Descobri recentemente que meu *.domain.comnão pode ser usado em server1.apps.domain.com porque só "selvagem" em um nível, não em dois.
As questões são assim duplas:
*.*.domain.comcertificado?
Eu tenho um problema onde o IIS não consegue desligar corretamente. IOW, quando fazemos a sequência padrão NET STOP / NET START, acabamos com um serviço que está encerrando... para sempre. Isso faz com que a implantação do meu aplicativo falhe ao tentar reiniciar o IIS.
Pensei em migrar para o uso de taskkill. Mas os resultados abaixo me intrigam. taskkill relata o encerramento bem-sucedido, mas o processo ainda está lá.
Como faço o taskkill fazer o que é necessário?
Microsoft Windows [Version 6.3.9600]
(c) 2013 Microsoft Corporation. All rights reserved.
C:\Users\Administrator>tasklist /svc|find "W3SVC"
svchost.exe 1456 W3SVC, WAS
C:\Users\Administrator>taskkill /PID 1456 /F
SUCCESS: The process with PID 1456 has been terminated.
C:\Users\Administrator>tasklist /svc|find "W3SVC"
svchost.exe 1456 W3SVC, WAS
C:\Users\Administrator>taskkill /PID 1456 /F
ERROR: The process with PID 1456 could not be terminated.
Reason: There is no running instance of the task.
C:\Users\Administrator>tasklist /svc|find "W3SVC"
svchost.exe 1456 W3SVC, WAS
C:\Users\Administrator>
No Windows Server 2016
Eu tenho um servidor web python simples (no frasco). Funciona muito bem e escuta na porta 80 (ou o que eu configurar para escutar).
Eu preciso servi-lo por SSL.
Eu tenho um bom certificado e o importei para o armazenamento de certificados pessoais/computador.
Então corri:
netsh http add sslcert ipport=0.0.0.0:443 certhash=8caef2be185a0c94d################ appid="{7E46BD40-39C6-4813-B414-019AD3332421}"
netsh http add urlacl url=https://+:443/ user=Everyone
Os comandos rodam bem. Eu corro o servidor web do flask em 443, mas ele está servindo sem criptografia. Por exemplo
https://host/ // fails, because the server is serving plain text
http://host:443 // works, because the traffic ain't ssl-ified
Como resolver?
Para ser claro: Como resolver sem tocar no código do frasco (não queremos colocar o certificado SSL no sistema de arquivos, isso não é seguro). Eu acredito que o netsh pode ser usado para encerrar o SSL na frente de um servidor web arbitrário?
Temos um host Hyper-V e estamos movendo as VMs para o VMWare ESX.
O VMWare Converter parece ser a única ferramenta disponível. (Achei que o Hyper-V poderia salvar/exportar para OVF, mas pareço estar enganado.)
A questão é: o VMWare Converter pode fazer uma conversão estática em disco, dos formatos Hyper-V para OVF ou ESX, sem uma conexão com o ESX, ou requer um login no ESX para fazer a conversão?
(Precisamos dividir o processo, porque o acesso ao ESX/VCenter/VSphere é altamente restrito em nosso ambiente.)
Usando RPM para atualizar do logstash 5.4.1 para 5.6.4
Tudo correu bem, mas o comando:
yum localinstall logstash-5.6.4.rpm
resultou no meu /etc/logstash/logstash.yml sendo substituído pela configuração no rpm.
Não me lembro de ter visto um RPM fazer isso antes.
O RPM teria feito um backup em algum lugar mágico do arquivo yml anterior?
Estou configurando um único nó elasticsearch de 750 GB (para logstash) no CentOS 6.8
Devo apenas configurá-lo como um único disco grande (inicialização e tudo em uma partição)?
Ou devo fazer o seguinte:
/boot # small, 15GB or so
/ everything else #750GB
Ou ?
Temos um aplicativo html 5 super tagarela (ajax) (semelhante ao gmail em sua construção, toneladas de js).
A leitura do QUIC parece interessante. https://en.wikipedia.org/wiki/QUIC
O IIS (ou qualquer mecanismo de hospedagem .NET) oferece suporte ao QUIC?
Se o IIS/Win não puder fazer isso, posso fazê-lo em uma instância haproxy (no CentOS) na frente do IIS?
A VM existente está sendo executada em prod. Fiz uma exportação e depois uma importação para cloná-lo. O clone está atualmente no estado parado.... Estou quase com medo de acioná-lo!
Qual é o melhor passo agora para ativar o sistema operacional (sem conectar-se à rede), definir os IPs como exclusivos e, em seguida, ativar todo o caminho?
Esta é uma instância de produção do redis 2.8.13 no centos.
Em nosso redis.conf, temos isto:
rename-command CONFIG ""
E agora... queremos executar o monitor de latência que requer o uso do comando CONFIG.
Temos acesso root, este é o nosso próprio servidor dedicado. É possível modificar o arquivo conf e recarregar a configuração sem reiniciar o redis? (Este é um sistema de produção)
Eu tenho um script powershell que funciona muito bem na linha cmd, mas falha muito ao executar no agendador de tarefas.
