Amar's Blog

tomld – Tomoyo u dva poteza

amar — Sun, 04 Dec 2011 16:41:23 +0000

Tomoyo?

Tomoyo je pathname MAC (mandatory access control) za Linux cija je svrha povecanje sigurnosti Linux sistema. Ideja je jednostavna: Tomoyu kazete “sta je OK” (learning) a Tomoyo ce zatim sve “sto nije OK” u komunikaciji sa Linux kernelom blokirati. Ako mu kazemo da je OK da user amar ima read/write permisije na /var/www/vhosts/amar/www direktorij, a korisnik amar nakon learning perioda (enforcing) pokusa pisati u /var/www/vhosts/amar/www2 kernel mu to nece dozvoliti.

tomld?

Pisanje Tomoyo pravila se moze nazvati “bolnim”. Nije bas sve tako jednostavno i lako za zavrsiti a uvijek postoji sansa za gresku. tomld taj proces pojednostavljuje. Radi kao deamon i gleda na sve trenutno pokrenute procese u learning mode-u te sam pokusava da skonta koja pravila napisati i staviti ih u enforcing mode. Naravno i ovdje postoji mogucnost greske ali komandom tomld –learn cemo deamon-u reci da, iako je u enforcing mode-u, na 1h sve denied domene ponovo stavi u learning mode.

Iako na prvu zvuci i previse komplikovano,tomld to zaista nije a MAC je nesto sto svakom shared hosting serveru itekako treba.. osim ako se ne odlucite ici Gentoo Hardened putem : )

Tomoyo

tomld

ferm – iptables na pravi nacin

amar — Tue, 08 Nov 2011 15:50:11 +0000

Postoji stotine,hiljade iptables firewall skripti koje se trude olaksati zivot administratoru smrtniku. Nekima je lakse i nakucati sve rucno. Ja sam dugo vremena imao nakucanu skriptu koja je radila ono sto i vecina firewall-a na Web server setupima radi. Dozvoli 80,443.. i blokiraj ostalo. I to radi OK.

Onog trenutka kad sam pronasao ferm osjecao sam se kao oni vim i emacs vjernici koji se poslije Boga kletu u editor. Jednostavno je mocan,jednostavan i funkcionalan.

Za neki prosjecan Web setup ferm.conf bi izgledao otprilike ovako (kako instalirati ferm na omiljeni distro zna Google):

#trusted mreze
@def $NET_TRUSTED = (77.239.xxx.xxx 77.74.xxx.xxx);

table filter {
chain INPUT {
policy DROP;

#tracking
mod state state INVALID DROP;
mod state state (ESTABLISHED RELATED) ACCEPT;

#dozvoli lokalne konekcije
interface lo ACCEPT;

#dozvoli ping
proto icmp icmp-type echo-request ACCEPT;

#dozvoli SSH sa trusted mreza
saddr $NET_TRUSTED proto tcp dport ssh ACCEPT;

#dozvoli SMTP
proto tcp dport (smtp) ACCEPT;

# dozvoli http i https
proto tcp dport (http https) {
#dozvoli max 20 konekcija po IP adresi
mod connlimit connlimit-above 20 REJECT;
ACCEPT;
}

#dozvoli FTP
proto tcp dport (ftp) {
#dozvoli max 5 konekcija po IP adresi
mod connlimit connlimit-above 5 REJECT;
ACCEPT; }

#dozvoli DNS TCP
proto tcp dport (domain) ACCEPT;
#dozvoli DNS udp
proto udp dport domain ACCEPT;

# the rest is dropped by the above policy

#temp junk
saddr 201.140.107.253 proto tcp DROP;
}

# outgoing connections are not limited
chain OUTPUT policy ACCEPT;

# this is not a router
chain FORWARD policy DROP;
}

You see? Prelijepo.. nesto sto se mora probati ukoliko se ima potrebe za firewall-om/iptables-om.

Ferm

Ferm manual

monit – monitoring za velike

amar — Mon, 07 Nov 2011 21:35:13 +0000

Kad imate vise servera o kojima se brinete, cesto se desi da servisi na istima iz nekih razloga odu u nirvana state a da to niste ni primjetili. Nekad zbog pogresne konfiguracije servisi se i ne startaju, nekad child procesi servisa pojedu sve resurse.. jednostavno ne sluze ono sto bi trebali.

