JeremyCanfield's questions

我在 Docker 上运行 nginx 和 php-fpm。当使用我的 Docker 系统的主机名 (docker1.freekb.net) 时，phpinfo.php 页面会显示在浏览器中，因此我知道我已经正确配置了 nginx 和 php-fpm 以提供 PHP 页面。这是 /etc/nginx/conf.d/default.conf 中的服务器块。来自 nginx 的 80 端口的请求被转发到 PHP 的 9000 端口。

server {
    listen              80;
    server_name         stage.freekb.net;
    root                /var/www/stage;
    index               index.html phpinfo.php;
    location / {
        try_files $uri $uri/ /index.html;
    }
    location ~ \.php$ {
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        fastcgi_pass 0.0.0.0:9000;
        fastcgi_index phpinfo.php;
        include fastcgi_params;
    }
}

我有 HAProxy 设置以将请求转发到 nginx。这是我在 /etc/haproxy/haproxy.cfg 中的监听块。当我访问http://haproxy.freekb.net/index.html时，会显示 nginx 欢迎页面，因此我知道 HAProxy 能够将请求转发到 nginx。

但是，当我访问http://haproxy.freekb.net/phpinfo.php时，phpinfo.php 会下载到我的本地 PC。我怀疑这意味着 fastcgi 有问题。我不确定在使用 HAProxy 时要在浏览器中显示 PHP 页面需要进行哪些更改。

listen nginx
    bind *:80
    mode tcp
    balance roundrobin
    server nginx1 docker1.freekb.net:80 check

我有两台机器，server1 和 server2。在 server2 上，我停止了 firewalld。

[root@server2 ~]# systemctl stop firewalld

从 server1，nmap 返回Host is up.

[root@server1 ~]$ nmap -sn server2

Starting Nmap 6.40 ( http://nmap.org ) at 2020-09-02 11:27 CDT
Nmap scan report for server2 (10.17.45.13)
Host is up (0.00045s latency).
Nmap done: 1 IP address (1 host up) scanned in 0.01 seconds

我在 server2 上启用了 firewalld。

[root@server2 ~]# systemctl start firewalld

从 server1，nmap 返回Host seems down，因此server2上的 firewalld 导致 nmap 返回 Host 似乎已关闭。

[root@server1 ~]$ nmap -sn server2

Starting Nmap 6.40 ( http://nmap.org ) at 2020-09-02 11:29 CDT
Note: Host seems down. If it is really up, but blocking our ping probes, try -Pn
Nmap done: 1 IP address (0 hosts up) scanned in 0.01 seconds

在 server1 上，ping/echo/ICMP 有效。

[root@server1 ~]$ ping -c4 server2
PING server2 (10.17.45.13) 56(84) bytes of data.
64 bytes from server2 (10.17.45.13): icmp_seq=1 ttl=64 time=0.436 ms
64 bytes from server2 (10.17.45.13): icmp_seq=2 ttl=64 time=0.388 ms
64 bytes from server2 (10.17.45.13): icmp_seq=3 ttl=64 time=0.338 ms
64 bytes from server2 (10.17.45.13): icmp_seq=4 ttl=64 time=0.390 ms

--- server2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3000ms
rtt min/avg/max/mdev = 0.338/0.388/0.436/0.034 ms

以下是server2 上public和区域的防火墙设置。dropicmp-block 为空意味着没有 ICMP 类型被阻止，并且 icmp-block-inversion 设置no为允许所有 IMCP 流量。

[root@server2 ~]# firewall-cmd --zone=public --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eno16777984
  sources:
  services: ssh dhcpv6-client
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

[root@server2 ~]# firewall-cmd --zone=drop --list-all
drop
  target: DROP
  icmp-block-inversion: no
  interfaces:
  sources:
  services:
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

/var/log/firewalld当 nmap 返回时没有记录任何内容Host seems down。

我的目标是让 nmap 将 IP 解析为没有 --system-dns 标志或 --dns-servers 选项的主机名。

当我发出以下不带 --system-dns 标志或 --dns-servers 选项的 nmap 命令时，192.168.0.16 被解析为主机名 server1.example.com。192.168.0.17 未解析为主机名。我知道这是因为根据https://nmap.org/book/host-discovery-dns.html，“Nmap 使用自定义存根解析器”，这意味着 nmap 有它自己的 DNS 解析器，而不是我们的本地 DNS 服务器. 有趣的。

[root@client1]# nmap -sn 192.168.0.0/24 -vvv

Initiating Parallel DNS resolution of 256 hosts. at 11:22
Completed Parallel DNS resolution of 256 hosts. at 11:22, 0.02s elapsed
DNS resolution of 18 IPs took 0.02s. Mode: Async [#: 2, OK: 5, NX: 13, DR: 0, SF: 0, TR: 18, CN: 0]

Nmap scan report for server1.example.com (192.168.0.16)
Host is up (0.00063s latency).
Nmap scan report for 192.168.0.17
Host is up (0.00059s latency).

