主页 / user-110653

Antonis Christofides's questions

Martin Hope
Antonis Christofides
Asked: 2023-01-26 00:41:53 +0800 CST
  • 5

我已将 Postfix 配置为将所有电子邮件发送到智能主机，它可以正常工作数周。但是它时不时地停止工作并在日志中显示诸如此类的消息（前两行是最后一次成功发送，后两行是第一条失败的消息）：

Nov 24 20:05:30 nextcloud postfix/smtp[443568]: 3882C1B5D8A: to=<xxxxxx>, relay=relay.grnet.gr[83.212.2.185]:587, delay=2.3, delays=1.3/0/0.02/1, dsn=2.0.0, status=sent (250 OK id=1oyGbJ-0001PM-H2)
Nov 24 20:05:30 nextcloud postfix/qmgr[193834]: 3882C1B5D8A: removed
Nov 24 20:44:43 nextcloud postfix/postfix-script[1563]: warning: symlink leaves directory: /etc/postfix/./makedefs.out
Nov 24 20:44:46 nextcloud postfix/postfix-script[1751]: warning: /var/spool/postfix/etc/resolv.conf and /etc/resolv.conf differ
Nov 24 20:44:46 nextcloud postfix/postfix-script[1772]: starting the Postfix mail system
Nov 24 20:44:46 nextcloud postfix/master[1774]: daemon started -- version 3.4.13, configuration /etc/postfix
Nov 24 21:05:19 nextcloud postfix/smtpd[4252]: warning: dict_nis_init: NIS domain name not set - NIS lookups disabled
Nov 24 21:05:19 nextcloud postfix/smtpd[4252]: connect from localhost[127.0.0.1]
Nov 24 21:05:19 nextcloud postfix/smtpd[4252]: E76A51B5819: client=localhost[127.0.0.1]
Nov 24 21:05:20 nextcloud postfix/cleanup[4257]: E76A51B5819: message-id=<[email protected]>
Nov 24 21:05:20 nextcloud postfix/smtpd[4252]: disconnect from localhost[127.0.0.1] ehlo=1 mail=1 rcpt=1 data=1 quit=1 commands=5
Nov 24 21:05:20 nextcloud postfix/qmgr[1776]: E76A51B5819: from=<xxxxxx>, size=37076, nrcpt=1 (queue active)
Nov 24 21:05:21 nextcloud postfix/smtp[4258]: E76A51B5819: to=<xxxxxx>, relay=none, delay=0.36, delays=0.33/0.03/0/0, dsn=4.4.3, status=deferred (Host or domain name not found. Name service error for name=relay.grnet.gr type=MX: Host not found, try again)

后来就一直保持这个状态（有一次卡了大概三个星期才发现）；所有消息都失败并保留在队列中。当我重新启动它时，它再次工作，发送所有延迟的消息，并愉快地工作，直到下一次问题出现。

如何将其配置为具有弹性且不需要重新启动？

我在 Ubuntu 20.04 中使用 Postfix 3.4.13。这是/etc/postfix/main.cf：

myorigin = /etc/mailname
biff = no
compatibility_level = 3
relayhost = relay.grnet.gr:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
inet_interfaces = loopback-only
virtual_alias_maps = hash:/etc/postfix/virtual
masquerade_domains = grnet.gr
postfix
Martin Hope
Antonis Christofides
Asked: 2020-01-30 11:39:06 +0800 CST
  • 1

我有一些（虚拟）服务器。他们使用应用程序密钥在 Backblaze B2 上备份自己。

我想雇一个人来帮助我管理这些服务器。

当该人获得对服务器的 root 访问权限（我想要）时，他还可以访问 B2 应用程序密钥。这意味着他可以删除服务器和备份。

我可以使用什么程序/设置来防范这种极端情况？我确实有离线备份，但这些是每月一次，而 B2 备份是每天一次。

backup
Martin Hope
Antonis Christofides
Asked: 2014-09-30 07:24:06 +0800 CST
  • 0

我有 Debian wheezy 并设置 Exim 来监听端口 587，用户可以使用 TLS 进行身份验证。我正在使用 Thunderbird 31.1.2 对其进行测试。当我尝试发送消息时，Thunderbird 会显示：

