usr/sbin/sshd -R.

Estou ciente do -Rargumento para ssh(cliente) para encaminhamento de porta remoto, mas nunca vi uma -Ropção para o sshd daemon .

Não -Raparece em man sshd. O que esse argumento faz?

Minha organização tem uma Autoridade de Certificação (CA) interna que já geramos muitos certificados internos e instalamos em máquinas.

Estou configurando um servidor LDAP/Kerberos FreeIPA e após a instalação inicial, ele gerou uma CA interna própria que posso ver na interface da web.

Gostaria de assinar a CA FreeIPA com a CA da organização existente para estabelecer uma cadeia de certificados confiáveis. Estou seguindo as instruções do FreeIPA para renovar manualmente um certificado de CA IdM assinado externamente, que acredito cobrir a assinatura da CA do FreeIPA com uma CA externa. Isso produziu um CSR que eu assinei usando a CA existente para produzir uma nova CA FreeIPA assinada.

No entanto, fiquei preso tentando reimportar a CA + Certificate Chain recém-assinada usando o ipa-cacert-manage renew --external-cert-filecomando. Quando executo isso como as instruções dizem, recebo um erro de que a cadeia de certificados da CA está incompleta porque está faltando um dos certificados na cadeia:

[root@lockandkey ~]# ipa-cacert-manage renew --external-cert-file=/tmp/LockAndKey_FreeIPA_CA.crt  --external-cert-file=/tmp/dfca.crt --external-cert-file=/tmp/jgca.crt 
Importing the renewed CA certificate, please wait
CA certificate chain in /tmp/LockAndKey_FreeIPA_CA.crt, 
/tmp/dfca.crt, /tmp/jgca.crt is incomplete: missing certificate with subject 
'[email protected],CN=ca.digitalfruition.com,OU=Internal CA,O=Digital Fruition\, LLC,L=Newland,ST=North Carolina,C=US'
The ipa-cacert-manage command failed.

No entanto, esse certificado foi fornecido em um dos --external-cert-fileargumentos. Eu também tentei com um arquivo "CA Bundle" (vários certificados em um arquivo) e o resultado foi o mesmo.

Aprofundando mais, o problema parece estar load_external_certem installutils.py

    trust_chain = list(reversed(nssdb.get_trust_chain(ca_nickname)))
    ca_cert_chain = []
    for nickname in trust_chain:
        cert, subject, issuer = cache[nickname]
        ca_cert_chain.append(cert)
        if subject == issuer:
            break
    else:
        raise ScriptError(
            "CA certificate chain in %s is incomplete: "
            "missing certificate with subject '%s'" %
            (", ".join(files), issuer))

A execução ipa-cacert-manage renewno modo detalhado mostra que ele encontra todos os certificados na cadeia, mas quando chega à [arte onde trust_chainé formado, o trust_chain único contém o certificado FreeIPA e não o restante da cadeia . Consegui reproduzir o cenário desenrolando os comandos e reproduzindo-os no meu terminal. Aqui é onde ele se decompõe:

A FreeIPA ipa-cacert-manage renewestá chamando certutilpara "Imprimir a cadeia de certificados" usando a -Oopção, da seguinte forma:

[root@lockandkey ~]# /usr/bin/certutil -d dbm:/tmp/tmppTphXX -O -n 'CN=Certificate Authority,O=FARCRY.SITEPALETTE.COM' -f /tmp/tmppTphXX/pwdfile.txt
"CN=Certificate Authority,O=FARCRY.SITEPALETTE.COM" [CN=Certificate Authority,O=FARCRY.SITEPALETTE.COM]

Porém certutilnão está imprimindo toda a cadeia, mesmo que o certificado seja assinado por outra CA que esteja no truststore. Você pode ver que certutilmostra a cadeia apropriada quando eu a chamo na CA intermediária:

[root@lockandkey ~]# /usr/bin/certutil -d dbm:/tmp/tmppTphXX -O -n '[email protected],CN=ca.digitalfruition.com,OU=Internal CA,O=Digital Fruition\, LLC,L=Newland,ST=North Carolina,C=US' -f /tmp/tmppTphXX/pwdfile.txt
"[email protected],CN=Joshua Gitlin,OU=ca.josh.gitlin.name,O=Personal Certificate Authority,L=Newland,ST=North Carolina,C=US" [[email protected],CN=Joshua Gitlin,OU=ca.josh.gitlin.name,O=Personal Certificate Authority,L=Newland,ST=North Carolina,C=US]

  "[email protected],CN=ca.digitalfruition.com,OU=Internal CA,O=Digital Fruition\, LLC,L=Newland,ST=North Carolina,C=US" [[email protected],CN=ca.digitalfruition.com,OU=Internal CA,O="Digital Fruition, LLC",L=Newland,ST=North Carolina,C=US]

Então, eu acredito que este é um problema com certutil, mas isso é até onde eu cheguei até agora.

