FRsAG

frsag@frsag.org

10 participants
2606 discussions

Problème redirection port iptables
by Florent Nolot 11 Jan '14

11 Jan '14

Bonjour Je suis confronté à un problème dans une configuration de redirection de port avec iptables. Quand je fais un écoute avec tcpdump sur le port concerné, ma redirection fonctionne mais quand j'arrête mon tcpdump, la redirection en marche plus ! Il semble donc que comme lors de l'écoute avec tcpdump, l'interface est en listen la redirection fonctionne alors que sans le tcpdump, il n'y a pas d'écoute et le port ne s'ouvre pas à la demande de connexion ! Ci-dessous ma règle iptable. # Generated by iptables-save v1.4.14 on Fri Jan 10 17:05:09 2014 *nat :PREROUTING ACCEPT [1008:218755] :INPUT ACCEPT [154:25938] :OUTPUT ACCEPT [7:532] :POSTROUTING ACCEPT [8:572] -A PREROUTING -i br0 -p tcp -m tcp --dport 5901 -j DNAT --to-destination X.X.X.X:2069 -A POSTROUTING -p tcp -m tcp --dport 2069 -j MASQUERADE COMMIT # Completed on Fri Jan 10 17:05:09 2014 # Generated by iptables-save v1.4.14 on Fri Jan 10 17:05:09 2014 *filter :INPUT ACCEPT [2146:198921] :FORWARD ACCEPT [2:80] :OUTPUT ACCEPT [484:91340] COMMIT # Completed on Fri Jan 10 17:05:09 2014 Je suis sur une Linux serv-vm1 3.2.0-4-amd64 #1 SMP Debian 3.2.41-2 x86_64 GNU/Linux Cordialement -- Florent NOLOT Université de Reims Champagne-Ardenne

5 7

Re: [FRsAG] Problème redirection port iptables
by Florent Nolot 10 Jan '14

10 Jan '14

Pour plus d'informations : iptables -t nat -nvL Chain PREROUTING (policy ACCEPT 129 packets, 23159 bytes) pkts bytes target prot opt in out source destination 3 180 DNAT tcp -- br0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:5901 to:194.57.105.57:2069 Chain INPUT (policy ACCEPT 15 packets, 2506 bytes) pkts bytes target prot opt in out source destination Chain OUTPUT (policy ACCEPT 2 packets, 152 bytes) pkts bytes target prot opt in out source destination Chain POSTROUTING (policy ACCEPT 2 packets, 152 bytes) pkts bytes target prot opt in out source destination 0 0 MASQUERADE tcp -- * br0 0.0.0.0/0 0.0.0.0/0 tcp dpt:2069 Donc au final, les paquets sont bien interceptés par la règle PREROUTING mais pas par le POSTROUTING Florent NOLOT Université de Reims Champagne-Ardenne Le 10/01/2014 17:24, Aurélien Bras a écrit : > Bonjour, > > Je spécifie toujours l'interface de sortie pour pour un snat : > > -A PREROUTING -i br0 -p tcp -m tcp --dport 5901 -j DNAT > --to-destination X.X.X.X:2069 > -A POSTROUTING -o br0 -p tcp -m tcp --dport 2069 -j MASQUERADE > > Sinon comme je vois que l'interface se nomme br0, je soupçonne que > l'ip sur lequel tu effectue ton nat ne soit pas le routeur et ignore > donc les paquets en question, sauf avec un tcpdump qui activerait le > promiscius mode ... > > Cordialement. > > Aurélien > > > Le 10 janvier 2014 17:09, Florent Nolot <florent.nolot(a)univ-reims.fr > <mailto:florent.nolot@univ-reims.fr>> a écrit : > > Bonjour > > Je suis confronté à un problème dans une configuration de > redirection de port avec iptables. > Quand je fais un écoute avec tcpdump sur le port concerné, ma > redirection fonctionne mais quand j'arrête mon tcpdump, la > redirection en marche plus ! > Il semble donc que comme lors de l'écoute avec tcpdump, > l'interface est en listen la redirection fonctionne alors que sans > le tcpdump, il n'y a pas d'écoute et le port ne s'ouvre pas à la > demande de connexion ! > > Ci-dessous ma règle iptable. > > # Generated by iptables-save v1.4.14 on Fri Jan 10 17:05:09 2014 > *nat > :PREROUTING ACCEPT [1008:218755] > :INPUT ACCEPT [154:25938] > :OUTPUT ACCEPT [7:532] > :POSTROUTING ACCEPT [8:572] > -A PREROUTING -i br0 -p tcp -m tcp --dport 5901 -j DNAT > --to-destination X.X.X.X:2069 > -A POSTROUTING -p tcp -m tcp --dport 2069 -j MASQUERADE > COMMIT > # Completed on Fri Jan 10 17:05:09 2014 > # Generated by iptables-save v1.4.14 on Fri Jan 10 17:05:09 2014 > *filter > :INPUT ACCEPT [2146:198921] > :FORWARD ACCEPT [2:80] > :OUTPUT ACCEPT [484:91340] > COMMIT > # Completed on Fri Jan 10 17:05:09 2014 > > Je suis sur une > > Linux serv-vm1 3.2.0-4-amd64 #1 SMP Debian 3.2.41-2 x86_64 GNU/Linux > > Cordialement > > -- > Florent NOLOT > Université de Reims Champagne-Ardenne > > _______________________________________________ > Liste de diffusion du FRsAG > http://www.frsag.org/ > >

