카테고리 Archives: linux

CentOS6 x64 – apache 1.3.x – mod_geoip 설치

httpd.conf 에 아래와 비슷한 내용이 먼저 들어 있어야 한다.

LoadModule redurl_module libexec/mod_url.so

AddModule mod_url.c

CheckURL On

</IfModule>

이유는 mod_geoip 설치시 마지막 LoadModule 라인을 인식하여 그 아래 LoadModule mod_geoip 추가 한다.
라인이 없다면 스크립트 실패로 설치가 실패한다.

GeoIP를 yum 으로 설치한다.

1	~]# yum install GeoIP GeoIP-devel

이후 mod_geoip 를 설치한다.

cd /opt

wget http://geolite.maxmind.com/download/geoip/api/mod_geoip/mod_geoip_1.3.4.tar.gz

tar xvfzp mod_geoip_1.3.4.tar.gz

cd mod_geoip_1.3.4

/usr/local/apache/bin/apxs -i -a -L/usr/include -I/usr/lib64 -lGeoIP -c mod_geoip.c

httpd.conf 파일에 data 파일 위치를 선언하는 부분을 추가한다.

GeoIPEnable On

GeoIPDBFile /var/lib/GeoIP/GeoIP.dat

</IfModule>

CentOS6에서 기본 설치를 이용했을때 일반적인 data파일 위치는 아래와 같다.
GeoIP : /usr/share/GeoIP
xt_geoip(iptables): /usr/share/xt_geoip
mod_geoip(apache): /var/lib/GeoIP
dat 파일은 매월 2~7일 사이에 maxmind.com 에서 바뀐부분을 새롭게 배포한다.

때문에 위 위치안의 GeoIP.dat 파일을 매월 초 갱신해 줘야 한다는 이야기가 된다.
갱신 없이 사용한다면 국가별 차단 등을 해놨을때 해당 국가여도 접속을 못하는 상황이 나올 수 있다.

그래서 아래와 같이 geoip_data_update.sh 스크립트를 만들어 매월 7일 정기적으로 실행 시켜 업데이트를 한다.

#!/bin/bash

if [[ ! -d /usr/share/GeoIP ]];then mkdir -p /usr/share/GeoIP;fi

cd /opt;data_locate="/usr/share/xt_geoip /var/lib/GeoIP"

for a in $data_locate

do if [[ `readlink $a` != "/usr/share/GeoIP" ]];then rm -rf $a;ln -s /usr/share/GeoIP $a;fi;done

/usr/bin/wget "http://geolite.maxmind.com/download/geoip/database/GeoLiteCountry/GeoIP.dat.gz" \

"http://geolite.maxmind.com/download/geoip/database/GeoLiteCity.dat.gz" \

"http://geolite.maxmind.com/download/geoip/database/GeoIPv6.dat.gz" \

"http://geolite.maxmind.com/download/geoip/database/GeoLiteCityv6-beta/GeoLiteCityv6.dat.gz"

/usr/bin/gzip -d GeoIP.dat.gz

/usr/bin/gzip -d GeoLiteCity.dat.gz

/usr/bin/gzip -d GeoIPv6.dat.gz

/usr/bin/gzip -d GeoLiteCityv6.dat.gz

mv -f GeoIP.dat.gz /usr/share/GeoIP

mv -f GeoLiteCity.dat.gz /usr/share/GeoIP

mv -f GeoIPv6.dat.gz /usr/share/GeoIP

mv -f GeoLiteCityv6.dat.gz /usr/share/GeoIP

smartctl을 이용한 디스크이상 사전 탐지

smartctl 명령어는 하드디스크 롬에 기록되는 형태이다. 때문에 I/O 에러 발생때문에 write가 잠겨
/var/log/messages 상에 찍히지 않는 I/O에러를 검출하는 목적으로 사용할 수 있다.

CentOS 5/6 은 이미 탑재되어 있는 명령어 이지만 Centos 7의 경우 아래와 같이 명령어 추가를 한다.

1	~]# yum -y install smartmontools

명령어는 작동시간, 부팅횟수, 헤더, 온도, 배드카운터, CRC 에러등등 하드디스크의 모든 종합 정보를 볼수 있다.
클라우드 – 가상디스크는 지원하지 않는다.
일반디스크인데 정보 표기다 되지 않을경우 아래 명령어서 on 시켜줘야 할 수 있다.

1	~]# smartctl -s on -o on -S on /dev/sdb

1. 아래 명령어는 SMART 속성 정보만 표기 한다.