Portanto, preciso ver toda a saída do console de todos os comandos.
O script faz muitos comandos externos (net use, robocopy, etc). A saída desses comandos é o que eu mais preciso.
Não queremos instrumentar cada comando, porque é feio e porque precisamos executá-lo interativamente (e ver o que está acontecendo).
Eu tentei o powershell "Start-Transcript" com -Verbose, mas NENHUM dos comandos é registrado no arquivo de transcrição. Mesmo quando seguimos esta diretriz de um cara da equipe do powershell: | Out-Default (por exemplo, ipconfig.exe | Out-Default), AINDA não vemos a saída na transcrição.
Qual o proximo?
Vamos usar o robocopy para manter uma pilha de arquivos criptografados sincronizados com um compartilhamento de arquivos do Azure.
Mas o que precisamos abrir no firewall para permitir que o servidor de backup acesse um compartilhamento de arquivos de armazenamento do Azure? (Esta será uma conexão SMB3 do Win2012-R2 para o armazenamento do Azure)
a) Abra a porta 445
b) Mas quais endereços IP?
Nossa conta de armazenamento diz regiões: Leste dos EUA, Oeste dos EUA
Encontrei esta página: https://www.microsoft.com/en-us/download/confirmation.aspx?id=41653
que fornece uma GRANDE lista de intervalos (50-100) para cobrir essas duas regiões.
Devo adicionar todos esses intervalos ao nosso firewall ou existe uma maneira mais direcionada de descobrir os intervalos de IP para acessar:
.file.core.windows.net
?
(Editado para corresponder ao entendimento dos redatores de respostas - Pergunta nova, atualizada e clara postada aqui: Active Directory + Google Authenticator - Suporte nativo no Windows Server? )
Pesquisa feita até agora
Há um artigo da technet sobre como usar o Google Authenticator com Active Directory Federated Services (AD FS): https://blogs.technet.microsoft.com/cloudpfe/2014/10/26/using-time-based-one-time -passwords-for-multi-factor-authentication-in-ad-fs-3-0/
Estranhamente, parece ser um projeto de desenvolvimento, exigindo algum código e seu próprio banco de dados SQL.
Não estamos falando aqui do AD FS especificamente. Estamos procurando, quando você chegar lá, 2FA, preferencialmente compatível com RFCs do Google Authenticator, integrado ao AD.
O backup do Azure é exatamente o que estamos procurando.
A ferramenta que faz a movimentação de dados é o utilitário Azure Backup ( https://www.microsoft.com/en-us/download/details.aspx?id=49170 )
Nossa primeira observação é que requer SQL Server (que é um requisito pesado!).
Mas então a música parou quando exigia AD.
Como nos movemos nessa direção sem AD?
ES 1.7.x no CentOS
Nosso cluster ES de produção caiu muito. Perdemos todo o índice. Acontece que isso estava nos logs por um dia ou mais:
New used memory from field ### would be larger than configured breaker
OK.
Qual url no ES posso acessar para ver se os problemas estão acontecendo? (Monitoramento de log não faz parte do nosso regime de monitoramento, mas acessar um URL ES é fácil para nós.)
Usamos urls de saúde do cluster agora, então vemos o cluster ficar amarelo/vermelho, mas (até agora), não vimos como ver externamente os problemas chegando (então somos derrotados).
Eu entendi corretamente, por experiência, que os tipos mime text/* não são suportados no nginx?
A configuração era:
gzip_types
text/css
text/*
E o javascript não foi gzipado.
Frequentou
gzip_types
text/css
text/*
text/javascript
e agora o javascript está gzipado .... (então devo descartar text/* certo?)
nginx 1.7.9 no linux
Questão:
Ao usar o nginx, os servidores da Web veem todas as solicitações como provenientes de http, mesmo quando chegam via https.
Usando o rastreamento de solicitação do IIS, vemos a solicitação chegando assim, mesmo quando a solicitação externa (do navegador) é https://myapp.com:443/appdir/:
RequestURL="http://myapp.com:80/appdir/"
Mas em nosso balanceador de carga de hardware (que estamos tentando eliminar), ele vem corretamente como:
RequestURL="https://myapp.com:443/appdir/"
O aplicativo precisa ver o https, depende disso. (Ele tenta forçar as conexões a serem seguras.)
Sabemos como usar o X-Forwarded-Proto e similares para informar ao aplicativo que a solicitação veio via SSL, no entanto, parte do aplicativo é construída em torno da própria solicitação e talvez não possamos modificá-la.
O balanceador de carga de hardware pode "fazer tudo" - encerrar o ssl e enviar solicitações "fingidas" de volta ao aplicativo (pela porta 80) que parecem ser solicitações para https.
Como faço para que o nginx passe o URL de solicitação completo e inalterado de volta aos servidores?