发送消息失败。无法发送消息，因为与 SMTP 服务器 smtp.gaspatchmodels.com 的连接在事务处理过程中丢失。重试或联系您的网络管理员。

Exim 在主日志中显示了这一点：

2014-09-29 18:03:22 来自 ppp-94-68-63-22.home.otenet.gr ([192.168.1. 68]) [94.68.63.22] (gnutls_handshake) 的连接出现 TLS 错误：请求是无效的。

如果我嗅探流量，我看到客户端说“STARTTLS”，服务器响应“220 TLS 继续”，然后客户端发送二进制数据，之后连接似乎被丢弃。

如果我运行exim，-d这就是我得到的：

15332 SMTP<< STARTTLS
15332 initialising GnuTLS as a server
15332 GnuTLS global init required.
15332 initialising GnuTLS server session
15332 Expanding various TLS configuration options for session credentials.
15332 certificate file = /etc/exim4/exim.crt
15332 key file = /etc/exim4/exim.key
15332 TLS: cert/key registered
15332 verify certificates = /etc/ssl/certs/ca-certificates.crt size=245341
15332 Added 159 certificate authorities.
15332 Initialising GnuTLS server params.
15332 Loading default hard-coded DH params
15332 Loaded fixed standard D-H parameters
15332 GnuTLS using default session cipher/priority "NORMAL"
15332 host in tls_verify_hosts? no (option unset)
15332 host in tls_try_verify_hosts? no (option unset)
15332 TLS: a client certificate will not be requested.
15332 SMTP>> 220 TLS go ahead
15332 Received TLS SNI "[my domain name]" (unused for certificate selection)
15332 LOG: MAIN
15332   TLS error on connection from ppp-94-68-63-22.home.otenet.gr ([192.168.1.68]) [94.68.63.22] (gnutls_handshake): The request is invalid.
15332 TLS failed to start

对我来说，“请求无效”的信息传达了 Thunderbird 有过错的意思；但是我不敢相信是这种情况，因为它既不能在我的 Thunderbird 上也不能在我客户的 Thunderbird 上工作，而且因为它在两天前工作（然后我从挤压更新，删除了配置，并重新创建它ansible）。我在配置中看不到任何相关的东西

MAIN_TLS_ENABLE = true

在/etc/exim4/conf.d/main/000_localmacros.

我可以从 gnutls 获得更多调试信息吗？比如为什么认为请求无效？

exim
Martin Hope
Antonis Christofides
Asked: 2014-08-03 08:17:09 +0800 CST
  • 0

我将 Web 服务移至新服务器。我发现，在旧服务器中，以下给出的命中数大致相同awstats（例如，对于给定的一天，以下给出 5537，而awstats表示 5557 命中）：

grep -v bot myaccess.log|     # file contains given vhost for given date range \
grep -v rss2email|\
grep -v Slurp|\
grep -v pider|                # Ignore spiders \
egrep 'HTTP/.... (200|304) '| # Catch only 200 and 304 responses \
grep -v Wget|\
grep -v Bot|\
grep -v rawler|               # Ignore crawlers \
grep -v favicon.ico|\
grep -v robots.txt|\
grep -v HTTrack|\
grep -v simplepie|\
grep -v BingPreview|\
wc -l

将以下内容添加到链的末尾会产生与（3042）grep大致相同的页面数（例如，给定日期为 2916 ）：awstats

egrep -v '(css)|(js)|(class)|(gif)|(jpg)|(jpeg)|(png)|(bmp)|(ico)|(swf) HTTP'

现在，我移动了服务器。很多东西都变了：apache变成了nginx；日志格式改变；配置awstats已被重写；Debian 挤压变得喘不过气来，awstats6.9.5 变成了 7.0。

上面的大管道仍然awstats很好地接近 ' 的命中（例如 5521 与 5541），但添加egrep排除NotPageList不：对于给定的一天，我得到 2948，而awstats给出 1580。（排除列表是否包含rss并且xml不显着差异。）确实，自移动服务之日起，点击量大致保持不变，而页面和访问量大约减少了一半。我不知道为什么。

awstats
Martin Hope
Antonis Christofides
Asked: 2014-07-12 12:22:41 +0800 CST
  • 17

假设我有一个主机，其中包括一个 Web 服务器，相关的 Ansible 角色安装在其中nginx，在 中执行一些基本配置/etc/nginx，并在防火墙中打开端口 80 和 443。

