所有文章

Cisco ASA5520 VPN线路的监控和重启 公司从事第三方支付工作，跟很多银行都有合作关系，拉了很多专线直通银行，双方建立VPN，两端都是Cisco的设备，但是，这些线路有时候会莫名其妙的断掉，关键是程序不知道啊，老是重连，一直等到客服反映客户投诉，查一圈程序后才知道。这在生产环境上可是行不通的，找来了所谓Cisco高手，也搞不明白为什么老断，没办法，于是写了两个监控脚本，使用Ping检测VPN对端的状况，一旦Ping不通，就用脚本登陆防火墙，自动重启VPN。 在安装之前，先安装一个能从命令行发送邮件的软件Email来发送报警邮件，否则每台机器都起sendmail，没什么必要: https://github.com/muquit/mailsend-go #发送实例 mailsend-go -smtp smtp.126.com -port 25 \ auth \ -user xxx@126.com -pass xxx \ -from xxx@126.com -to "xxx@126.com" \ -sub "Test" \ body -msg 'hello world' 126邮箱这里的密码用的是授权码 授权密码，不是邮箱密码 说明一下场景： 210.210.210.3是对端Cisco vpn设备的公网IP 192.168.101.99是建立了VPN后，对端服务器的私网IP地址； 192.168.1.1是己方Cisco ASA5520的私网地址。 #!/bin/sh while [ "1" -eq "1" ] do live=`ping -c4 "192.168.101.99"|wc -l` if [ $live -eq 5 ] ; then /usr/local/bin/mailsend-go -debug -to "ranrui.zhang@rendoumi.com" -from monit@ddky.com -ssl -port 465 -smtp smtp.qiye.aliyun.com \ auth -user "monit@ddky.com" -pass "xxxxxxxx" \ -sub "vpn断了" body -msg "`date +%Y`年`date +%m`月`date +%d`日 vpn断了！！！" \ -cs "utf-8" /usr/local/bin/revpn.sh echo "`date +%Y`年`date +%m`月`date +%d`日 `date +%H`点`date +%M`分 线路不能到达王府井机房，重启VPN。" sleep 60 fi; sleep 60 done 以下是用expect自动登录Cisco路由器重启vpn的脚本 revpn.sh ...

新的一年依始，开始定好了旅行计划，但是有个东西却依然心神不宁。 那就是万一在国外有什么变动，如何往国内打电话呢？！ 说到这里，不得不提个东西，那就是旅顺的App，这个东西已经消失了，但是绝对值得被记住啊。 这个东西在塞班岛旅游的时候曾经救了自己两次 首先是它的第一代产品： 第一代的原理似乎是把手机的信号直接通过网络转移到了国内，随身携带然后配合app使用，这点非常牛吧！国内的窜出点会随机，忽而天津，忽而别的地方，所以呼出电话搞不好是长途计费。第一次呢八戒是在塞班岛中部那个麦当劳附近，用这个接到了国内的电话，说是出大事了，有人把公司数据库的数据给改了，当时约定下午6：00再打，然后下午在台湾牛肉面的店里，又用这个往国内通了电话，打了半个多小时，领导告知了具体的情况，要是接不起来那可真就麻烦大了。 这个是它第二代的产品： 这个是升级版pro，就更厉害了，直接放家里，手机上下个app，有网络就能用了，不用像第一代一样随身携带了。 这个更是救命了，话说第二回在塞班的时候正是疫情刚发作的时候，塞班直接封岛了，然后好多航班都延期或终止了，就是用这个旅顺打国内电话改签了回国的机票，足足打了两个小时啊，到处占线等待，如果打国际长途的话费用不堪设想，另外打塞班大韩航空的电话改签两程机票也是不可想像的，所以，关键时刻是真的救命啊。 这么好的软件却直接倒闭消失了，真是万分可惜啊。 哎，现在没有这个了，只能自己搭一个voip电话自用了。 刚开始是考虑RasPBX，其实自己用树莓派搭过，费事不说，主要树莓派容易死机，务必要稳定，所以干脆用FreePBX搭建在kvm服务器虚拟机上的方式，来保持绝对稳定。 以下教程只适用于 FreePBX 16 的官方ISO，具体做法如下： 一、安装KVM虚机： #下载FreePBX16的iso光盘 wget https://downloads.freepbxdistro.org/ISO/SNG7-PBX16-64bit-2302-1.iso #创建qcow2虚机文件 qemu-img create -f qcow2 freepbx-8-2-60/freepbx-8-2-60.qcow2 20G virt-install \ --name=freepbx-8-2-60 \ --vcpu=4 \ --ram=8096 \ --disk path=/export/kvm/freepbx-8-2-60/freepbs-8-2-60.qcow2,format=qcow2,size=20 \ --cdrom=/export/kvm/SNG7-PBX16-64bit-2302-1.iso \ --network bridge=br0 \ --os-type=linux \ --vnc --vnclisten=0.0.0.0 --vncport=5916 用vnc连接5916端口安装，设置一下root的密码安装。 这样安装好后，系统其实是dhcp动态获得ip的，进入看了看，是Centos，我们不需要dhcp，把IP给固定死 vi /etc/sysconfig/network-scripts/ifcfg-eth0 TYPE="Ethernet" BOOTPROTO="static" IPADDR=10.8.2.60 NETMASK=255.255.255.0 GATEWAY=10.8.2.1 DNS1=114.114.114.114 DEFROUTE="yes" NAME="eth0" DEVICE="eth0" ONBOOT="yes" SSH登录一下没问题，看到绿框就ok了 二、配置FreePBX的分机 打开网址 http://10.8.2.60 , 登录 FreePBX Administration 登上去后是这个样子 上面我没有开System Firewall，这个看个人需求，绝对不要像公网开放80端口，只开5060的udp和1000-10004的UDP。 ...

