Ror's questions

我将从具有旧版警报的 Grafana 8 切换到具有新的统一警报系统的 Grafana 10.3。我希望电子邮件通知具有用于访问链接到警报的仪表板和面板的按钮，就像旧的警报系统一样。我知道这是可能的，因为几个月前我在测试通知模板时意外地做到了这一点。但是，由于此后配置发生了多次更改，我不记得配置是什么，并且这些按钮从我的电子邮件通知中完全消失了。查看grafana文档和旧版本的配置也没有帮助。我正在尝试在电子邮件通知中获取以下内容：

这是我的通知模板：

{{- define "email.message_alert" -}}
  {{ .Labels.alertname }} has value of {{ .Values.B }}
{{- end -}}

{{ define "email.message" }}
  There are {{ len .Alerts.Firing }} firing alert(s), and {{ len .Alerts.Resolved }} resolved alert(s)

  {{ if .Alerts.Firing -}}
    Firing alerts:
    {{- range .Alerts.Firing }}
      - {{ template "email.message_alert" . }}
    {{- end }}
  {{- end }}

  {{ if .Alerts.Resolved -}}
    Resolved alerts:
    {{- range .Alerts.Resolved }}
    - {{ template "email.message_alert" . }}
    {{- end }}
  {{- end }}

{{ end }}

我有一个看起来像这样的目录：

/path/to/files/data-file.1
/path/to/files/data-file.2
/path/to/files/data-file.3
/path/to/files/data-file.4
/path/to/files/data-file.5
/path/to/files/data-file.6

我想制作一个脚本来列出变量中两个值之间的所有文件，如下所示：

#!/bin/bash
fileA="/path/to/files/data-file.2"
fileB="/path/to/files/data-file.5"
ls -v /path/to/files/*-file.[0-9]* | sed -n '/$fileA/,/$fileB/p'

输出：

/path/to/files/data-file.2
/path/to/files/data-file.3
/path/to/files/data-file.4
/path/to/files/data-file.5

但是，sed命令似乎不起作用。我猜测是因为变量中的斜杠。有没有办法在不改变变量的情况下克服这个问题？我想在 fileA 和 fileB 是动态的脚本中使用这段代码。

我一直在尝试使用 ansible playbook 安装 monit。我正在更改 monitrc 文件，当剧本重新启动 monit 时，我得到：

Jun  8 08:00:30 myserver monit[1857462]: Starting daemon monitor: monit
Jun  8 08:00:30 myserver monit[1857465]: /etc/monit/monitrc:10: invalid mail format '#015'
Jun  8 08:00:30 myserver monit[1857465]: /etc/monit/monitrc:11: syntax error 'subject: $HOST -- $EVENT $SERVICE#015'
Jun  8 08:00:30 myserver monit[1857466]:  failed!
Jun  8 08:00:30 myserver systemd[1]: monit.service: Control process exited, code=exited, status=1/FAILURE
Jun  8 08:00:30 myserver systemd[1]: monit.service: Failed with result 'exit-code'.
Jun  8 08:00:30 myserver systemd[1]: Failed to start LSB: service and resource monitoring daemon.

monitrc 中的冲突行：

set mail-format {
  from: Monit <[email protected]>
  subject: $HOST -- $EVENT $SERVICE
  message: $EVENT Service $SERVICE
                Date: $DATE
                Action: $ACTION
                Host: $HOST
}

以下是我所做的不同测试：

• 从 playbook 安装 monit（从 apt 安装然后将 monitrc 文件复制到它的位置）：不起作用
• 手动安装 monit（从 apt 安装然后将配置复制粘贴到 monitrc）：有效
• ansible 安装后复制粘贴 monitrc：不起作用

两种情况下的 Monit 版本都是 5.27.2，机器是 Debian 11。

我们最近在 debian 9 上的生产 Wildfly 17 中遇到“打开的文件过多”错误。简单地重新启动 wildfly 服务即可消除该错误，但我想避免再次出现该问题。我想增加限制，但我不确定我应该更改什么以及如何知道已考虑的配置。