~]# smartctl -A /dev/sdb

smartctl 5.43 2012-06-30 r3573 [x86_64-linux-2.6.32-573.el6.x86_64] (local build)

=== START OF READ SMART DATA SECTION ===

SMART Attributes Data Structure revision number: 10

Vendor Specific SMART Attributes with Thresholds:

ID# ATTRIBUTE_NAME FLAG VALUE WORST THRESH TYPE UPDATED WHEN_FAILED RAW_VALUE

1 Raw_Read_Error_Rate 0x000f 119 080 006 Pre-fail Always - 230021096

3 Spin_Up_Time 0x0003 097 097 000 Pre-fail Always - 0

4 Start_Stop_Count 0x0032 100 100 020 Old_age Always - 26

5 Reallocated_Sector_Ct 0x0033 100 100 010 Pre-fail Always - 72

7 Seek_Error_Rate 0x000f 085 060 030 Pre-fail Always - 354638784

9 Power_On_Hours 0x0032 081 081 000 Old_age Always - 17511

10 Spin_Retry_Count 0x0013 100 100 097 Pre-fail Always - 0

12 Power_Cycle_Count 0x0032 100 100 020 Old_age Always - 26

183 Runtime_Bad_Block 0x0032 100 100 000 Old_age Always - 0

184 End-to-End_Error 0x0032 100 100 099 Old_age Always - 0

187 Reported_Uncorrect 0x0032 001 001 000 Old_age Always - 13496

188 Command_Timeout 0x0032 100 098 000 Old_age Always - 4347069211

189 High_Fly_Writes 0x003a 100 100 000 Old_age Always - 0

190 Airflow_Temperature_Cel 0x0022 070 063 045 Old_age Always - 30 (Min/Max 26/33)

191 G-Sense_Error_Rate 0x0032 100 100 000 Old_age Always - 0

192 Power-Off_Retract_Count 0x0032 100 100 000 Old_age Always - 18

193 Load_Cycle_Count 0x0032 070 070 000 Old_age Always - 61781

194 Temperature_Celsius 0x0022 030 040 000 Old_age Always - 30 (0 16 0 0 0)

197 Current_Pending_Sector 0x0012 093 086 000 Old_age Always - 1184

198 Offline_Uncorrectable 0x0010 093 086 000 Old_age Offline - 1184

199 UDMA_CRC_Error_Count 0x003e 200 200 000 Old_age Always - 0

240 Head_Flying_Hours 0x0000 100 253 000 Old_age Offline - 267091131252729

241 Total_LBAs_Written 0x0000 100 253 000 Old_age Offline - 6696573732

242 Total_LBAs_Read 0x0000 100 253 000 Old_age Offline - 10010897282

주요 해서 봐야 하는 부분은 아래와 같다.
HEAD spindle error   //   Spin_Retry_Count (매우 높음) = 헤드가 재 작동을 시도한 횟수.
BAD sector //   Offline_Uncorrectable (높음) = 읽기/쓰기에 문제가 발생한 섹터 = 배드 섹터 발생
아래는 약간은 중요도가 떨어지지만 주요해서 봐야 한다.
UDMA_CRC_Error_Count   (낮음) = HDD인터페이스 전송 CRC 오류 (sata 케이블 오류의심)

위 에러중 HEAD 관련 카운트가 1개라도 나온경우 스핀들모터 혹은 리드헤드 쪽에 문제가 발생한것이다.
이는 즉시 데이터 백업 및 디스크 교체를 진행한다.

2. 누적된 에러 로그를 호출한다. ‘ㅅ’a

1	~]# smartctl -q errorsonly -H -l selftest -l error /dev/sdb

정상일경우 아무런 메세지도 표시되지 않는다. 메세지가 출력되는 경우 아래 상세 테스트를 진행한다.

3. 상세한 테스트를 한다. ( short 1~2분 소요 / long = 약 두시간 가량 소요 )

1	~]# smartctl -t short /dev/sdb

~]# smartctl -t long /dev/sdb

smartctl 5.43 2012-06-30 r3573 [x86_64-linux-2.6.32-573.el6.x86_64] (local build)

=== START OF OFFLINE IMMEDIATE AND SELF-TEST SECTION ===

Sending command: "Execute SMART Extended self-test routine immediately in off-line mode".

Drive command "Execute SMART Extended self-test routine immediately in off-line mode" successful.

Testing has begun.

Please wait 108 minutes for test to complete.

Test will complete after Fri Jun 17 15:55:42 2016

Use smartctl -X to abort test.

백그라운드 테스트가 진행되며 테스트간 off-line 모드가 되고 테스팅 시간은 약 108분 걸린다고 되어 있다.
smartctl -X 명령어로 long 테스트를 중지할 수 있다.