同事有个需求，想开放个域名，给别的同事们下载文件用。 这个其实很建单，问题就是文件怎么放上去，sftp、ftp什么的都需要搭个服务器，其实最简单应该是webdav，但是放公网又不太安全。 本来考虑是用 oss 的桶，前面直接套个CDN，但是如果桶文件泄露被疯狂下载，也会付出银两。 最后做法是用 Minio 弄一个模拟的桶环境，前面配置上 Nginx，带宽限制到1M，这样就无所谓了。同事用另一台机器模拟S3的API往上面放文件供下载。 一、minio的安装 下载二进制文件，简单粗暴启动： #!/bin/bash nohup /app/minio/minio server --address '0.0.0.0:9000' --console-address '0.0.0.0:9001' /app/bucket > /app/minio/minio.log 2>&1 & 这样就启动了，然后网页打开 http://10.10.247.211:9000 ，就可以看到登录界面了 登录后，我们先建立一个Bucket，就叫做pub桶，把pub桶的策略改成public，这样nginx代理的时候才能直接访问到 然后我们上传个图片，BOMS3.0.png，然后去/app/bucket目录下看看 结果发现BOMS3.0.png居然是个目录，进去继续看 meta信息和若干的part，看来这是为多版本准备的，这就是为什么要策略是public的原因，不是就无法从9000访问。 二、安装配置nginx server { listen 80; listen [::]:80; server_name supervisor-task.ddky.com; location / { return 301 https://supervisor-task.ddky.com$request_uri; } } server { listen 443 ssl; server_name supervisor_task.ddky.com; ssl_certificate /etc/nginx/cert/_.ddky.com.crt; ssl_certificate_key /etc/nginx/cert/_.ddky.com.key; ssl_session_timeout 5m; location / { rewrite ^/$ /pub/index.html break; proxy_pass http://10.10.247.211:9000/pub/; proxy_redirect off; } access_log /app/logs/access.log ; error_log /app/logs/error.log; } 主要就是要配置代理，代理到minio的9000端口 ...

NFS的SERVER分两部分： 1、RPC 主程序：rpcbind NFS 本质是一个 RPC 服务，而要启动任何一个 RPC 服务之前，都需要做好 port 的对应 (mapping) 的工作才行，这个工作其实就是『 rpcbind 』这个服务所负责的！也就是说， 在启动任何一个 RPC 服务之前，我们都需要启动 rpcbind 才行！ (在 CentOS 5.x 以前这个软件称为 portmap，在 CentOS 6.x 之后才称为 rpcbind 的！) 2、NFS 主程序：nfs-utils 就是提供 rpc.nfsd 及 rpc.mountd 这两个 NFS daemons 与其他相关 documents 与说明文件、执行文件等的软件！这个就是 NFS 服务所需要的主要软件！ 安装服务端NFS Server yum install nfs-utils rpcbind -y sudo apt install nfs-kernel-server 客户端不提供服务，所以不用装rpcbind yum install nfs-utils sudo apt install nfs-common 将NFS和rpcbind加入开机启动 systemctl enable --now rpcbind systemctl enable --now nfs 客户端不用启用任何服务 服务端检查是否安装nfs： rpm -qa | grep nfs与 rpm -qa | grep rpcbind即可 停止服务端的nfs server的方法： systemctl stop nfs systemctl stop rpcbind 配置共享目录 在服务端配置一个共享目录 ...