--system-dns使用标志时不会发生此问题。

[root@client1]# nmap -sn 192.168.0.0/24 --system-dns

Nmap scan report for server1.example.com (192.168.0.16)
Host is up (0.00029s latency).
Nmap scan report for server2.example.com (192.168.0.17)
Host is up (0.00026s latency).

--dns-servers当该选项用于声明应使用我们的主 DNS 服务器 (192.168.0.6)时，不会出现此问题。

[root@client1]# nmap -sn 192.168.0.0/24 --dns-servers 192.168.0.6

Nmap scan report for server1.example.com (192.168.0.16)
Host is up (0.00039s latency).
Nmap scan report for server2.example.com (192.168.0.17)
Host is up (0.00036s latency).

nslookup 显示两个 IP 都可以解析为相应的主机名。

[root@client1]#  nslookup 192.168.0.16
16.0.168.192.in-addr.arpa       name = server1.example.com.

[root@client1]# nslookup 192.168.0.17
17.0.168.192.in-addr.arpa       name = server2.example.com.

我们使用 CentOs 7 作为我们的操作系统。/etc/resolv.conf包含以下内容，表示 192.168.0.6 是我们的主 DNS 服务器。

[root@client1]# cat /etc/resolv.conf

nameserver 192.168.0.6
nameserver 8.8.8.8

192.168.0.6（我们的主 DNS 服务器）使用 Bind 版本 9 作为 DNS 服务。

[root@dns1]# named -v
BIND 9.9.4-RedHat-9.9.4-51.el7 (Extended Support Version)

这是相关的片段/var/named/forward.example.com。

[root@dns1]# cat /var/named/forward.example.com

$ORIGIN example.com.
$TTL 1D
@       IN      SOA     ns1.example.com. hostmaster.example.com. (
                                        2016032200 ; serial
                                        1D         ; refresh
                                        1H         ; retry
                                        1W         ; expire
                                        3H         ; minimum
)

;name used for the nameserver
        IN      NS      ns1.example.com.

;ip address of the nameserver
ns1     IN      A       192.168.0.6

;hostname to ip address resolutions
server1         IN      A       192.168.0.16
server2         IN      A       192.168.0.17

这里是一个片段/var/named/reverse.example.com。

[root@client1]# cat /var/named/reverse.example.com

$TTL 1D
@       IN      SOA     ns1.example.com. root.example.com. (
                                        0 ; serial
                                        1D ; refresh
                                        1H ; retry
                                        1W ; expire
                                        3H ; minimum
)

0.168.192.in-addr.arpa. IN      NS      ns1.example.com.

@       IN      NS      ns1.example.com.
ns1     IN      A       192.168.0.6
16      IN      PTR     server1.example.com.
17      IN      PTR     server2.example.com.

我正在尝试在 CentOS 7 上安装 Ansible，并将 Ansible 配置为使用 Python 3。我已经安装了 Python2 和 Python3。

[root@ansible1 ~]# python --version
Python 2.7.5
[root@ansible1 ~]# python3 --version
Python 3.6.8

如果我使用 安装 Ansible yum install ansible，该ansible --version命令显示 Ansible 已配置为使用 Python 2.7.5。我卸载 ansible ( yum remove ansible);

[root@ansible1 ~]# ansible --version
ansible 2.9.10
  config file = /etc/ansible/ansible.cfg
  configured module search path = [u'/root/.ansible/plugins/modules', u'/usr/share/ansible/plugins/modules']
  ansible python module location = /usr/lib/python2.7/site-packages/ansible
  executable location = /bin/ansible
  python version = 2.7.5 (default, Aug  7 2019, 00:51:29) [GCC 4.8.5 20150623 (Red Hat 4.8.5-39)]

根据https://docs.ansible.com/ansible/latest/reference_appendices/python_3_support.html：