Status 값에 failure 가 떨어질경우 백업 및 디스크 교체를 한다.

CentOS6 php-4.3.11 with apache 2.4

먼저 아파치 2.4 및 DB는 사전에 서버 구축이 되어 있다는 가정하에 출발한다 ‘ㅅ’a
php 4.3 혹은 4.4.의 경우 배포툴을 까봤을때 apache 1.x 혹은 apache 2.0.x 와 호환되도록 되어 있다.

일반적인 웹서비스를 구성할수 있는 extension 을 포함한 설치 방법이다.

~]# cd /opt

~]# wget http://museum.php.net/php4/php-4.3.11.tar.gz

~]# tar xfzp php-4.3.11.tar.gz

문제점은 아래와 같다. –

CentOS6에 포함된 openssl-1.0.1e , curl 버전 충돌 이난다. 그리고 apache MPM 정상인식 불가에 따른 configure 수정이 필요하다.
shutdown-patch 는 snmp 공격에 의해 error_log 가 난잡해지는것을 방지하는 패치이다

~]# cd php-4.3.11

~]# wget http://www.enteroa.com/extra_files/php-4.3.11-shutdown-patch.diff

~]# wget http://www.enteroa.com/extra_files/php4-apache24.patch

~]# patch -p1 < php-4.3.11-shutdown-patch.diff

~]# patch -p0 < php4-apache24.patch

위 패치파일을 받아 패치를 한뒤에 컴파일을 진행한다.

~]# ./configure --prefix=/usr/local/php \

--with-mysql=/usr/local/mysql \

--with-apxs2=/usr/local/apache/bin/apxs \

--with-png-dir=/usr/lib64 \

--with-zlib-dir=/usr/lib64 \

--with-gif-dir=/usr/lib64 \

--with-freetype-dir=/usr/lib64 \

--with-jpeg-dir=/usr/lib64 \

--with-config-file-path=/usr/local/apache/conf \

--with-mod-charset \

--with-language=korean \

--with-charset=euc_kr \

--with-libidn \

--with-gdbm \

--with-iconv \

--with-mcrypt \

--with-mhash \

--with-gettext \

--with-ttf \

--with-kerberos \

--with-curl \

--with-db \

--with-idn \

--with-gd \

--with-png \

--with-zlib \

--with-xml \

--with-openssl \

--enable-modules=so \

--enable-idn \

--enable-exif \

--enable-trans-sid \

--enable-wddx \

--enable-dbx \

--enable-dbase \

--enable-mbstr-enc-trans \

--enable-mbregex \

--enable-mbstring \

--enable-magic-quotes \

--enable-calendar \

--enable-sockets \

--enable-ftp \

--enable-gd-imgstrttf \

--enable-track-vars \

--enable-bcmath \

--enable-force-cgi-redirect \

--enable-sigchild \

--disable-debug

~]# make

~]# make install

~]# libtool --finish /opt/php-4.3.11/libs

–with-ldap 과 –with-imap 은 포함시 해결이 되지 않아 제거 하였다 ‘ㅅ’a
그다음 아파치 구동을 한다 ‘ㅅ’a

그렇다.. 이 테스트의 목적은 PHP-4.x 기반의 HTTP/2 구현이 주목적…
부가적으로 각종 웹, OS 취약점 등등이 패치된 구형 php가 구동 가능한 서버를 구축할 수 있다.

크롬에서의 HTTP/2 사용확인은 아래의 주소를 별도의 탭에 띄워두고 사이트 접속을 하면 현재 유지되는 커넥션의 정보를 확인할 수 있다.
chrome://net-internals/#http2

memcache 설치 및 session.cache 운용

memcached 는 서버의 메모리를 할당해서 사용할수 있는 데몬의 일종이다.

파일캐시, 쿼리캐시, 세션캐시 등을 할 수 있으나 파일 캐시, 쿼리캐시는 최근에 사용되는 자체 데몬의 캐시가 오히려 더 효율적이기 때문에 사용치 않는다.

때문에 여기서는 세션캐시 부분만을 설명할 예정이다.

