Игорь Олемской — практические заметки по системному администрированию Linux CentOS

CentOS RPM ruby enterprise 1.8.7-2010.02 и rubygems 1.3.2

Комментариев нет

В тестовый репозиторий CentOS добавлен ruby enterprise 1.8.7 (2010.02) и rubygems 1.3.2.

Для подключения репозитория Southbridge добавьте следующие строки в /etc/yum.repos.d/southbridge-testing.repo:

[southbridge-testing]
name=Southbridge test packages repository
gpgcheck=1
gpgkey=http://rpms.southbridge.ru/RPM-GPG-KEY-southbridge
enabled=1
baseurl=http://rpms.southbridge.ru/testing/$basearch/

Для установки ruby 1.8.7 запустите:

yum install ruby-enterprise ruby-enterprise-rubygems

22.07.2010

Написал Игорь Олемской

ip_conntrack perfomance

Комментариев нет

Интересный комментарий из статьи http://rackerhacker.com/2008/01/24/ip_conntrack-table-full-dropping-packet/

Some readers may be interested to know what ip_conntrack is in the first place, and why it fills up. If you run an iptables firewall, and have rules that act upon the state of a packet, then the kernel uses ip_conntrack to keep track of what state what connections are in so that the firewall rule logic can be applied against them. If you have a system that's getting a lot of network activity (high rates of connections, lots of concurrent connections, etc) then the table will accumulate entries.

The entries remain until an RST packet is sent from the original IP address. If you have a flaky network somewhere between you, and the clients accessing your server, it can cause the RST packets to be dropped due to the packet loss, and leave orphaned entries in your ip_conntrack table. This can also happen if you have a malfunctioning switch or NIC card... not necessarily a routing problem out on the internet somewhere.

Typically when I've seen this trouble crop up is when a server is the target of a DDoS attack. Filling up the ip_conntrack table is a relatively easy way to knock a server off line, and attackers know this.

As Major suggested, you can get short term relief by increasing the size of the table. However, these entries are held in memory by the kernel. The bigger you make the table, the more memory it will consume. That memory could be used by your server to serve requests if you really don't need the stateful firewall capability. Don't waste resources on this feature if you really don't need it.

Another option to consider is turning OFF iptables rules that use ip_conntrack so the state able is not used at all. Anything with «-m state» or «-t nat» can be turned off. If you want to just flush all your iptables rules you can do an «iptables -P» to set a default allow policy and «iptables -F» to flush all the rules. On an RHEL or CentOS system you can just do «service iptables stop».

Once iptables is no longer using ip_conntrack, you can reclaim the memory the table was using by unloading the related kernel modules.

rmmod ipt_MASQUERADE
rmmod iptable_nat
rmmod ipt_state
rmmod ip_conntrack

Then you will have an empty ip_conntrack that will stay empty. I mention this because a lot of sysadmins have hordes of iptables rules installed as a matter of course, and don't recognize the downside of having them present. You can still use iptables, but to avoid the use of ip_conntrack simply don't use rules based on stateful logic.

18.06.2010

Написал Игорь Олемской

Рубрики: Мои записи

Добавлен новый пакет swfmill-0.3.0

Комментариев нет

В репозиторий Southbridge добавлен новый пакет swfmill-0.3.0.

26.04.2010

Написал Игорь Олемской

Добавлен новый пакет php-pecl-imagick-3.0.0RC1

Комментариев нет

Добавлен новый пакет php-pecl-imagick-3.0.0RC1 для php 5.2.

Для установки требует ImageMagick2 из репозитория Remi.

26.04.2010

Написал Игорь Олемской

Добавлен пакет php-pecl-amfext

Комментариев нет

В репозиторий Southbridge добавлен пакет php-pecl-amfext 0.9.2.

17.03.2010

Написал Игорь Олемской

Логирование медленных запросов Apache

Комментариев нет

Для логирования медленных запросов Apache очень удобно использовать модуль mod_log_slow, домашняя страница которого находится по адресу http://code.google.com/p/modlogslow/

Для установки модуля под CentOS 5 64bit можно воспользоваться репозиторием Southbridge:

yum install modlogslow

или установить пакет по прямой ссылке:

rpm -ihv http://rpms.southbridge.ru/stable/x86_64/modlogslow-1.0.6-1.southbridge.x86_64.rpm

Пример конфигурации можно посмотреть в файле /etc/httpd/conf.d/logslow.conf

13.03.2010

Написал Игорь Олемской

Как удобно копировать файлы и папки между серверами, соблюдая доступы

Комментариев нет

Это удобнее всего сделать используя tar через ssh:

tar zcvf - /files | ssh root@192.168.0.1 "cat > /files.tar.gz"

03.02.2010

Написал Игорь Олемской

Рубрики: Мои записи

Теги: , , ,

Как создать партицию больше 2ТБ

Комментариев нет

Хорошая статья на эту тему: http://www.cyberciti.biz/tips/fdisk-unable-to-create-partition-greater-2tb.html

И еще: http://blog.gtuhl.com/2007/09/18/big-ext3-partitions-in-opensuse-102/

17.12.2009

Написал Игорь Олемской

Рубрики: Мои записи

Теги: , , , ,

Какой выбрать RAID или почему не использовать RAID-5?

Комментариев нет

Отличная статья на эту тему: http://habrahabr.ru/blogs/hardware/78311/

15.12.2009

Написал Игорь Олемской

Рубрики: Мои записи

Теги: , , , , ,

CentOS + OpenVZ: iptables ssh-anti-bruteforce в контейнере

Комментариев нет

Для того, чтобы в контейнере OpenVZ под CentOS заработала блокировка iptables вида (разрешается не больше 4 соединений для порта 22 в течение 180 секунд):

-A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --update --seconds 180 --hitcount 4 --name DEFAULT --rsource -j DROP
-A INPUT -p tcp -m tcp --dport 22 -m state --state NEW -m recent --set --name DEFAULT --rsource

Необходимо в файле /etc/vz/vz.conf разрешить следующие iptables-модули:

IPTABLES="iptable_filter ipt_multiport ip_conntrack ipt_REJECT"

По-умолчанию ip_conntrack отсутствует в этом списке, iptables при добавлении приведенных выше правил не ругается, но и ничего не работает. 🙂

03.12.2009

Написал Игорь Олемской

Рубрики: Мои записи

Теги: , , , ,