在某些时候，我希望该特定主机不再是 Web 服务器，因为出于某种原因，我将该服务移到了其他地方。只是从[webservers]库存中删除服务器会在服务器中留下垃圾。理想情况下，我想卸载nginx，删除/etc/nginx目录（和其他一些目录），并关闭防火墙中的 80 和 443 端口。

在 Puppet 中，我可以做到这一点。作为 Web 服务器的主机将在其配置中具有以下内容：

class { 'nginx':
  ensure => present,
}

我所要做的就是用“缺席”代替“在场”。如果nginx该类编写得很好，它将撤消所做的更改。（通常管理员会将“present”替换为“absent”，稍后，当他确定所有受影响的主机都撤消了配置时，他将从清单中删除该项目。）

更重要的是，我认为Puppet防火墙模块会自动删除manifest中找不到的防火墙规则；所以我认为，对于防火墙，你甚至不需要做上面那个“缺席”的事情，反正防火墙会自动关闭。

如何使用 Ansible 实现这些目标？

ansible
Martin Hope
Antonis Christofides
Asked: 2013-08-13 08:01:39 +0800 CST
  • 0
ab -n 1 -H 'Accept-Encoding: gzip, deflate' http://mywebsite.com/

这总是返回未压缩的内容（我可以从它的大小和因为我正在嗅探流量中看到ngrep）。

但是，如果我使用 Firefox 请求内容，结果会被压缩。Content-Encoding: gzip它说。我尝试指定abFirefox 指定的所有请求标头，因为我看到它们ab被嗅探，但仍然将其解压缩，而 Firefox 将其压缩。

我正在运行我自己编译的 nginx 版本，但它与 Debian 挤压反向移植 1.2.1 版本相同，除了它具有 syslog 补丁。ApacheBench 2.3 修订版 655654。这是 nginx gzip 配置：

gzip                on;
gzip_min_length     1000;
gzip_types          text/plain text/css application/json application/x-javascript text/xml application/xml application/xml+rss text/javascript;
gzip_disable        "MSIE [1-6]\.(?!.*SV1)";
gzip_vary           on;

文档类型是text/html（上面没有列出，但总是被nginx压缩；另外，我尝试添加它，没有区别）。它是动态的，从uwsgi后端接收。

从以下位置嗅探请求标头ab：

GET [...] HTTP/1.0.
Accept-Encoding: gzip, deflate.
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8.
User-Agent: Mozilla/5.0 (X11; Linux i686 on x86_64; rv:23.0) Gecko/20100101 Firefox/23.1.
Accept-Language: en-US,en;q=0.5.
Cookie: csrftoken=[...].
Authorization: Basic [....].
Connection: keep-alive.
Host: [...].

来自 Firefox 的嗅探请求标头：

GET [...] HTTP/1.1.
Host: [...].
User-Agent: Mozilla/5.0 (X11; Linux i686 on x86_64; rv:23.0) Gecko/20100101 Firefox/23.0.
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8.
Accept-Language: en-US,en;q=0.5.
Accept-Encoding: gzip, deflate.
Cookie: csrftoken=[...].
Authorization: Basic [...].
Connection: keep-alive.

嗯，也许它可能是协议版本。

nginx
Martin Hope
Antonis Christofides
Asked: 2013-04-11 00:23:03 +0800 CST
  • 2

我已经设置了带有流复制的 PostgreSQL。它复制速度非常快，只需几分之一秒。我想插入 5 秒、10 秒或 15 秒的延迟，以便与复制相关的错误清楚地显现出来，开发人员可以修复它们。这可能吗？

postgresql
Martin Hope
Antonis Christofides
Asked: 2012-11-15 04:12:19 +0800 CST
  • 1

假设您拥有域yourdomain.com，并且设置了以下 SPF：

v=spf1 +ptr:yourdomain.com ~all

现在，我的IP地址是1.2.3.4，我也是.的管理员3.2.1.in-addr.arpa。我可以指定

4 IN PTR fake.yourdomain.com.

然后我可以从我的机器发送电子邮件，假装它是其中一yourdomain.com台机器。

这是一个重大风险吗？我应该避免在 SPF 中使用 ptr 吗？

spf
Martin Hope
Antonis Christofides
Asked: 2012-09-27 06:44:08 +0800 CST
  • 2

我有一个 Debian squeeze (2.6.32-5-amd64)，它同时是一个 NFS4 服务器和客户端（它通过 NFS4 自行安装）。直接指向磁盘的本地目录是/nfs4exports/mydir，而/nfs4mounts/mydir同样是通过 NFS 安装的东西，使用机器的外部 IP 地址。这是来自的行fstab：