1. 설치

~]# yum -y install epel-release

~]# yum -y install memcached

~]# /usr/local/php/bin/pecl download memcache

~]# tar xfzp memcache-2.2.7.tgz

~]# cd memcache-2.2.7

~]# /usr/local/php/bin/phpize

~]# ./configure -with-php-config=/usr/local/php/bin/php-config

~]# make && make install

pecl, phpize, php-config 경로는 자신의 php 경로에 맞게 수정되어야 한다 ‘ㅅ’a

2. 실행 및 데몬 자동 실행 등록

~]# service memcached start

~]# chkconfig --level 2345 memcached on

# CentOS 7

~]# systemctl enable memcached

3. php.ini 설정 ( session 은 기존 설정값 변경 / 다른 부분은 추가. ) ( php 7.0 – memecahe을 포함 한다 )

1 2	session.save_handler = "memcache" session.save_path = "tcp://localhost:11211?persistent=1&weight=1&timeout=1&retry_interval=15"

[memcached]

extension=memcache.so

memcache.allow_failover=1

memcache.max_failover_attempts=20

memcache.chunk_size=8192

memcache.default_port=11211

설정 후 아파치를 재시작 하거나 php-fpm 일경우 php 을 재시작 하면 적용이 된다.
용량이나 포트등은 /etc/sysconfig/memcached 에서 설정할 수 있다.
기본 설정인 32M 의 경우 약 25000개의 세션을 버티는거 같다 = =a

4. 주의 사항.
일반적으로 문제가 생기지는 않으나 그누보드4 & 5 의 경우에 문제가 발생한다.
common.php 파일부분에 수정을 가해야만 정상동작 할 수 있다.

그누보드5

1	// session_save_path(G5_SESSION_PATH); // 찾아서 주석.

그누보드4

1	// session_save_path("{$g4['path']}/data/session"); // 찾아서 주석

물론 위에서 설명한 php.ini 설정을 하지 못했다면 더 어려워지겠다 =3=a

일반적인 /tmp 를 사용하거나 그누보드처럼 자체 폴더에 세션을 생성 하는 방법은 그 폴더에 32000여개의 파일이상이 생성이 될경우 사이트 속도가 매우 느려질 수 있다. ( 10초이상 걸릴 수도 있다. )
즉 사이트가 대형화가 된 경우의 속도 저하를 방지 한다.

그누보드의 경우 각 접속 뿐만 아니라 각 게시물의 xx번 읽음 체크를 위해 세션을 이용하기도 하기 때문에 이 느려지는시점은 본인 생각보다 빨리 올 수 있다.

운영중인 memcached 의 자원 관리를 위해 memcache.php 를 운용해서 확인할 수 있다.
https://github.com/lagged/memcache.php

CentOS7 – proftpd 설정.

RHEL 7, CentOS 7 에서 epel 레포지트리 추가 후 proftpd 설치를 할경우.

기존 버전과 틀리게 proftpd-1.3.5b 가 설치된다. (CentOS6은 proftpd-1.3.3g)

문제는 conf 파일이 호환 되지 않아서 ‘ㅅ’a 기존 잘운영하건 conf를 복사해서 붙여넣을 경우 작동하지 않는다.

그래서 그냥.. 설정값 ‘ㅅ’a 업데이트 (그냥 무리없이 쓸수 있는 설정이다. 당연히 어나니머스 ftp는 사용 안함)

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

# This is the ProFTPD configuration file

# See: http://www.proftpd.org/docs/directives/linked/by-name.html

# (http://www.proftpd.org/docs/howto/Tracing.html)

#TraceLog /var/log/proftpd/trace.log

#Trace DEFAULT:0

ServerName "ProFTP"

ServerIdent on "FTP Server ready."

ServerAdmin root@localhost

DefaultServer on

##########################################################

MultilineRFC2228 on

ShowSymlinks on

RequireValidShell off

TimeoutNoTransfer 600

TimeoutStalled 600

TimeoutIdle 1200

Port 21

PassivePorts 40001 40002

MaxClientsPerHost 5

MaxLoginAttempts 5

MaxClients 50 "Too many connections"

TransferLog /var/log/xferlog

UseEncoding utf8 cp949

TimesGMT off

SetEnv TZ "Asia/Seoul"

AllowOverwrite on

#########################################################

DefaultRoot ~ !root

AuthPAMConfig proftpd

AuthOrder mod_auth_pam.c* mod_auth_unix.c

#PersistentPasswd off

UseReverseDNS off

User nobody

Group nobody

MaxInstances 50

UseSendfile off

LogFormat default "%h %l %u %t \"%r\" %s %b"

LogFormat auth "%v [%P] %h %t \"%r\" %s"