Zasto Monit?

Nagios je sigurno najpoznatiji i najkoristeniji monitoring servis out there, ali isto tako ne bas lagan za konfigurisati.

Ideja je jednostavna: ukoliko se desi $x posalji mi mail na $y i restartuj servis sa komandom $z

Za neki standardni LAMPP setup monitrc bi to otprilike izgledao ovako (kako instalirati monit na omiljeni distro reci ce vam Google):

set daemon 60
set logfile syslog facility log_daemon
set mailserver localhost
set mail-format { from: monit@nula.ba
subject: $SERVICE $EVENT at $DATE
message: Monit $ACTION $SERVICE at $DATE on $HOST: $DESCRIPTION }
set alert amar.cosic@gmail.com

check process sshd with pidfile /var/run/sshd.pid
start program "/etc/init.d/ssh start"
stop program "/etc/init.d/ssh stop"
if failed port 22 protocol ssh then restart
if 5 restarts within 5 cycles then timeout

check process mysql with pidfile /var/run/mysqld/mysqld.pid
group database
start program = "/etc/init.d/mysql start"
stop program = "/etc/init.d/mysql stop"
if mem usage > 80% for 5 cycles then alert
if cpu usage > 80% for 5 cycles then alert
if failed host 127.0.0.1 port 3306 then restart
if 5 restarts within 5 cycles then timeout

check process apache with pidfile /var/run/apache2.pid
group www
start program = "/etc/init.d/apache2 start"
stop program = "/etc/init.d/apache2 stop"
if cpu is greater than 60% for 2 cycles then alert
if cpu > 80% for 5 cycles then restart
if totalmem > 500 MB for 5 cycles then restart
if children > 250 then restart
if loadavg(5min) greater than 10 for 8 cycles then stop
if failed host 127.0.0.1 port 80 then restart
if 3 restarts within 5 cycles then timeout

check process postfix with pidfile /var/spool/postfix/pid/master.pid
group mail
start program = "/etc/init.d/postfix start"
stop program = "/etc/init.d/postfix stop"
if failed port 25 protocol smtp then restart
if 5 restarts within 5 cycles then timeout

check process postgres with pidfile /var/lib/postgresql/8.4/main/postmaster.pid
group database
start program = "/etc/init.d/postgresql start"
stop program = "/etc/init.d/postgresql stop"
if failed unixsocket /var/run/postgresql/.s.PGSQL.5432 protocol pgsql
then restart
if failed host 127.0.0.1 port 5432 protocol pgsql then restart
if 5 restarts within 5 cycles then timeout

check process vsftpd with pidfile /var/run/vsftpd/vsftpd.pid
start program = "/etc/init.d/vsftpd start"
stop program = "/etc/init.d/vsftpd stop"
if failed port 21 protocol ftp then restart
if 5 restarts within 5 cycles then timeout

Sve je manje-vise self explanatory, na procese koji inace trose najvise resursa (apache, mysql) stavljamo mali monitoring procesa,memorije i cpu iskoristenosti u ostalim slucajevima restart servisa se vrsi na fail konektovanja na port/socket.

Monit

Monit configuration examples

hello World

amar — Mon, 07 Nov 2011 16:52:36 +0000

Nekad bas u novembru prosle godine sam napisao zadnji post na sad vec starom (dizajnerski starom) blogu. Koncepcija i sadrzaj su mi se vremenom sve manje svidjali, a kad na to dodas ljenost kad je pisanje u pitanju.. dobijes godinu dana stagnacije.

Zbog toga ovaj put blog koji je tezak manje od 50k, koji nema boja,komentara,linkova,kategorija,tagova,headera,footera,widget-a.. Skontao sam da kad vec rijetko pisem,posvetiti se izgledu bloga je nonsense.. iako ce se nama koji tezimo minimalizmu ovakav izgled vise svidjeti.

Kad je u pitanju sadrzaj i tu cu da promjenim neke stvari. Tako se tu vise nece naci teme o ljubavi,eurosongu,zivotinjama.. Ovaj put blog ce biti samo i jedino o tehnoligjama i to 99% o Linuxima, Debianima, serverima itd..

Do narednog post-a..