我检查了无登录 Wildfly 用户的 ulimit：

    sudo su - wildfly -c 'ulimit -a' -s '/bin/bash'

core file size          (blocks, -c) 0
data seg size           (kbytes, -d) unlimited
scheduling priority             (-e) 0
file size               (blocks, -f) unlimited
pending signals                 (-i) 117724
max locked memory       (kbytes, -l) 64
max memory size         (kbytes, -m) unlimited
open files                      (-n) 1024
pipe size            (512 bytes, -p) 8
POSIX message queues     (bytes, -q) 819200
real-time priority              (-r) 0
stack size              (kbytes, -s) 8192
cpu time               (seconds, -t) unlimited
max user processes              (-u) 117724
virtual memory          (kbytes, -v) unlimited
file locks                      (-x) unlimited

用户的限制似乎设置为 1024。但是我可以通过我的 wildfly 进程检查打开文件的数量，我有这个：

sudo ls -l /proc/PID/fd |wc -l
1296

这大于限制，我现在没有收到任何错误。有没有办法永久设置更高的限制？也许在wildfly配置文件中？我有点失落。

我正在尝试在现有的 Bind9 服务器上设置响应策略，因为我想覆盖我公司的一些公共域以将它们重定向到我们的专用网络 ip。

我遵循了本教程： https ://www.linuxbabe.com/ubuntu/set-up-response-policy-zone-rpz-in-bind-resolver-on-debian-ubuntu

但是，对于我试图覆盖的两个域，我收到了这个错误：

named[17104]: /etc/bind/zones/db.rpz:17: ignoring out-of-zone data (xxx.mydomain1.com)
named[17104]: /etc/bind/zones/db.rpz:19: ignoring out-of-zone data (yyy.mydomain2.com)
named[17104]: (re)loading policy zone 'rpz' changed from 0 to 2 qname, 0 to 0 nsdname, 0 to 0 IP, 0 to 0 NSIP, 0 to 0 CLIENTIP entries
named[17104]: zone rpz/IN: loaded serial 14

这是我的配置：named.conf.local：

zone "rpz" {
    type master;
    file "/etc/bind/zones/db.rpz";
    allow-transfer { IP_DNS2; };
};

命名的.conf.options ：

options {
        ...OPTIONS...
        response-policy {
                zone "rpz";
        };
}

/etc/bind/zones/db.rpz ：

;
; BIND data file for local loopback interface
;
$TTL    604800
@       IN      SOA     localhost.rpz. root.rpz. (
                              14         ; Serial
                         604800         ; Refresh
                          86400         ; Retry
                        2419200         ; Expire
                         604800 )       ; Negative Cache TTL
;

@       IN      NS      localhost.rpz.

localhost.rpz.  A       127.0.0.1

xxx.mydomain.com.    A       PRIVATE_IP

yyy.mydomain2.com.      A       PRIVATE_IP

我们有一个 LDAP 服务器，我们使用 phpldapadmin 来管理它。我已经很久没有使用它了，当我尝试使用我的管理员用户登录时，我得到以下信息：

Could not start TLS. (LDAP Server)
Error: Could not start TLS. Please check your LDAP server configuration.

error   Unable to connect to LDAP server LDAP Server
Error: Can't contact LDAP server (-1) for user

error   Failed to Authenticate to server
Invalid Username or Password.

LDAP 服务器工作正常，我还验证了用户的密码，它是正确的。我可以使用该用户在命令行上的服务器上进行 ldapsearch。

我最近在这台服务器上唯一改变的是一些 iptables 规则。它曾经工作得很好，所以我真的不明白问题出在哪里。我们使用 let's encrypt 证书连接到 ldap 服务器。服务器在 Debian 9 下，phpldapadmin 与 nginx 一起工作。

编辑

我已将 PLA 日志置于调试模式，但我没有得到比以前更多的信息。Nginx 在其日志中也没有给我任何错误。我试过以下命令：

ldapsearch -ZZ -H ldap://ldap.mydomain.com -W -D cn=adminuser,dc=mydomain,dc=com -b dc=mydomain,dc=com

它工作正常。还检查 ssl 连接：

openssl s_client -connect ldap.mydomain.com:636

返回证书。

我不知道 PLA 是否可以读取 ldap.conf

我需要编写一个脚本，以便我和我的同事可以在多台服务器上重新启动不同的服务。我们都使用 LDAP 连接到服务器，所以我希望我的脚本将我们的 LDAP 用户连接到服务器，然后使用 sudo 重新启动服务（我可以在每台服务器上编写一个脚本来重新启动所有需要的服务）。现在脚本只需运行类似的命令

ssh -t user@host "sudo service XXX restart" 