#LoadModule mod_sql.c

#LoadModule mod_sql_passwd.c

#LoadModule mod_sql_mysql.c

#LoadModule mod_sql_postgres.c

#LoadModule mod_quotatab.c

#LoadModule mod_quotatab_file.c

#LoadModule mod_quotatab_sql.c

#LoadModule mod_ldap.c

#LoadModule mod_quotatab_ldap.c

#LoadModule mod_radius.c

#LoadModule mod_quotatab_radius.c

#LoadModule mod_copy.c

#LoadModule mod_deflate.c

#LoadModule mod_exec.c

#LoadModule mod_facl.c

#LoadModule mod_geoip.c

#LoadModule mod_ifversion.c

#LoadModule mod_load.c

#LoadModule mod_ratio.c

#LoadModule mod_rewrite.c

#LoadModule mod_sftp.c

#LoadModule mod_sftp_pam.c

#LoadModule mod_sftp_sql.c

#LoadModule mod_shaper.c

#LoadModule mod_site_misc.c

#LoadModule mod_tls_shmcache.c

#LoadModule mod_tls_memcache.c

#LoadModule mod_wrap.c

#LoadModule mod_wrap2.c

#LoadModule mod_wrap2_file.c

#LoadModule mod_wrap2_sql.c

LoadModule mod_vroot.c

#LoadModule mod_ifsession.c

LoadModule mod_ctrls_admin.c

ModuleControlsACLs insmod,rmmod allow user root

ModuleControlsACLs lsmod allow user *

# Enable basic controls via ftpdctl

ControlsEngine on

ControlsACLs all allow user root

ControlsSocketACL allow user *

ControlsLog /var/log/proftpd/controls.log

# Enable admin controls via ftpdctl

AdminControlsEngine on

AdminControlsACLs all allow user root

</IfModule>

# Enable mod_vroot by default for better compatibility with PAM

VRootEngine on

</IfModule>

# TLS (http://www.castaglia.org/proftpd/modules/mod_tls.html)

#<IfDefine TLS>

TLSEngine on

TLSRequired off

TLSRSACertificateFile /etc/ssl/private/proftpd.pem

TLSRSACertificateKeyFile /etc/ssl/private/proftpd.pem

TLSProtocol SSLv23

TLSCipherSuite ALL:!ADH:!DES

TLSOptions NoCertRequest

TLSVerifyClient off

TLSRenegotiate ctrl 3600 data 512000 required off timeout 300

# TLSLog /var/log/proftpd/tls.log

TLSSessionCache shm:/file=/var/run/proftpd/sesscache

</IfModule>

#</IfDefine>

# Dynamic ban lists (http://www.proftpd.org/docs/contrib/mod_ban.html)

LoadModule mod_ban.c

BanEngine on

BanLog /var/log/proftpd/ban.log

BanTable /var/run/proftpd/ban.tab

BanOnEvent MaxLoginAttempts 2/00:10:00 01:00:00

BanMessage "Host %a has been banned"

BanControlsACLs all allow user ftpadm

</IfDefine>

# Set networking-specific "Quality of Service" (QoS) bits on the packets used

LoadModule mod_qos.c

QoSOptions dataqos throughput ctrlqos lowdelay

#QoSOptions dataqos CS2 ctrlqos AF41

</IfDefine>

# Global Config - config common to Server Config and all virtual hosts

Umask 022

AllowOverwrite yes

AllowAll

</Limit>

</Global>

# A basic anonymous configuration, with an upload directory

#<IfDefine ANONYMOUS_FTP>

# <Anonymous ~ftp>

# User ftp

# Group ftp

# AccessGrantMsg "Anonymous login ok, restrictions apply."

# UserAlias anonymous ftp

# MaxClients 10 "Sorry, max %m users -- try again later"

# #DefaultChdir /pub

# DisplayLogin /welcome.msg

# DisplayChdir .message

# DisplayReadme README*

# DirFakeUser on ftp

# DirFakeGroup on ftp

# <Limit WRITE SITE_CHMOD>

# DenyAll

# </Limit>

# <IfModule mod_vroot.c>

# <Directory /uploads/*>

# AllowOverwrite no

# <Limit READ>

# DenyAll

# </Limit>

# <Limit STOR>

# AllowAll

# </Limit>

# </Directory>

# </IfModule>

# <IfModule !mod_vroot.c>

# <Directory uploads/*>

# AllowOverwrite no

# <Limit READ>

# DenyAll

# </Limit>

# <Limit STOR>

# AllowAll

# </Limit>

# </Directory>

# </IfModule>

# WtmpLog off

# ExtendedLog /var/log/proftpd/access.log WRITE,READ default

# ExtendedLog /var/log/proftpd/auth.log AUTH auth

# </Anonymous>

#</IfDefine>

기존과 틀려진 부분은 기존에 Certificate 와 Key 를 구분하여 받아 들였는데 pure-ftpd 처럼 한파일로 받는다.
TLS 설정을 안한경우 TLSEngine off 로 한다.

FTP용 인증서 발급 방법은 TLS통신을 위한 Public Certificate 발급&갱신을 확인 한당 ‘ㅅ’a