4 7

Offre d'emploi ISVTEC: sysadmin expert haute disponibilité à Lyon
by Cyril Bouthors 08 Jan '14

08 Jan '14

Bonjour, Pour faire face à sa croissance, ISVTEC recrute un sysadmin expert haute disponibilité à Lyon. Plus d'informations sur https://www.isvtec.com/annonce-sysadmin/ Candidature par email exclusivement sur cette adresse : recrutement(a)isvtec.com Comme toujours, nous ne souhaitons pas être contactés par des cabinets de recrutement et SSII. Cordialement -- Cyril Bouthors - ISVTEC <https://www.isvtec.com/>: Web Platform Managed Services and Scalability 14 avenue de l'Opéra, 75001 Paris. 201 rue Vendôme, 69003 Lyon ☎ 01 84 16 16 17 - Ligne directe : 0x7B9EE3B0E - Fax : 01 77 72 57 24

1 0

Libvirt et VMware
by Manuel OZAN 07 Jan '14

07 Jan '14

Bonjour à tous, Il y a des gens dans la salle qui jouent avec le couple Libvirt/VMware ? J'arrive à faire des choses intéressantes via "virsh" mais je bute sur la modification d'un "domain". Pour tout vous dire c'est surtout le retour suivant qui m'inquiète : erreur :internal error: Domain already exists, editing existing domains is not supported yet Je trouve assez peu de littérature sur Internet alors que le projet est prometteur... Cela est paradoxal (enfin je trouve) car ce dernier semble être utilisé au sein du module "Compute" d'OpenStack. Merci.

1 1

Playbook Ansible pour création de compte
by Greg 06 Jan '14

06 Jan '14

Bonjour ! pour 2014, je vous souhaite de pouvoir jouer avec un max de super outils ! 2013 a été une année très riche en création de super trucs qu'il faut pouvoir tester maintenant ... Je migre petit à petit mes scripts existants vers des playbooks Ansible, c'est vraiment un super outil ! (Note pour 2014: tester Salt) et je suis confronté à vouloir faire une utilisation détournée. Je cherche une bonne pratique ou un retour d'XP si vous avez. Je suis en train de créer un playbook de création de compte d'employé qui se résume à : - sur serveurA, créer un compte mail via postfixadmin (donc du SQL) - sur serveurA, créer un compte jabber - sur serveurB, créer un compte Redmine - sur serveurB, créer un compte gitolite - sur serveurC, abonner l'adresse mail à 4 mailing-list mailman - sur serveurD, attribuer un numéro de téléphone sur le serveur VoIP Chacune de ces étapes serait un role au sens Ansible, pour qu'un user puisse par exemple avoir tous les roles sauf un numéro de téléphone. Sauf que Ansible a été créé pour configurer une grappe de serveur, ce qui me fait me poser des questions c'est d'avoir une tâche par serveur... et comment calculer les variables à partir du prénom et du nom (en utf-8). Ca fonctionne, mais c'est assez pénible, surtout la partie manipulation de donnée... Je suis à 2 doigts de me créer mon propre module pour faire cette tâche. L'idéal, je le sais bien, ce serait d'avoir un LDAP ou AD et patati-patata je sais bien mais je dois faire avec l'existant puis migrer petit à petit. Vos avis ? Greg

2 2

Optimisation Apache2
by Sébastien 65 31 Dec '13

31 Dec '13

Bonjour, J'utilise Apache2(MPM Worker)/PHP5 en mode CGI sur des VPS n'ayant pas beaucoup de mémoire (1G) avec 20G de disque. Le VPS est installé sous Debian avec FTP/SSH/Apache2/PHP, pas de MySQL... Je voudrais optimiser la machine, pour cela je commence par configurer : Timeout : 120 MaxClients : RAM Server disponible / Taille Processus Apache Par contre je ne sais pas comment calculer les variables suivantes : ServerLimit ThreadsPerChild MinSpareThreads MaxSpareThreads MaxRequestsPerChild Ensuite je me demande si en recyclant les sockets TIME WAIT cela ne serais pas plus mal : sysctl -w net.ipv4.tcp_tw_recycle=1 sysctl -w net.ipv4.tcp_tw_reuse=1 Quelles sont vos astuces pour "tuner" Apache ? Bonne journée.

