Luke's questions

Recebi um e-mail da AWS instruindo-me a renovar meu certificado SSL para meu domínio.

Meu certificado é gerenciado pelo ACM e meu DNS está hospedado no Route 53.

Sigo as instruções fornecidas nesta página (estou usando a verificação de DNS):

https://docs.aws.amazon.com/acm/latest/userguide/gs-acm-validate-dns.html

No entanto, depois de seguir as instruções, posso ver que o novo certificado apareceu no ACM:

Status: Issued
In Use: No
Renewal eligibility: Ineligible

Também posso ver que na Rota 53 um novo CNAMEregistro foi adicionado.

Agora, o documento que descreve as etapas para renovar o certificado não fornece as próximas etapas OU, se nenhuma etapa extra for necessária, qual é o processo após a renovação do novo certificado.

Minha suposição é que, uma vez que o certificado antigo expirar, o novo assumirá automaticamente, mas não tenho como dizer se isso é realmente o que vai acontecer ou não.

Existem outras etapas que preciso seguir após renovar um certificado no ACM com CNAMEvalidação do Route 53?

Sou relativamente novo na AWS e estou tentando projetar uma infraestrutura para meu aplicativo e estou me perguntando se devo usar um ou vários VPCs em uma única região.

Meu aplicativo consiste em algumas pilhas diferentes. Por exemplo, tenho uma pilha de registro/monitoramento que está utilizando várias instâncias do EC2. Também tenho um cluster MongoDB e um cluster RabbitMQ, cada um usando um grande número de instâncias. Ao lado disso, tenho minha pilha de aplicativos real, também consistindo em várias instâncias do EC2.

Minha pergunta é: devo executar cada uma dessas pilhas em uma única VPC ou cada uma em sua própria VPC? Se eu devo/posso executar essas pilhas em seu próprio VPC, a maioria desses VPCs deve ser acessível apenas para meu aplicativo. Em caso afirmativo, é possível/recomendado colocar na frente de cada VPC um ELB ou existem outras práticas recomendadas?

Estou tentando criar um ambiente de alta disponibilidade para meus servidores OpenVPN. Eu faço isso tendo dois servidores VPN idênticos e, na configuração do meu cliente, especifico vários remotos:

# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote vpn1 1194
remote vpn2 1194

remote-random

Isso parece funcionar. Tenho um ambiente Vagrant com dois servidores VPN e dois clientes. Depois que a rede é executada e eu paro o OpenVPN em um dos servidores VPN, o outro servidor assume.

No entanto, antes que o outro servidor assuma, há muito tempo antes que ele realmente faça isso. Se meus clientes fizerem ping entre si, levará cerca de 3 minutos para que o ping continue. Meu palpite é que os clientes estão tentando se reconectar e que o tempo limite é o problema aqui.

No meu OpenVPN client.conf, joguei com as seguintes configurações, mas não parece fazer diferença (sim, reinicio o OpenVPN nos clientes depois de alterar a configuração):

connect-retry 2
connect-retry-max 2

Como posso ajustar o tempo limite de conexão nos clientes para que eles mudem mais rapidamente para um servidor OpenVPN diferente?

Estou executando uma rede OpenVPN e um dos clientes VPN em minha rede é um servidor web que fornece acesso a alguns serviços internos usados ​​por meu aplicativo.

Normalmente, em um servidor web voltado para o público, eu abriria a porta 80 com iptables assim:

-A INPUT -p tcp --dport 80 -j ACCEPT

No entanto, fazendo isso para meu servidor web interno, isso exporá a porta 80 no IP privado ( 192.168.x.x) que é o que eu não quero, pois permitiria o acesso de outras VMs na mesma rede (que não são necessariamente controladas por mim) a esta máquina.

Como faço para definir a regra do iptables de forma que a porta 80 seja acessível apenas pelo IP da VPN ( 10.8.x.x) para que apenas o cliente VPN da minha rede possa acessá-la?

Eu tenho uma pequena rede baseada em OpenVPN reunindo vários VPSs e notei que quando adiciono um novo cliente e reinicio o servidor OpenVPN para expor o endereço IP do novo cliente, os clientes já conectados travam por 1 a 2 minutos após eles poderão ver o servidor OpenVPN novamente.

A maneira como testei isso foi fazendo com que meus clientes VPN já conectados fizessem ping no servidor VPN ( ping 10.8.0.1). Quando adiciono um novo cliente, crio um arquivo contendo o endereço IP do novo cliente no ccd/newclientarquivo. Por exemplo:

ifconfig-push 10.8.0.5 10.8.0.6

Depois de fazer isso, reinicio meu servidor OpenVPN com service openvpn restart. Neste ponto, o novo cliente é praticamente capaz de ver o servidor imediatamente, mas os clientes já conectados ficarão parados por 1 a 2 minutos, após os quais começarão a executar o ping novamente.

Tentei usar service openvpn reloadno servidor VPN, mas o comportamento parece ser o mesmo.

Qual é a melhor maneira de adicionar um novo cliente a uma rede OpenVPN existente sem afetar os clientes já existentes na rede?

Eu tenho o RabbitMQ rodando atrás do Apache mod_proxy para que eu possa acessar a interface de gerenciamento da web pela porta 80:

<VirtualHost *:80>
    ServerName rabbit.example.com

    ProxyRequests Off
    ProxyPreserveHost On

    <Proxy *>
       Order deny,allow
       Allow from all
    </Proxy>

    ProxyPass / http://localhost:15672/
    ProxyPassReverse / http://localhost:15672/

    <Location />
       Order allow,deny
       Allow from all
    </Location>
</VirtualHost>

Isso parece funcionar, no entanto, quando, por exemplo, vou para a página Filas e clico em uma das filas listadas, obtenho uma página Não encontrado e uma URL parecida com esta:

http://rabbit.example.com/#/queues/%2F/myqueue

O mesmo vale para Conexões, Canais, etc. Parece que só consigo acessar as páginas principais, mas qualquer coisa mais profunda parece resultar em Não encontrado.

Qual é a maneira correta de configurar o RabbitMQ por trás do Apache mod_proxy?

Eu corro um desktop Ubuntu com vários servidores virtuais no Virtual Box para testar coisas, etc. No passado, também tenho me conectado a outros tipos de caixas Linux VPS remotas. Atualmente, meu .ssh/known_hostsarquivo tem um monte de chaves, a maioria das quais não está mais sendo usada.

Quero limpar meu .ssh/known_hostsarquivo, mas como sei qual chave pertence a qual host? Ou seja, como posso saber quais chaves posso remover com segurança e quais devo deixar em paz?