infosec – youngblogger на hoster-ok.com

Fortigate 200E перезагрузка неактивной ноды в HA кластере

Первое нам нужно получить индекс слейва

FW01 # get system ha status | grep 'HA operating index'
Master: FG200E4Q35301575, HA operating index = 0
Slave : FG200E4Q35320506, HA operating index = 1

В нашем случае “HA operating index = 1”
Теперь нужно войти на этот слейв.
username в данном случае имя пользователя которым будем логиниться.
он имеет права рута.

FW01 # execute ha manage 1 username
Warning: Permanently added '[169.254.0.2]:44422' (ED25519) to the list of known hosts.
username@169.254.0.2's password:
FW02 #

Теперь мы находимся на слейве и можем его перегрузить

FW02 # execute reboot
This operation will reboot the system !
Do you want to continue? (y/n)Connection to 169.254.0.2 closed by remote host.
Connection to 169.254.0.2 closed.

Через пару минут слейв будет загружен.

gitlab push -> jenkins build

При настройке автоматического билда из gitlab в jenkins я столкнулся с двумя проблемами.
Первая проблема связана с настройками gitlab
при попытке вызвать url Test->push – выдаёт ошибку 500.
Проблема решается включением опции https://your.git.lab/admin/application_settings
Outbound requests -> [v] Allow requests to the local network from hooks and services

Вторая проблема

Connection: close
Date: Sun, 07 Jul 2019 11:52:52 GMT
X-Content-Type-Options: nosniff
Cache-Control: must-revalidate,no-cache,no-store
Content-Type: text/html;charset=iso-8859-1
Content-Length: 415
Server: Jetty(9.4.z-SNAPSHOT)

<html>
<head>
<meta http-equiv="Content-Type" content="text/html;charset=utf-8"/>
<title>Error 403 No valid crumb was included in the request</title>
</head>
<body><h2>HTTP ERROR 403</h2>
<p>Problem accessing /job/Autodeploy/job/autobuild/build. Reason:
<pre>    No valid crumb was included in the request</pre></p><hr><a href="http://eclipse.org/jetty">Powered by Jetty:// 9.4.z-SNAPSHOT</a><hr/>

</body>
</html>

Для подавления этой проблемы нужно отключить защиту от CSRF/XSRF
https://your.jenkins.site/configureSecurity/
CSRF Protection -> [ ] Prevent Cross Site Request Forgery exploits

sshd – запрет вывода о последнем успешном логине и количестве неуспешных логинов

Для средств автоматизации которые выделяют терминал на удалённом сервере бывает необходимо запретить вывод сообщения следующего вида:

Last failed login: Thu Jun 27 04:49:56 EDT 2019 from 206.189.129.131 on ssh:notty
There were 752 failed login attempts since the last successful login.
Last login: Wed Jun 26 11:44:44 2019 from 22.158.126.144

Запретить можно двумя способами, для индивидуально для определённых пользователей и глобально для системы.

Запрет только для выбратнного пользователя username:

touch /home/username/.hushlogin

Запрет глобально для всей системы:
Отредактируйте файл /etc/ssh/sshd_config

PrintLastLog no
systemctl restart httpd

ПРЕДУПРЕЖДЕНИЕ!
Опция PrintLastLog не работает в Match секциях.
Опция работает только глобально! Тоесть её нельзя использовать для пользователя или группы.

Запрет разрешения ipv6 адресов в bind

/etc/sysconfig/named

OPTIONS="-4"

/etc/named.conf

filter-aaaa-on-v4 yes;

и в зависимости что вы используете

# systemctl list-unit-files | grep named
named-chroot-setup.service                    static
named-chroot.service                          enabled
named-setup-rndc.service                      static
named.service                                 disabled

перезапустить named-chroot (в моём случае)

systemctl restart named-chroot

или просто named (у меня он запрещён, привожу для примера)

systemctl restart named

Настройка статических iproute2 правил в Centos7

Я предпочитаю давать таблице своё уникальное имя. Когда таблиц много это позволяет легче ориентировaться.