问题在于，对于每台服务器，脚本都会两次询问用户密码（一次用于 ssh 连接，两次用于 sudo 命令）。我的第一个猜测是使用 read -s -p 提示用户输入登录名和密码，然后使用该变量自动使用 ssh 登录。显然，Expect 是执行此操作的方法，但我没有找到在 Expect 脚本中安全地提示密码或在 bash 脚本中提示密码并在 expect 脚本中安全地传递变量的方法。

我确实查找了诸如 pssh、集群 ssh 之类的解决方案，这些解决方案似乎可以正常工作，但不适用于 sudo。我知道最好的方法是使用 ssh 密钥，但由于多个用户需要使用脚本，我想使用 LDAP 登录名/密码。

我正在尝试从另一个 MariaDB 服务器上复制数据库。我在服务器 A 上转储了数据库：

sudo mysqldump -u root -p --databases database1 > /var/tmp/database1.sql

我在服务器 B 上创建了新数据库：

create database database1;

然后我使用 scp 将 .sql 转储文件从服务器 A 复制到服务器 B，并使用以下命令将其导入服务器 B：

sudo mysql -u root -p database1 < database1.sql

但是，这两个数据库的大小似乎不同：

服务器甲：

MariaDB [(none)]> SELECT table_schema "database1", ROUND(SUM(data_length + index_length) / 1024 / 1024, 1) "DB Size in MB"  FROM information_schema.tables  GROUP BY table_schema;
+--------------------+---------------+
| database1          | DB Size in MB |
+--------------------+---------------+
| information_schema |           0.2 |
| mysql              |           2.5 |
| performance_schema |           0.0 |
| database1          |         516.7 |
+--------------------+---------------+

服务器 B：

MariaDB [(none)]> SELECT table_schema "database1",ROUND(SUM(data_length + index_length) / 1024 / 1024, 1) "DB Size in MB"  FROM information_schema.tables  GROUP BY table_schema;
+--------------------+---------------+
| database1          | DB Size in MB |
+--------------------+---------------+
| information_schema |           0.2 |
| mysql              |           0.7 |
| performance_schema |           0.0 |
| database1          |         456.8 |
+--------------------+---------------+

另外，如果我查看两个数据库上的同一张表，它们的行数似乎不同。我尝试多次复制数据库，但总是有所不同。有什么我想念的吗？我不是 MariaDB 的专家。两台服务器都在 Debian 9 下。

我在 MariaDB 服务器上有一个数据库，我需要将它复制到其他机器上的 Galera 集群上。我使用 HeidiSQL 创建了一个实际上非常快的转储文件。数据库大约500Mb。但是，当我尝试在另一台服务器上导入它（仍然使用 HeidiSQL）时，大约需要 8 个小时才能完成。我也尝试在经典的 MariaDB 服务器上导入它，同样的问题。

有没有办法减少导入时间？

我试图弄清楚 DNS 解析如何在 Windows 上工作。我有一台带有两个 NIC 的 PC，每个都连接到不同的 LAN（基本上第一个连接到 Internet，另一个连接到公司网络）。这些 NIC 中的每一个都配置了不同的域和 DNS：第一个具有 ISP 的默认值，第二个具有公司私有域和 DNS 服务器。解析互联网上的域工作正常，以及解析私有 DNS 的 FQDN。

但是，如果我尝试仅 ping 主机名（公司网络上的设备），Windows 只会尝试解析 ISP 的 DNS 上的名称，这会导致超时。从我在互联网上找到的文档中，我读到 Windows 应该询问主 DNS，如果它没有得到答案，请尝试其他接口上的 DNS。但似乎并非如此。我错过了什么 ？Windows 是否将来自主 DNS 服务器的否定答案视为明确答案？我不认为这是关于优先考虑一个 NIC 或另一个，因为它永远不会询问辅助 DNS。