9 14

Serveurs à donner
by root＠atmaniak.com 31 Dec '13

31 Dec '13

Bonjour, j'ai des serveurs a donner sur Equinix PA2 aujourd'hui pour les gens qui en voudraient. C'est majoritairement du vieux dell, avec au hasard des : 2850 2800 2600 2800 6450 1950 1950 750 2850 2950 1950 Bref, me faire signe par mail si vous etes interessés, sinon cela partira a la benne. Emmanuel

3 3

audit security UNIX
by tarik chichane 27 Dec '13

27 Dec '13

Bonjour Les amis et bon presque fin de semaine je suis amené à faire un audit de sécurité d'un parc de 105 machine UNIX (toute saveur confondus "AIX 6,HPUX 11iV2 et sun solaris 8 et 10") là je me retourne vers vous mes seniors pros pour toutes documentations, pratiques , check list que vous avez pu entamer, rencontré ou même discutés bonne journée et Merci Tarik CHICHANE

3 2

: ssh utilisateur virtuel chrooté
by JC PAROLA 25 Dec '13

25 Dec '13

Bonjour, Je suis confronté au cahier des charges suivant pour lequel j'ai du mal a répondre et pourtout tous les monde à du y être confronté - donner un accès ssh à des utilisateurs virtuels (cas des hébergement tournant en mode PHP où tout appartient à apache: pas de user systeme) - confiner les users virtuels dans un $HOME - ne pas avoir à copier toutes les librairies dynamiques dans $HOME pour un chroot 'pure' - pouvoir utiliser des binaires en dehors du chroot (exemple mysqladmin) concernant le choot ssh, la doc Debian résume bien le sujet (http://www.debian.org/doc/manuals/securing-debian-howto/ap-chroot-ssh-env.f…). Cela me parait old school. J'ai également testé tout un tas de shell dont le plus proche serait lshell mais si je n'ai pas de user systeme, j'ai le même $HOME (celui d'apache) Je cherche actuellement du côté de PAM Mysql ou PAM LDAP, je pense qu'avec des utilisateurs virtuels je n'ai guère le choix. qu'en pensez-vous ?