Depurando isso ainda mais, decidi que, por algum motivo certutil, não gosta do certificado que gerei, portanto, pode ser um problema com algo nesse CSR. Outros certificados validam bem...

Estou fazendo algo errado? Qual é a maneira correta de assinar uma Autoridade de Certificação FreeIPA com outra CA interna?

Ao tentar substituir um disco em um zpool em um sistema FreeBSD 10.3-RELEASE-p20 ontem, os sistemas de arquivos zfs pararam de responder após a emissão do zpool detach srv gpt/d0comando. O servidor atua como um servidor NFS, servidor WebDAV e destino iSCSI e, após a execução, zpool detachtodos os clientes iSCSI começaram a apresentar tempos limite.

Isso aparentemente causou o travamento de todo o subsistema ZFS. zpool statusou qualquer outro comando simplesmente travaria e não produziria nenhuma saída. Não havia nada aparecendo no dmesg, e topnão mostrava nenhum processo consumindo uma grande quantidade de CPU. No final, não conseguimos encontrar nenhuma solução e fomos forçados a reinicializar o sistema (inclusive usando uma reinicialização forçada porque uma reinicialização suave falhou ao reiniciar o sistema após interromper todos os serviços) para colocar os destinos iSCSI novamente online.

O que causa essa situação e como podemos evitá-la? Como podemos evitar zpool detachtravamentos ao substituir um dispositivo em um pool ZFS no FreeBSD?

No VMWare ESXi / vSphere, você pode marcar um disco ou LUN como "Flash" , indicando que o disco é um SSD (ou o LUN é suportado por armazenamento em SSD/flash)

Ao fazer isso, você recebe o seguinte aviso:

Marcar discos HDD como discos flash pode deteriorar o desempenho de datastores e serviços que os utilizam. Marque os discos como discos flash somente se tiver certeza de que esses discos são discos flash.

Este aviso me deixa curioso: o que a marcação de um LUN como flash realmente faz? Como isso altera o comportamento/desempenho da VMware? Como poderia deteriorar o desempenho, ou seja, o que tecnicamente muda em um nível baixo?

Tenho duas redes NAT conectadas através de um túnel ponto a ponto da seguinte forma:

  | Machine A  |                                         | Machine B  |
  | 1.2.3.4    |<-10.101.3.2-------tun------10.101.3.1-> | 4.5.6.7    |
  | 10.110.0.1 |                                         | 10.100.1.1 |
  -----+--------                                         --------+-----
       |                                                         |
 [ 10.110.1.0/24 net ]                                   [ 10.100.0.0/16 net]

A máquina A tem um IP público ligado eth0e um IP privado 10.110.1.1ligado vmbr0e está conectada à Internet por meio de uma VPN ptp com a Máquina B, que tem um IP público ligado en0e um IP privado ligado en1(e várias outras redes privadas)

Existem clientes em ambas as LANs usando NAT com dois IPs públicos. Isso funciona bem. (É feito usando iptables na máquina A e pfSense na máquina B)

O roteamento é configurado de forma que a Máquina A possa executar ping no IP privado da Máquina B 10.100.1.1 e acessar todos os hosts na rede B 10.100.0.0/16. Da mesma forma, a Máquina B (e todos os hosts na rede B) podem acessar a Máquina A e todos os hosts na Rede A10.110.1.0/16

No entanto, os hosts na rede A não podem estabelecer conexões com os hosts na rede B (por exemplo 10.110.1.2, não podem fazer ping nem SSH para 10.100.10.50)

Eu suspeito que isso tenha algo a ver com a configuração do iptables em A, porque o SSH de 10.100.10.50 para 10.110.1.2funciona, mas não consigo fazer o SSH na direção reversa. Isso me diz que minha regra iptables FILTER RELATED,ESTABLISHEDfunciona, mas de alguma forma eu suspeito que a máquina A está tentando NAT e usar eth0para novas conexões.

Adicionei regras do iptables em todos os lugares que pensei ACCEPT destination 10.100.0.0/16que eram necessários e, mesmo em lugares que não pensei que fossem necessários quando as coisas não funcionavam e ainda não consigo obter conexões de saída da rede A para a rede B funcionando.

Como posso conectar corretamente duas redes privadas com NAT por meio de um túnel ponto a ponto usando o iptables?