我在 Debian9 设备上设置了 OpenVPN 服务器，以便我的公司可以从外部访问我们的服务器基础设施。我希望他们使用主机名来访问服务器，因此我将 Bind9 设置为内部 DNS。我修改了 OpenVPN 的 server.conf 以便将 DNS 和域推送到客户端：

push "dhcp-option DNS X.X.X.X"
push "dhcp-option DOMAIN mydomain.com"

我在 Linux 客户端上 ping 主机名和 FQDN 没有问题，但是在 Windows 上，我只能 ping FQDN。如果我在 Windows 客户端上执行 ipconfig /all，我可以看到 DNS 后缀 mydomain.com 被影响到正确的 NIC。运行 nslookup 显示正在使用的 DNS 是我计算机的默认值，而不是 OpenVPN 服务器提供的，所以我的猜测是我的计算机仅在默认 DNS 上搜索主机名。

我已经在 debian 9 机器上使用 strongswan 建立了一个有效的站点到站点 IPSEC 隧道。但是，我对流量应该如何工作有一个要求：站点 A 上的网络可以将数据包发送到站点 B 网络并接收确认。站点 B 只能在连接打开时与站点 A 通信。基本上，站点 A 可以访问站点 B，但站点 B 无法访问站点 A。基础架构架构如下：

        SITE A                                              SITE B
NetA--------------GatewayA------Internet------GatewayB-----------------NetB
A.A.A.A/24  A.A.A.254  pub.lic.ip.A   pub.lic.ip.B  B.B.B.254     B.B.B.B/24

我只能访问站点 A。站点 B 在客户端。

现在我需要限制从站点 B 到站点 A 的访问。我首先将 iptables 放在 GatewayA 上，以便基本上接受来自站点 B 的 ESTABLISHED 和 RELATED 数据包并丢弃其他所有数据包。这是我的 iptables ：

sudo iptables -L FORWARD
Chain FORWARD (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  B.B.B.B/24        A.A.A.A/24        state RELATED
ACCEPT     all  --  B.B.B.B/24        A.A.A.A/24        state ESTABLISHED
DROP       all  --  B.B.B.B/24        A.A.A.A/24        policy match dir in pol ipsec proto esp
ACCEPT     all  --  B.B.B.B/24        A.A.A.A/24        policy match dir in pol ipsec reqid 2 proto esp
ACCEPT     all  --  A.A.A.A/24        B.B.B.B/24        policy match dir out pol ipsec reqid 2 proto esp

sudo iptables -L INPUT
Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  B.B.B.B/24        A.A.A.A/24        state RELATED
ACCEPT     all  --  B.B.B.B/24        A.A.A.A/24        state ESTABLISHED
DROP       all  --  B.B.B.B/24        A.A.A.A/24        policy match dir in pol ipsec proto esp
ACCEPT     all  --  B.B.B.B/24        A.A.A.A/24        policy match dir in pol ipsec reqid 2 proto esp

在这里，每个表上的前 3 条规则是手动编辑的，接下来的规则是由 strongswan/ipsec 设置的。在测试环境中，我可以从站点 A ping 到站点 B，但不能从站点 B 到站点 A，这正是我想要的。

me@gatewayA:~$ ping A.A.A.1
PING A.A.A.1 (A.A.A.1) 56(84) bytes of data.
64 bytes from A.A.A.1: icmp_seq=1 ttl=63 time=2.25 ms
64 bytes from A.A.A.1: icmp_seq=2 ttl=63 time=1.32 ms
64 bytes from A.A.A.1: icmp_seq=3 ttl=63 time=1.28 ms
64 bytes from A.A.A.1: icmp_seq=4 ttl=63 time=1.56 ms
64 bytes from A.A.A.1: icmp_seq=5 ttl=63 time=1.45 ms

me@gatewayB:~$ ping B.B.B.1
PING B.B.B.1 (B.B.B.1) 56(84) bytes of data.