在 Python 3 下运行 /usr/bin/ansible 最简单的方法是使用 Python3 版本的 pip 安装它。这将使默认的 /usr/bin/ansible 与 Python3 一起运行

我安装了 9.0.3 版本的 pip。

[root@ansible1 ~]# pip3 --version
pip 9.0.3 from /usr/lib/python3.6/site-packages (python 3.6)

按照 Ansibles 文档，我pip3 install ansible使用 pip3 安装 Ansible。

[root@ansible1 ~]# pip3 install ansible
WARNING: Running pip install with root privileges is generally not a good idea. Try `pip3 install --user` instead.
Collecting ansible
  Using cached https://files.pythonhosted.org/packages/4b/69/c8aef60ce070fe6872e27db65f588bd0ffe8892a980cd3f4d844d8b72152/ansible-2.9.12.tar.gz
Requirement already satisfied: jinja2 in /usr/local/lib64/python3.6/site-packages (from ansible)
Requirement already satisfied: PyYAML in /usr/local/lib64/python3.6/site-packages (from ansible)
Requirement already satisfied: cryptography in /usr/local/lib64/python3.6/site-packages (from ansible)
Requirement already satisfied: MarkupSafe>=0.23 in /usr/local/lib64/python3.6/site-packages (from jinja2->ansible)
Requirement already satisfied: six>=1.4.1 in /usr/local/lib/python3.6/site-packages (from cryptography->ansible)
Requirement already satisfied: cffi!=1.11.3,>=1.8 in /usr/local/lib64/python3.6/site-packages (from cryptography->ansible)
Requirement already satisfied: pycparser in /usr/local/lib/python3.6/site-packages (from cffi!=1.11.3,>=1.8->cryptography->ansible)
Installing collected packages: ansible
  Running setup.py install for ansible ... done
Successfully installed ansible-2.9.12

这是pip3 show ansible命令的输出。

[root@ansible1 ~]# pip3 show ansible
Name: ansible
Version: 2.9.12
Summary: Radically simple IT automation
Home-page: https://ansible.com/
Author: Ansible, Inc.
Author-email: [email protected]
License: GPLv3+
Location: /usr/local/lib/python3.6/site-packages
Requires: jinja2, PyYAML, cryptography

但是，该ansible --version命令返回以下内容。

-bash: /bin/ansible: No such file or directory

同样，/usr/bin/ansible --version：

-bash: /usr/bin/ansible: No such file or directory

该pip show ansible命令显示位置是/usr/local/lib/python3.6/site-packages/ansible。该目录存在，并且包含许多文件和文件夹，但没有可以使用的 Ansible 特定配置文件（例如 ansible.cfg）或二进制文件（例如 ansible）（我能说的最好）。

在全新安装 CentOS 7 时，我安装了 IBM Installation Manager。我从 IBM Fix Central 下载了 WebSphere Application Server 版本 9.0.0.6，并将安装文件解压缩到 /tmp/was 目录。

unzip 9.0.0-WS-WAS-FP006.zip /tmp/was

listAvailablePackages 命令显示 BASE 产品可用。

./imcl listAvailablePackages -repositories /tmp/was/
com.ibm.websphere.BASE.v90_9.0.6.20171205_1311

当我尝试安装 BASE 产品时，我得到以下信息：

./imcl install com.ibm.websphere.BASE.v90_9.0.6.20171205_1311 -repositories /tmp/was/
ERROR: 'plug-in com.ibm.ws.execute.iscdeploy.v85_8.5.5001.20130515_0000' not found in /tmp/was
ERROR: 'plug-in com.ibm.was.base.moreinfo.v90_9.0.0.20160412_0000' not found in /tmp/was

我已经验证在 /tmp/was 中确实没有找到 iscdeploy 和 moreinfo 插件。我不确定需要做什么才能安装 BASE 产品。

在我们的 Windows Server 2012 域控制器上，我们有一个名为“IT 映射网络驱动器”的 GPO。“IT Mapped Network Drives”包含两个Drive Maps，V：驱动器和Z：驱动器。

“IT 映射网络驱动器”在我们的software.eng.apl域中，IT 组的成员应该有权访问 IT 映射网络驱动器。

Jeremy Canfield 是 IT 小组的成员。

当 Jeremy Canfield 登录到已加入 software.eng.apl 域的 Windows 10 PC 时，文件资源管理器中仅显示两个映射的网络驱动器中的一个。我不确定为什么只有一个映射的网络驱动器出现，我也不确定需要做什么才能让两个映射的网络驱动器映射到客户端 PC。