Informação adicional:

iptables na máquina A:

Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             10.100.0.0/16       
DNAT       tcp  --  anywhere             anywhere             tcp dpt:http to:10.110.1.3:80
DNAT       tcp  --  anywhere             anywhere             tcp dpt:https to:10.110.1.3:443
DNAT       tcp  --  anywhere             anywhere             tcp dpt:xmpp-client to:10.110.1.4:5222
DNAT       tcp  --  anywhere             anywhere             tcp dpt:5281 to:10.110.1.4:5281
DNAT       tcp  --  anywhere             anywhere             tcp dpt:64738 to:10.110.1.4:64738
DNAT       udp  --  anywhere             anywhere             udp dpt:64738 to:10.110.1.4:64738
DNAT       udp  --  anywhere             anywhere             udp multiport dports isakmp,ipsec-nat-t to:10.110.1.10:1194

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             10.100.0.0/16       
ACCEPT     all  --  anywhere             10.101.0.0/16       
MASQUERADE  all  --  10.110.1.0/24        anywhere            
MASQUERADE  all  --  10.110.1.0/24        anywhere            
MASQUERADE  all  --  10.110.1.0/24        anywhere  

Eu tenho um ZFS zpool no linux no kernel 2.6.32-431.11.2.el6.x86_64 que possui um único vdev. O vdev é um dispositivo SAN. Expandi o tamanho da SAN, e apesar do zpool ter autoexpandconfigurado para on, mesmo depois de reiniciar a máquina, exportar/importar o pool e usar zpool online -e, não consegui expandir o pool. Tenho certeza de que o vdev é maior porque fdiskmostra que aumentou de 215 GiB para 250 GiB. Aqui está uma amostra do que eu fiz:

[root@timestandstill ~]# zpool list
NAME          SIZE  ALLOC   FREE    CAP  DEDUP  HEALTH  ALTROOT
dfbackup      214G   207G  7.49G    96%  1.00x  ONLINE  -
[root@timestandstill ~]# zpool import -d /dev/disk/by-id/
   pool: dfbackup
     id: 12129781223864362535
  state: ONLINE
 action: The pool can be imported using its name or numeric identifier.
 config:

    dfbackup             ONLINE
      virtio-sbs-XLPH83  ONLINE
[root@timestandstill ~]# zpool import -d /dev/disk/by-id/ dfbackup
[root@timestandstill ~]# zpool list
NAME          SIZE  ALLOC   FREE    CAP  DEDUP  HEALTH  ALTROOT
dfbackup      214G   207G  7.49G    96%  1.00x  ONLINE  -
venuebackup   248G   244G  3.87G    98%  1.00x  ONLINE  -
[root@timestandstill ~]# zpool get autoexpand dfbackup
NAME      PROPERTY    VALUE   SOURCE
dfbackup  autoexpand  on      local
[root@timestandstill ~]# zpool set autoexpand=off dfbackup
[root@timestandstill ~]# zpool set autoexpand=on dfbackup
[root@timestandstill ~]# zpool list
NAME          SIZE  ALLOC   FREE    CAP  DEDUP  HEALTH  ALTROOT
dfbackup      214G   207G  7.49G    96%  1.00x  ONLINE  -
venuebackup   248G   244G  3.87G    98%  1.00x  ONLINE  -
[root@timestandstill ~]# zpool status -v dfbackup
  pool: dfbackup
 state: ONLINE
  scan: none requested
config:

    NAME                 STATE     READ WRITE CKSUM
    dfbackup             ONLINE       0     0     0
      virtio-sbs-XLPH83  ONLINE       0     0     0

errors: No known data errors
[root@timestandstill ~]# fdisk /dev/disk/by-id/virtio-sbs-XLPH83

WARNING: GPT (GUID Partition Table) detected on '/dev/disk/by-id/virtio-sbs-XLPH83'! The util fdisk doesn't support GPT. Use GNU Parted.


WARNING: DOS-compatible mode is deprecated. It's strongly recommended to
         switch off the mode (command 'c') and change display units to
         sectors (command 'u').

Command (m for help): p

Disk /dev/disk/by-id/virtio-sbs-XLPH83: 268.4 GB, 268435456000 bytes
256 heads, 63 sectors/track, 32507 cylinders
Units = cylinders of 16128 * 512 = 8257536 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disk identifier: 0x00000000

                             Device Boot      Start         End      Blocks   Id  System
/dev/disk/by-id/virtio-sbs-XLPH83-part1               1       27957   225443839+  ee  GPT

Command (m for help): q
[root@timestandstill ~]# zpool online -e dfbackup /dev/disk/by-id/virtio-sbs-XLPH83
[root@timestandstill ~]# zpool list
NAME          SIZE  ALLOC   FREE    CAP  DEDUP  HEALTH  ALTROOT
dfbackup      214G   207G  7.49G    96%  1.00x  ONLINE  -
venuebackup   248G   244G  3.87G    98%  1.00x  ONLINE  -
[root@timestandstill ~]# zpool status -v dfbackup
  pool: dfbackup
 state: ONLINE
  scan: none requested
config:

    NAME                 STATE     READ WRITE CKSUM
    dfbackup             ONLINE       0     0     0
      virtio-sbs-XLPH83  ONLINE       0     0     0

errors: No known data errors

Como posso expandir este zpool?