现在，出于某种原因，我需要重新启动 ipsec ：

sudo ipsec restart

现在我检查我的 iptables ：

sudo iptables -L FORWARD
Chain FORWARD (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  B.B.B.B/24        A.A.A.A/24        policy match dir in pol ipsec reqid 2 proto esp
ACCEPT     all  --  A.A.A.A/24        B.B.B.B/24        policy match dir out pol ipsec reqid 2 proto esp
ACCEPT     all  --  B.B.B.B/24        A.A.A.A/24        state RELATED
ACCEPT     all  --  B.B.B.B/24        A.A.A.A/24        state ESTABLISHED
DROP       all  --  B.B.B.B/24        A.A.A.A/24        policy match dir in pol ipsec proto esp

sudo iptables -L INPUT
Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  B.B.B.B/24        A.A.A.A/24        policy match dir in pol ipsec reqid 2 proto esp
ACCEPT     all  --  B.B.B.B/24        A.A.A.A/24        state RELATED
ACCEPT     all  --  B.B.B.B/24        A.A.A.A/24        state ESTABLISHED
DROP       all  --  B.B.B.B/24        A.A.A.A/24        policy match dir in pol ipsec proto esp

如您所见，重新启动 ipsec 更改了 iptables，现在我可以双向 ping。

所以我想知道是否有任何方法可以实现我想要的，即限制从站点 B 到站点 A 的访问，而不影响从站点 A 到站点 B 的通信。也许有一种方法可以在 strongswan 配置中定义 iptables，或者可能更改 iptables 规则的优先级，以便它们在重新启动时保持顺序。

当用户在 Debian 9 服务器上进行身份验证时，我想发送一封邮件。我使用 OVH 邮件服务器。我已经像这样设置了 msmtp：

account myaccount
tls_starttls off
logfile ~/.msmtp.log

host ssl0.ovh.net
port 465
from [email protected]
auth on
user [email protected]
password XXXXXXXXXXXXXXXX

account default : myaccount

我尝试发送邮件：

echo "Hello this is sending email using msmtp" | msmtp [email protected]

但是没有用，什么也没有发生。命令相同：

msmtp --serverinfo --tls --tls-certcheck=off --host ssl0.ovh.net --port 465

编辑 1

我在评论中尝试了@Anfi 提出的命令，我得到：

-bash: subject:: command not found
ignoring system configuration file /etc/msmtprc: No such file or directory
loaded user configuration file /home/myuser/.msmtprc
falling back to default account
using account default from /home/myuser/.msmtprc
host = ssl0.ovh.net
port = 465
proxy host = (not set)
proxy port = 0
timeout = off
protocol = smtp
domain = localhost
auth = choose
user = [email protected]
password = *
passwordeval = (not set)
ntlmdomain = (not set)
tls = off
tls_starttls = off
tls_trust_file = (not set)
tls_crl_file = (not set)
tls_fingerprint = (not set)
tls_key_file = (not set)
tls_cert_file = (not set)
tls_certcheck = on
tls_min_dh_prime_bits = (not set)
tls_priorities = (not set)
auto_from = off
maildomain = (not set)
from = [email protected]
add_missing_from_header = on
add_missing_date_header = on
remove_bcc_headers = on
dsn_notify = (not set)
dsn_return = (not set)
logfile = /home/myuser/.msmtp.log
syslog = (not set)
aliases = (not set)
reading recipients from the command line
msmtp: the server sent an empty reply 
msmtp: could not send mail (account default from /home/myuser/.msmtprc)

我在 OVH 有一些服务器。OVH 提供了一项名为 Vrack 的服务，用于将您的服务器连接到 VLAN。我已经创建了 5 个 VLAN，我希望这些 VLAN 能够进行通信。由于 OVH 不提供这样做的路由器，我决定使用连接到我的每个 VLAN 的 Debian 服务器，以便它们可以充当路由器。我已经设置了其中的 2 个，以便我可以有冗余。当其中一台路由器关闭时，另一台确保通信仍在工作。从 VLAN 上的主机看，这基本上是基础设施的样子：

 Primary Router ------------ "Switch" ---------------- Backup Router  
                                |  
                                |  
                                |  
                              Host

这里的问题是我在同一个网络上有 2 个可能的网关，我不知道该怎么做。我尝试在具有指标的主机上设置静态路由，但是当路由器关闭时，主机不会检测到它。

- - - - - - - 编辑 - - - - - - - - -

正如 eKKiM 所提到的，使用 VRRP 正是我实现冗余所需要的。我在我的两个路由器上都使用了 Keepalived。当主节点宕机时，备用节点接管路由。我已经设置了一个虚拟 IP 作为主机上的网关。它就像一个魅力。