192.168.1.75:/mydir   /nfs4mounts/mydir      nfs4    soft  0 0

我有一个写入许多小文件的应用程序。如果我直接/nfs4exports/mydir写入，它每秒写入数千个文件；但如果我写入/nfs4mounts/mydir，它每秒写入 4 个文件左右。我可以大大提高速度，如果我添加async到/etc/exports. （将单个大文件写入 NFS 挂载目录的速度超过 100 MB/s。）

我检查了服务器统计数据，发现无论何时写入文件，它都是“已提交”的（NFSv3 也会发生这种情况）：

root@debianvboxtest:~# mount -t nfs4 192.168.1.75:/mydir /mnt
root@debianvboxtest:~# nfsstat|grep -A 2 'nfs v4 operations'
Server nfs v4 operations:
op0-unused   op1-unused   op2-future   access       close        commit       
0         0% 0         0% 0         0% 10        4% 1         0% 1         0% 
root@debianvboxtest:~# echo 'hello' >/mnt/test1056
root@debianvboxtest:~# nfsstat|grep -A 2 'nfs v4 operations'
Server nfs v4 operations:
op0-unused   op1-unused   op2-future   access       close        commit       
0         0% 0         0% 0         0% 11        4% 2         0% 2         0%

现在在RFC中，我读到这个：

COMMIT 操作在操作和语义上类似于将文件状态与磁盘同步的 POSIX fsync(2) 系统调用（文件数据和元数据刷新到磁盘或稳定存储）。COMMIT 对客户端执行相同的操作，将服务器上任何未同步的数据和元数据刷新到服务器的磁盘或指定文件的稳定存储中。

我不明白客户为什么要承诺。我认为“echo”shell 内置命令不会运行fsync；如果echo写入本地文件然后机器宕机，文件可能会丢失。相反，NFS 客户端似乎在完成echo. 为什么？

我不愿意使用asyncNFS 服务器选项，因为它显然会忽略 COMMIT。我觉得我好像有一个本地文件系统，我不得不在关闭时同步每个文件和fsync完全忽略之间做出选择。我理解错了什么？

linux
Martin Hope
Antonis Christofides
Asked: 2012-07-06 07:29:35 +0800 CST
  • 2

我有两台真实服务器，位于不同的子网上，每台服务器都有一个永久 IP，并且有一个可供任一服务器使用的故障转移 IP。托管商提供了一个 API，我可以使用该 API 将故障转移 IP 分配给任何服务器。所以我需要在每台服务器上运行一个守护进程，它将监视本地服务器的健康状况，同时与另一台服务器上的对应通信，以便两者一起（或者只有一个，如果其他失败）决定谁将获得故障转移 IP（并运行脚本告诉托管商的 API 适当地路由它）。

keepalived不能这样做，除非（据称）使用 Willy Tarreau 的单播补丁，但我尝试过但未成功。此外，守护进程最好不要尝试从网络接口获取或释放 IP；首选设置是两台机器的接口始终具有故障转移 IP 地址。

可以heartbeat吗？任何其他类似的程序都可以吗？我最终编写了自己的守护进程，它确实可以正常工作，但如果现有程序可以做到这一点，我认为没有理由维护它。

linux high-availability failover heartbeat keepalived
Martin Hope
Antonis Christofides
Asked: 2012-05-25 10:14:33 +0800 CST
  • 1

我有一个带有 LDAP 后端的 3.5.6 samba 服务器（都在 Debian 6.0 上）。多年来，我一直在成功地将 Windows XP 计算机添加到域中。我现在尝试添加 Windows 7。我已经进行了建议的注册表更改，但到目前为止我没有任何成功。这是发生了什么：

1.我转到计算机名，选择“域”而不是“工作组”，输入域名，单击“确定”。它要求我提供可以将计算机添加到域的帐户的用户名和密码；我进入他们。大约 40 秒后，我收到以下消息：