如果有帮助，这两个网络驱动器都在 Linux 机器上，并且正在使用 Samba 共享。我帖子的这一部分更适合 Unix & Linux Stack Exchange，但为了以防万一，我想指出这两个共享网络驱动器在 Linux 中具有相同的配置文件，所以我怀疑 Samba 的配置Linux 机器上是问题的原因。这是Linux上的配置：

[global]
workgroup = APL
security = ADS
realm = software.eng.apl
password server = software.eng.apl
passdb backend = tbdsam

[share]
path = /srv/samba/share
browsable = yes
public = yes
writeable = yes

我最近在 Windows Server 2012 上向我们的网络添加了一个 Active Directory 域控制器。域名是 software.eng.apl。通过选择 Windows 开始图标 > 系统 > 更改设置 > 更改，然后在域中输入 software.eng.apl，我可以将 Windows 10 计算机加入到 software.eng.apl 域。将出现一个弹出框，说明“欢迎来到 software.eng.apl 域”。在 Active Directory 用户和计算机中，客户端 PC 列在计算机文件夹中，这将验证客户端 PC 是否能够加入域。

我在 Active Directory 用户和计算机中创建了一个用户帐户。用户登录名是 [email protected] 和密码 ID Password01。

John Doe 是域用户的成员。

在 Windows 10 登录屏幕上，当我选择“连接到 Internet”时，它显示我已连接到 software.eng.apl。

在 Windows 10 客户端 PC 上，如果我退出 Windows，然后尝试使用 [email protected]登录，则会显示用户配置文件服务失败登录。我可以使用本地用户帐户登录客户端 PC。NETLOGON 服务在 Windows 10 客户端 PC 和 Windows Server 2012 域控制器上运行。

我知道登录请求正在到达域控制器，因为在事件查看器 > Windows 日志 > 安全中有来自 [email protected] 的 Kerberos 服务票证请求。

Windows 10 客户端上还有一个事件 ID 为 4624 的事件，表示登录成功。值得注意的是，Windows 10 客户端和域控制器在凌晨 1:07:56 都有事件，这意味着两台机器的时间是同步的。

客户端 PC 和域控制器连接到同一个交换机。我们没有使用 VPN。两者都连接到同一个 NTP 服务器。

在客户端计算机上，我已执行以下操作以确保在登录之前启动网络：启动 gpedit.msc > 计算机配置 > 管理模板 > 系统 > 登录，然后启用“在计算机启动和登录时始终等待网络。 "

我还做了以下操作：启动 gpedit.msc > 计算机配置 > 管理模板 > 系统 > 组策略 >，然后将“启动策略处理等待时间”设置为 120。

我不确定接下来应该检查什么来解决这个问题。

使用 PuTTY 连接到 Linux SSH 服务器时，PuTTY 日志显示 2 次身份验证尝试。第一次尝试使用“root”作为用户名，没有密码。第一个数据包中显示“none”，表示未使用密码。连接失败是因为 Linux SSH 服务器配置为仅对具有密码或公钥的连接进行身份验证。第二次尝试使用“root”作为用户名，使用“SECRET”作为密码。授予访问权限是因为“root”和“SECRET”是 Linux SSH 服务器的有效用户名/密码。

点击 PuTTY 中的 Open 按钮后，立即出现输入用户名“root”的提示。输入用户名“root”后，大约需要 8 秒才能出现密码提示。我确信这 8 秒延迟的原因是因为客户端和服务器正忙于第一次身份验证尝试，而该身份验证尝试“无”且没有密码。输入密码 SECRET 并按 enter 后，立即授予访问权限。

我不确定为什么 PuTTY 首先尝试使用用户名“root”连接并且没有密码。是否有某种方法可以将 PuTTY 配置为不使用用户名“root”且没有密码进行第一次尝试。

我使用 OpenSSL 创建了一个私钥和自签名的公共证书。然后，我创建了一个包含私钥和公共证书 (mail.example.com.pem) 的证书颁发机构文件。在 LAN 中的客户端计算机上，我使用 OpenSSL 连接到端口 587 (SMTP) 上的 Postfix，并告诉 OpenSSL 使用证书颁发机构文件 (mail.example.com.pem)。

openssl s_client -connect mail.example.com:587 -starttls smtp -CAfile /etc/pki/tls/private/mail.example.com.pem