7 13

import dump MySQL très lent
by Axel Vittecoq 13 Dec '13

13 Dec '13

Bonjour, Je vous expose mon problème: Nous avons pris ce serveur http://www.ovh.co.uk/dedicated_servers/enterprise/2014-SP-128.xml + Raid hard pour y migrer notre master MySQL actuellement c'est un Raid0 soft de SSD, 24G RAM, Xeon i7 W3520 Il y a environ 400G à migrer selon: > SELECT table_schema "DB Name", Round(Sum(data_length + index_length) / > 1024 / 1024, 1) "DB Size in MB" FROM information_schema.tables GROUP > BY table_schema; J'ai fait un dump classique (qui pèse 200G). le dump a été transféré sur le serveur. J'importe le dump dans MySQL (mysql < /mon/dump.sql) J'ai lançé ça vendredi aprem, aujourd'hui je ne suis même pas à la moitié. *Je trouve ça super lent* ! :( Points faibles: downgrade sur des HDD classique (Toshiba 7200RPM). dump lu et mysql écrit sur le même Raid array. J'ai un peu du mal à interpreter les top,iotop,iostat, etc... ça pourrait coincerau niveau de? disque, raid, lvm, os, mysql Merci de votre aide ;) quelques diags: # top > top - 16:14:55 up 4 days, 5:17, 0 users, load average: 1.08, 1.43, 1.52 > Tasks: 198 total, 1 running, 197 sleeping, 0 stopped, 0 zombie > %Cpu(s): 0.2 us, 0.0 sy, 0.0 ni, 92.9 id, 6.9 wa, 0.0 hi, 0.0 si, > 0.0 st > KiB Mem: 13206078+total, 13143241+used, 628360 free, 163260 buffers > KiB Swap: 523260 total, 180480 used, 342780 free, 14950824 cached > PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ > COMMAND > > 20118 mysql 20 0 0.107t 0.107t 3400 S 1.996 86.84 263:48.50 mysqld # iotop > Total DISK READ : 0.00 B/s | Total DISK WRITE : 5.15 M/s > Actual DISK READ: 0.00 B/s | Actual DISK WRITE: 5.21 M/s > TID PRIO USER DISK READ DISK WRITE SWAPIN IO COMMAND > 22591 be/4 mysql 0.00 B/s 2.63 M/s 0.00 % 99.99 % mysqld > --defaults-file=/etc/mysql/my.cnf le READ ne bouge pas de 0...?!! le WRITE fait quelques pointes à 15M. ça me parait bien peu. # iostat -x sda 5 > Linux 3.10.9-xxxx-grs-ipv6-64 () 12/09/2013 _x86_64_ (12 CPU) > avg-cpu: %user %nice %system %iowait %steal %idle > 0.49 0.10 0.10 5.11 0.00 94.19 > Device: rrqm/s wrqm/s r/s w/s rkB/s wkB/s avgrq-sz > avgqu-sz await r_await w_await svctm %util > sda 0.04 10.25 2.92 181.33 331.98 9347.70 105.07 > 4.33 23.53 6.76 23.80 3.32 61.14 > avg-cpu: %user %nice %system %iowait %steal %idle > 0.37 0.00 0.03 7.02 0.00 92.58 > Device: rrqm/s wrqm/s r/s w/s rkB/s wkB/s avgrq-sz > avgqu-sz await r_await w_await svctm %util > sda 0.00 7.60 0.00 102.40 0.00 6775.20 132.33 > 14.43 184.29 0.00 184.29 9.34 95.68 > avg-cpu: %user %nice %system %iowait %steal %idle > 0.33 0.00 0.05 7.93 0.00 91.68 > Device: rrqm/s wrqm/s r/s w/s rkB/s wkB/s avgrq-sz > avgqu-sz await r_await w_await svctm %util > sda 0.00 8.40 0.00 117.20 0.00 7396.80 126.23 > 32.26 234.63 0.00 234.63 8.16 95.68 > avg-cpu: %user %nice %system %iowait %steal %idle > 0.28 0.00 0.02 7.80 0.00 91.90 > Device: rrqm/s wrqm/s r/s w/s rkB/s wkB/s avgrq-sz > avgqu-sz await r_await w_await svctm %util > sda 0.00 9.80 0.00 222.20 0.00 8681.60 78.14 > 48.62 236.17 0.00 236.17 4.35 96.64 > avg-cpu: %user %nice %system %iowait %steal %idle > 0.27 0.00 0.05 8.00 0.00 91.68 > Device: rrqm/s wrqm/s r/s w/s rkB/s wkB/s avgrq-sz > avgqu-sz await r_await w_await svctm %util > sda 0.00 8.60 0.00 135.60 0.00 5524.00 81.47 > 54.92 402.54 0.00 402.54 7.13 96.72 > avg-cpu: %user %nice %system %iowait %steal %idle > 0.13 0.00 0.02 8.50 0.00 91.35 > Device: rrqm/s wrqm/s r/s w/s rkB/s wkB/s avgrq-sz > avgqu-sz await r_await w_await svctm %util > sda 0.00 5.00 0.00 93.60 0.00 4231.20 90.41 > 52.75 471.53 0.00 471.53 10.50 98.32 > avg-cpu: %user %nice %system %iowait %steal %idle > 0.27 0.00 0.07 7.82 0.00 91.85 > Device: rrqm/s wrqm/s r/s w/s rkB/s wkB/s avgrq-sz > avgqu-sz await r_await w_await svctm %util > sda 0.00 7.80 25.40 188.20 3251.20 7312.00 98.91 > 44.31 237.12 2.46 268.79 4.53 96.72 > avg-cpu: %user %nice %system %iowait %steal %idle > 0.28 0.00 0.03 7.50 0.00 92.18 > Device: rrqm/s wrqm/s r/s w/s rkB/s wkB/s avgrq-sz > avgqu-sz await r_await w_await svctm %util > sda 0.00 11.00 0.00 224.40 0.00 10137.60 90.35 > 57.25 258.35 0.00 258.35 4.29 96.32 > avg-cpu: %user %nice %system %iowait %steal %idle > 0.13 0.00 0.05 8.08 0.00 91.73 > Device: rrqm/s wrqm/s r/s w/s rkB/s wkB/s avgrq-sz > avgqu-sz await r_await w_await svctm %util > sda 0.00 8.20 0.00 212.80 0.00 8072.00 75.86 > 55.89 266.83 0.00 266.83 4.62 98.24 > avg-cpu: %user %nice %system %iowait %steal %idle > 0.13 0.00 0.05 8.13 0.00 91.68 > Device: rrqm/s wrqm/s r/s w/s rkB/s wkB/s avgrq-sz > avgqu-sz await r_await w_await svctm %util > sda 0.00 7.80 0.00 199.80 0.00 7280.80 72.88 > 63.85 299.11 0.00 299.11 4.91 98.16

6 9

Jump to page:

2025

2024

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

2010

FRsAG