尝试加入域“ITIA”时发生以下错误：

找不到指定的计算机帐户。联系管理员以验证该帐户在域中。如果帐户已被删除，则退出、重新启动并重新加入域。

尽管如此，samba 服务器还是成功创建了计算机帐户。

2.因此，如果我再试一次，没有删除已经创建的计算机帐户，我会得到一个不同的错误：

尝试加入域“ITIA”时发生以下错误：

指定的帐户已存在。

（请注意，直到不久前，samba 还没有配置为自动创建计算机帐户。每当我想要 XP 加入时，我所做的就是手动创建它。当我第一次尝试解决 Windows 7 加入问题时，我将 samba 设置为自动执行此操作，因为这是大多数人所做的，据我所知，我认为这可能是相关的。自从我进行此更改后，我还没有尝试添加 XP，所以我不知道它是否有效，但无论它是否有效，问题仍然存在。）

更新 1：以下是 smb.conf 的相关部分：

[global]

   panic action = /usr/share/samba/panic-action %d

   workgroup = ITIA
   server string = Itia file server
   announce as = NT
   interfaces = 147.102.160.1
   volume = %h

   passdb backend = ldapsam:ldap://ldap.itia.ntua.gr:389
   ldap admin dn = uid=samba,ou=daemons,dc=itia,dc=ntua,dc=gr
   ldap ssl = off
   ldap suffix = dc=itia,dc=ntua,dc=gr
   ldap user suffix = ou=people
   ldap group suffix = ou=groups
   ldap machine suffix = ou=computers
   unix password sync = no
   add machine script = smbldap-useradd -w -i %u

   log file = /var/log/samba/samba-log.all
   log level = 3
   max log size = 5000
   syslog = 2

   socket options = SO_KEEPALIVE TCP_NODELAY 

   encrypt passwords = true
   password level = 1
   security = user

   domain master = yes
   local master = no
   wins support = yes

   domain logons = yes
   idmap gid = 1000-2000

更新 2：服务器有一个网络接口 eth1（也是一个未使用的 eth0，只出现在内核启动消息中）和两个 ip 地址；主要的 147.102.160.1 和附加的 147.102.160.37，带有“ip addr add 147.102.160.37/32 dev eth1”（仅用于证书与其他网站不同的网站）同一台机器）。我最近遇到的一个问题是 samba 使用的是后一个 IP 地址。我通过在 smb.conf 中添加“interfaces = 147.102.160.1”语句来解决这个问题。

现在：

acheloos:/etc/apache2# tcpdump host 147.102.160.40 and not port 5900
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 65535 bytes
13:13:56.549048 IP lithaios.itia.civil.ntua.gr.netbios-dgm > 147.102.160.255.netbios-dgm: NBT UDP PACKET(138)
13:13:56.549056 ARP, Request who-has acheloos2.itia.civil.ntua.gr tell lithaios.itia.civil.ntua.gr, length 46
13:13:56.549091 ARP, Reply acheloos2.itia.civil.ntua.gr is-at 00:10:4b:b4:9e:59 (oui Unknown), length 28
13:13:56.549324 IP acheloos.itia.civil.ntua.gr.netbios-dgm > lithaios.itia.civil.ntua.gr.netbios-dgm: NBT UDP PACKET(138)
13:13:56.549608 IP lithaios.itia.civil.ntua.gr.netbios-dgm > acheloos2.itia.civil.ntua.gr.netbios-dgm: NBT UDP PACKET(138)
13:13:56.549741 IP acheloos.itia.civil.ntua.gr.netbios-dgm > lithaios.itia.civil.ntua.gr.netbios-dgm: NBT UDP PACKET(138)
13:13:56.550364 IP lithaios.itia.civil.ntua.gr.netbios-dgm > acheloos.itia.civil.ntua.gr.netbios-dgm: NBT UDP PACKET(138)
13:13:56.550468 IP acheloos.itia.civil.ntua.gr.netbios-dgm > lithaios.itia.civil.ntua.gr.netbios-dgm: NBT UDP PACKET(138)

（acheloos2 是第二个 IP 地址，147.102.160.37）。当我单击“确定”（加入域）时，会发生上面的转储，直到它询问我可以加入域的用户的用户名和密码。我不知道客户端为什么要联系第二个 IP 地址。我试着暂时停用它，但我仍然有一些相关的 ARP 流量（虽然我认为不是 IP 流量）。

domain-controller active-directory samba