Configuração:
http {
upstream sandbox_site {
least_conn;
# we pipe to back end on port 80 only, so that nginx handles all ssl
server 192.168.2.16:80 max_fails=1 fail_timeout=60s; # sbox3-site is .2.16
}
server {
# This is sandbox.myapp.com block **************************************
listen 192.168.2.27:80;
server_name sandbox.myapp.com;
location / {
proxy_pass http://sandbox_site;
proxy_redirect off;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
}
server {
# This is SSL version of sandbox.myapp.com block **************************************
listen 192.168.2.27:443 ssl;
server_name sandbox.myapp.com;
ssl_certificate new-sandbox-myapp-com.cer;
ssl_certificate_key new-sandbox-myapp-com.key;
ssl_protocols SSLv3 TLSv1;
ssl_ciphers HIGH:!aNULL:!MD5;
location / {
proxy_pass http://sandbox_site;
proxy_redirect off;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
}
}
Procurando o caminho para empacotar um aplicativo asp.net no IIS em um contêiner docker.
Os documentos/exemplos que vimos até agora mostram como empacotar um aplicativo do Windows (e, por extensão, serviço do Windows) em um contêiner docker:
A partir disso, podemos ver como empacotar um servidor apache junto com nosso aplicativo em um contêiner docker.
Mas o que não vemos são docs/vision para incorporar a instância do IIS (com nosso aplicativo instalado nela) em um contêiner docker.
Onde encontrar tais documentos/exemplos?
(Temos um aplicativo asp.net no IIS 8.5 / .NET 4.51)
Usamos nginx para balanceamento de carga para um par de servidores websocket e encontramos um problema.
Ele não sairá ou desligará normalmente depois de conectar o tráfego a um servidor de soquete da web. Por exemplo, service nginx stop ou nginx -s quit ou nginx -s reload faz com que um ou mais processos de trabalho relatem "o processo de trabalho está sendo encerrado" para sempre.
O fluxo é:
Nós rodamos nginx no centos v6
Detalhes de nossas opções de compilação e configuração de alto nível:
[root@nginx1 nginx]# nginx -V
nginx version: nginx/1.7.9
built by gcc 4.4.7 20120313 (Red Hat 4.4.7-11) (GCC)
TLS SNI support enabled
configure arguments: --user=nginx --group=nginx --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --conf-path=/etc/nginx/nginx.conf --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --with-http_gzip_static_module
--with-http_ssl_module --add-module=/opt/nginx_upstream_check_module-master/
Nossa configuração está abaixo. Como vamos perseguir isso? No momento, somos forçados a executar/reiniciar o nginx para atualizar a configuração.
worker_processes 2;
error_log logs/error.log;
events {
worker_connections 20000;
}
worker_rlimit_nofile 40000;
http {
include mime.types;
default_type application/octet-stream;
sendfile on;
keepalive_timeout 65;
upstream websocketserver {
server 192.168.2.16:3842 max_fails=1 fail_timeout=60s;
server 192.168.2.19:3842 max_fails=1 fail_timeout=60s;
}
server {
listen 192.168.2.28:80;
location / {
proxy_pass http://websocketserver;
proxy_next_upstream error timeout invalid_header http_500;
proxy_connect_timeout 2;
proxy_read_timeout 86400;
# WebSocket support (nginx 1.4)
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
}
location / {
deny all;
return 404;
}
}
}
Usamos nginx no centos 6 e o script init.d daqui: https://gist.github.com/sairam/5892520/raw/b8195a71e944d46271c8a49f2717f70bcd04bf1a/etc-init.d-nginx
Tudo "funciona"
Nginx é executado, etc.
No entanto, em certos casos, depois de usar este script init.d via ssh, o script, tanto via ssh quanto como root no console, apenas parece funcionar.
Por exemplo
service nginx stop
[OK]
Mas o nginx ainda está em execução ....
service nginx restart
[OK]
Mas o serviço está rodando com o mesmo pid e nunca saiu.
Reiniciar a caixa parece ser a única maneira de fazer o serviço parar e reiniciar corretamente.
Etapas completas e problemas mostrados abaixo.
Como eu abordo este problema?
Aqui eu faço login como sysadmin e, em seguida, su para executar os comandos:
Aqui eu apenas logo como root para começar. O mesmo problema:
Nós ganhamos principalmente (mas não exclusivamente) servidores.
De preferência, podemos iniciar o sistema operacional e fazer pouco ou nada para deixá-lo pronto para receber comandos (sabemos que podemos precisar criar uma imagem base com um agente ou servidor ssh nele).
Precisa ser capaz de instalar mongodb, aplicativos baseados em java, configuração do iis, etc.
Qual ferramenta tem o suporte/comunidade do Windows mais forte e (se possível) a pegada init mais leve?
Resposta operacional: Powershell DSC.
Esta não é a história completa (não faz tudo o que o chef/boneco/etc faz), mas atende a muitas necessidades, funciona muito bem e está pronto para uso no win 8.1/2012-R2/10. Estamos muito felizes com isso.