Kvm虚拟机挂载临时急救iso启动的方法： 首先去到宿主机 编辑虚机文件virsh edit vis-18-32-6 <disk type='file' device='cdrom'> <driver name='qemu' type='raw'/> <target dev='hda' bus='ide'/> <readonly/> <address type='drive' controller='0' bus='0' target='0' unit='0'/> </disk> 在target下面增加一行source： <disk type='file' device='cdrom'> <driver name='qemu' type='raw'/> <target dev='hda' bus='ide'/> <source file="/export/kvm/systemrescuecd-x86-5.2.2.iso"/> <readonly/> <address type='drive' controller='0' bus='0' target='0' unit='0'/> </disk> 再修改boot为cdrom，改回去则是hd <os> <type arch='x86_64' machine='pc-i440fx-rhel7.0.0'>hvm</type> <boot dev='cdrom'/> </os> 然后启动虚机就可以了。

Shell脚本好的帮助信息的例子 一个好的脚本，必须有好的帮助信息 给一个比较简洁的例子 #!/bin/bash ### ### my-script — does one thing well ### ### Usage: ### my-script <input> <output> ### ### Options: ### <input> Input file to read. ### <output> Output file to write. Use '-' for stdout. ### -h Show this message. help() { awk -F'### ' '/^###/ { print $2 }' "$0" } if [[ $# == 0 ]] || [[ "$1" == "-h" ]]; then help exit 1 fi echo Hello World 以前丑陋的用法真是没法看！！！ ...

Nodejs禁止后台偷偷升级 去到172.18.31.2上，会看到很多node进程 有病噻，系统都没有运行node程序。唯一的程序是nci-ansible-ui-quick-setup，在/export/server下，还没有运行，升级个茄子噻。 全杀掉，然后全局禁止升级即可 npm config set update-notifier false --global 第一次运行会有个提示，再运行就没有了。

Tomcat配置不当导致文件泄露 说明：Tomcat由于配置不当会导致tomcat/conf log webapps work temp bin lib等信息暴露在游览器中 例如： http://192.168.89.38:8080/conf/catalina.policy http://192.168.89.38:8080/conf/catalina.properties http://192.168.89.38:8080/conf/context.xml http://192.168.89.38:8080/conf/logging.properties http://192.168.89.38:8080/conf/server.xml http://192.168.89.38:8080/conf/tomcat-users.xml http://192.168.89.38:8080/conf/web.xml 修复方法： 将 /export/servers/tomcat 下的 server.xml <Host name="localhost" appBase="" 改成 <Host name="localhost" appBase="webapps" appBase千万不能为空 修改完后重启生效

用fail2ban简简单单封掉ssh端口的试探 有人不停试探登录22端口的openssh服务，ip量很大的话，比如1000多ip论番来，会导致服务的Loadavg升高到7左右，系统进程内ssh达到1000多，很困扰 如果改掉sshd的缺省端口22，那么scp以及sftp的时候会带来很大麻烦 这种情况就装个fail2ban就好，注意，Centos 7现在用的是fiewalld，所以fail2ban可以用ufw或者iptables，建议用iptables，比较容易看 #安装 yum install -y epel-release yum install -y fail2ban 最主要的就是修改/etc/fail2ban/jail.conf #vi /etc/fail2ban/jail.conf ...... [sshd-iptalbes] enabled = true filter = sshd port = 22 action = iptables[name=SSH, port=ssh, protocol=tcp] logpath = /var/log/secure maxretry = 3 bantime = 86400 ...... 注意上面用的是iptables，三次尝试失败就ban一天。

用logrotate解决catalinna.out过大的问题 我们的tomcat的catalina.out基本运行一段时间后会出现文件过大的问题，处理一下。 前提是/export/servers/tomcat/下需要建立个软链接tomcat，指向现在正在用的tomcat版本 然后就可以用logrotate来解决catalina.out的日志轮转问题。这种方式比较简单。在/etc/logrotate.d/目录下新建一个名为tomcat的文件， cat >/etc/logrotate.d/tomcat <<EOF /export/servers/tomcat/tomcat/logs/catalina.out{ copytruncate daily rotate 7 missingok compress } EOF 以上的配置说明： /export/servers/tomcat/tomcat/logs/catalina.out{ # 要轮转的文件 copytruncate # 创建新的catalina.out副本后，truncate源catalina.out文件，会丢数据!!! daily # 每天进行catalina.out文件的轮转 rotate 7 # 至多保留7个副本 missingok # 如果要轮转的文件丢失了，继续轮转而不报错 compress # 使用压缩的方式（非常有用，节省硬盘空间；一个2~3GB的日志文件可以压缩成60MB左右） } 可以手工强制执行logrotate程序。在命令行运行：