[root@server /] # cat /etc/iproute2/rt_tables
#
# reserved values
#
255	local
254	main
253	default
0	unspec
#
# local
#
#1	inr.ruhep

# здесь добавить таблицу с уникальным ID и именем
102	directroute

После определения имени таблицы добавим файл /etc/sysconfig/network-scripts/route-vlan707
где vlan707 – имя интерфейса на котором определён IP и к которому будет привязан маршрут.
У меня это vlan.

[root@server /] # cat /etc/sysconfig/network-scripts/route-vlan707
# добавить route2 маршруты для directroute
# таблица directroute определена в /etc/iproute2/rt_tables
109.122.38.249/32 dev vlan707table directroute
default via 109.122.38.193 dev vlan707table directroute

Во втором файле определяем правило

[root@server /] # cat /etc/sysconfig/network-scripts/rule-vlan707
# add route2 rule for direct routing
from 109.122.38.249/32 lookup directroute

Тепер чтобы правила попали в таблицу маршрутизации необходимо “передёрнуть” интерфейс

ifdown vlan707 && ifup vlan707

Либо перезапустить систему. В результате получим следующее:

[root@server /] # ip route show table directroute
default via 109.122.38.193 dev vlan707
109.122.38.249 dev vlan707scope link

[root@server /] # ip rule show all
0:	from all lookup local
32765:	from 109.122.38.249 lookup directroute
32766:	from all lookup main
32767:	from all lookup default

Задержка вывода и неверное количество пользователей в команде w

Команда w и who сильно тормозят при старте. А top тормозит при старте и во время работы. А кроме этого прилично жрёт процессор.
Кроме этого w отображает неверное количество залогиненных пользователей

[root@server ~]# w
 18:52:03 up 444 days,  9:43,  51 user,  load average: 0.01, 0.01, 0.01
USER     TTY      FROM              LOGIN@   IDLE   JCPU   PCPU WHAT
root     pts/2    180.118.262.14   18:32    0.00s  0.01s  0.00s w

Выяснилось что причиной послужил слишком большой файл /var/run/utmp

ls -la /var/run/utmp
-rw-rw-r-- 1 root utmp 505323384 Oct 18 18:32 /var/run/utmp
> /var/run/utmp

После этого нужно перелогиниться чтобы счётчик начал верно показывать активных пользователей.

Настроить “relay” с авторизацией для postfix через gmail

Проверяем конфигурацию sasl в postfix

[root@mon1 postfix]# postconf -a
cyrus
dovecot
[root@mon1 postfix]# postconf -A
cyrus

Continue reading Настроить “relay” с авторизацией для postfix через gmail

OpenFire: проблема входа администратора после переименования домена

Проблема входа администратора в web-панель появилась сразу после переименования домена OpenFire который использует пользователей из внешнего LDAP (Active Directory) сервера.
В результате непродолжительного исследования было выявлено что проблема связана с тем что пользователь younghacker@openfire-01 который хранится в базе OpenFire как администратор имеет старое доменное имя openfire-01 и новый туда не пускаются по банальной причине что имеют новый домен younghacker@openfire-01.local.
Если OpenFire настроен для работы со внешней MySQL базой то исправление проблемы не представляет сложности. Достаточно подсоединиться к базе и изменить запись admin.authorizedJIDs в таблице OFPROPERTY.

Для встроенной HSQLDB эта операция немного сложнее.
Continue reading OpenFire: проблема входа администратора после переименования домена

Firefox – венуть http:// на родину!

Если в новых версиях Firefox попробовать скопировать URL из строки адреса то он скопируется с невидимым до этого префиксом http. Префикс http всегда попадает в клипборд если адрес выделен от начала в то время как https попадёт туда если только его специально выделить. Это раздражает. Отменить такое поведение можно отключив опцию отсечения префикса http. После этого префикс http будет всегда виден и пользователь сам выбирает выделять его или нет.

about:config
browser.urlbar.trim = True

заменить на

browser.urlbar.trim = False