这会产生相当多的输出。输出中包含来自证书颁发机构文件的公共证书。

在所有的 TLS、证书和其他安全信息之后，我有一个闪烁的光标，所以我尝试向 Postfix 打招呼。

EHLO mail.example.com

此命令生成“未提供客户端证书”。

这很奇怪，因为我可以从字面上看到前面输出中的公共证书。我有一种感觉，我在这里遗漏了一些概念性的东西。例如，我是否需要告诉客户端发送或使用公共证书？Postfix 服务器上的公共证书与客户端证书不同吗？

目标：我的总体目标是将 Postfix 配置为加密电子邮件，而不是发送未加密的电子邮件。

这是postconf -n命令的输出：

data_directory = /var/lib/postfix
home_mailbox = Maildir/
inet_interfaces = all
inet_protocols = all
mail_owner = postfix
mailbox_command =
mydestination = example.com, localhost.example.com, localhost
mynetworks_style = host
queue_directory = /var/spool/postfix
smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination
smtpd_sasl_auth_enable = no
smtpd_sasl_path = private/auth
smtpd_tls_CAfile = /etc/pki/tls/mail.example.com.pem
smtpd_tls_auth_only = yes
smtpd_tls_cert_file = /etc/pki/tls/mail.example.com.crt
smtpd_tls_key_file = /etc/pki/tls/mail.example.com.key
smtpd_tls_loglevel = 3
smtpd_tls_req_ccert = yes
smtpd_tls_security_level = encrypt
smtpd_tls_session_cache_database = btree:/var/lib/postfix/smtpd_tls_cache
smtpd_tls_session_cache_timeout = 3600s
tls_random_exchange_name = /var/lib/postfix/prng_exch
tls_random_source = dev:/dev/urandom

我在 IP 192.168.0.30 上的 Linux CentOS 上的 LAN 中安装了 BIND DNS 服务器。我还在 IP 192.168.0.23 上的 Linux Centos 上的 LAN 中安装了 HTTPD Web 服务器。我的 /etc/named.conf 文件配置为使用 /etc/forward.example.com 区域文件。

zone "example.com" IN {
 type master;
 file "/etc/forward.example.com";
 allow-update { none; };
};

按照CentOS 部署指南第 16.3 章中的说明，我在我的 BIND 转发区域文件中有以下内容，以创建到 HTTPD Web 服务器的 IP 地址的 A 记录，并将 CNAME 映射到 HTTPD Web 服务器。

$ORIGIN example.com.
$TTL 1D
@ IN SOA  ns1.example.com. hostmaster.example.com. (
                            2016032200 ; serial
                            1D         ; refresh
                            1H         ; retry
                            1W         ; expire
                            3H         ; minimum
)
@            IN      NS         ns1.example.com.
ns1          IN      A          192.168.0.30

server1      IN      A          192.168.0.23
www          IN      CNAME      server1

named-checkzone 命令生成 OK，从而确保 forward.example.com 区域文件正常。

[root@DNS1 ~]# named-checkzone example.com /etc/forward.example.com
zone example.com/IN: loaded serial 2016032200
OK

运行命令nslookup ns1.example.com会产生以下输出。这很好。

Server:     192.168.0.30
Address:    192.168.0.30#53

Name:       ns1.example.com
Address:    192.168.0.30

运行命令nslookup www.example.com会产生以下输出。

Server:     192.168.0.30
Address:    192.168.0.30#53

** server can't find www.example.com: NXDOMAIN

运行命令nslookup server1.example.com会产生以下输出。

Server:     192.168.0.30
Address:    192.168.0.30#53

** server can't find www.example.com: NXDOMAIN

我没有在 named.run 文件中看到错误。

[root@DNS1 ~]# tail /var/named/data/named.run

zone 0.in-addr.arpa/IN:          loaded serial 0
zone localhost/IN:               loaded serial 0
zone 1.0.0.127.in-addr.arpa/IN:  loaded serial 0
zone 0.168.192.in-addr.arpa/IN:  loaded serial 0
zone 1.xxxxxxxxxxx.ip6.arpa/IN:  loaded serial 0
zone example.com/IN:             loaded serial 0
zone localhost.localdomain/IN:   loaded serial 0
all zones loaded
running

搜索 serverfault.com 和 google.com，我无法确定为什么会收到 NXDOMAIN 错误。如果有任何提示或建议，我当然会很感激！