Tangerina.jp

GPTヘッダのクリア

Tue 22 May 2012 06:11:00 AM JST By yuzurihara

FreeBSDのバージョンを8.3にするタイミングで、gstripeで使用していたディスクをZFSで使用するようにしました。ディスクの初期化を怠ったら、ZFS移行後にgeomからのエラーが出力されるようになってしまいました。 GEOM: ada1: the primary GPT table is corrupt or invalid. GEOM: ada1: using the secondary instead -- recovery strongly advised. GEOM: ada2: the primary GPT table is corrupt or invalid. GEOM: ada2: using the secondary instead -- recovery strongly advised. GEOM_STRIPE: Device gsswap created (id=1066737235). GEOM_STRIPE: Disk ada1p1 attached to gsswap. GEOM_STRIPE: Device gsdblog created (id=1610477017). GEOM_STRIPE: Disk ada1p2 attached to gsdblog. GEOM_STRIPE: Disk ada2p1 attached to gsswap. GEOM_STRIPE: Device gsswap activated. GEOM_STRIPE: Disk ada2p2 attached to gsdblog. GEOM_STRIPE: Device gsdblog activated. GEOM_STRIPE: Cannot add disk gptid/e39d0db3-ce0e-11e0-8ce8-001fd0c05e6b to gsswap (error=17). GEOM_STRIPE: Cannot add disk gptid/e5df9c90-ce0e-11e0-8ce8-001fd0c05e6b to gsdblog (error=17). GEOM_STRIPE: Cannot add disk gptid/35867e75-ce0e-11e0-8ce8-001fd0c05e6b to gsswap (error=17). GEOM_STRIPE: Cannot add disk gptid/38becac6-ce0e-11e0-8ce8-001fd0c05e6b to gsdblog (error=17). GEOM_STRIPE: Disk ada1p2 removed from gsdblog. GEOM_STRIPE: Device gsdblog removed. GEOM_STRIPE: Disk ada1p1 removed from gsswap. GEOM_STRIPE: Device gsswap removed. GEOM_STRIPE: Disk ada2p2 removed from gsdblog. GEOM_STRIPE: Device gsdblog destroyed. GEOM_STRIPE: Disk ada2p1 removed from gsswap. GEOM_STRIPE: Device gsswap destroyed. 上がdmesgの該当部分の抜粋です。どうやら、geomのメタデータとGPTの情報が両方とも生き残っているようです。ちなみにZFSでは次のように、ディスク全体を使用しています。 # zpool status zusr pool: zusr state: ONLINE scan: none requested config: NAME STATE READ WRITE CKSUM zusr ONLINE 0 0 0 mirror-0 ONLINE 0 0 0 ada1 ONLINE 0 0 0 ada2 ONLINE 0 0 0 errors: No known data errors gstripeコマンドでgeomのメタデータを消してみました。が、以下のようにあえなく失敗。 zpoolをexportした状態ではメッセージが変化するものの、エラーで失敗のままです。 # gstripe clear -v ada1 Can't clear metadata on ada1: Operation not permitted. gstripe: Not fully done. # zpool export zusr # gstripe clear -v ada1 Can't clear metadata on ada1: Invalid argument. gstripe: Not fully done. geomのメタデータはパーティションごとに書かれるようなので、パーティション自体を削除する方針に変えました。ただ、gpart destroyもエラーを出すだけなので、ディスクの管理情報を直接削除します。 GPTではMBRの次のセクター(LBA1)にパーティションの情報を格納しているので、そこをゼロフィルしました。すでにZFSで使用中のディスクなので、この方法はすこし乱暴ですが、zpool create後でも、GPTの情報が残ってしまっているということは、 LBA1は(まだ)ZFSによって使用されていないということなので、大丈夫でしょう。 # dd if=/dev/zero of=/dev/ada1 bs=512 count=1 skip=1 # dd if=/dev/zero of=/dev/ada2 bs=512 count=1 skip=1 上のようにコマンドを実行して、LBA1から1セクタ分をゼロで埋めます。引数のskip=1が「LBA1から」、count=1が「1セクタ分」、また、bs=512が 1セクタのサイズ(512バイト)を表しています。実行後に再起動すると、geomからのエラーは出力されなくなりました。念のため、zpool scrubコマンドでZFSの情報が壊れていないことを確認します。 scrubが完了した後、ステータスを表示すると以下のようになりました。 # zpool status zusr pool: zusr state: ONLINE scan: scrub repaired 0 in 0h2m with 0 errors on Mon May 21 21:30:11 2012 config: NAME STATE READ WRITE CKSUM zusr ONLINE 0 0 0 mirror-0 ONLINE 0 0 0 ada1 ONLINE 0 0 0 ada2 ONLINE 0 0 0 errors: No known data errors 問題ありませんでした。 [おわり]
Read more
自己証明書を作成してnginxで使うその2

Mon 23 Apr 2012 10:15:00 PM JST By yuzurihara

自己サーバ証明書(オレオレ証明書)を作成し、nginxでHTTPS通信ができるようにします。前回は自己証明書を作成しました。今回は、nginxに組み込みます。設定ファイルの変更 nginx.confにsslを使用するための設定を追加します。通常のHTTPとは別のサーバー名でHTTPSを提供したいので、それ専用のserverブロックをhttpブロックの中に追加しました。 http { [...] server{ listen 443; server_name www.my.domain; access_log /var/log/ssl.access.log main; ssl on; ssl_certificate /usr/local/etc/nginx/my_domain.crt; ssl_certificate_key /usr/local/etc/nginx/server.key; ssl_session_timeout 10m; ssl_protocols SSLv3 TLSv1; ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP; ssl_prefer_server_ciphers on; location / { root /path/to/ssl/root index index.html index.htm; } } } ssl_certificateとssl_certificate_keyにはそれぞれ、前回作成した証明書と秘密キーのファイルパスを指定します。 server_nameには.csrファイルを作成するときに入力した"Common Name"を指定してください。別のサーバ名を使用したい場合は、証明書の作成からやり直します。 nginxの再起動設定を有効にするために、nginxを再起動させましょう。 # /usr/local/etc/rc.d/nginx restart Performing sanity check on nginx configuration: Enter PEM pass phrase: nginx: the configuration file /usr/local/etc/nginx/nginx.conf syntax is ok nginx: configuration file /usr/local/etc/nginx/nginx.conf test is successful Stopping nginx. Performing sanity check on nginx configuration: Enter PEM pass phrase: nginx: the configuration file /usr/local/etc/nginx/nginx.conf syntax is ok nginx: configuration file /usr/local/etc/nginx/nginx.conf test is successful Starting nginx. Enter PEM pass phrase: Enter PEM pass phrase:とプロンプトが表示されたら、パスフレーズを入力してください。再起動には3回ほどserver.keyのパスフレーズの入力が求められます。再起動できたらブラウザでアクセスできることを確認しましょう。パスフレーズの入力を回避するこのままでも使用できますが、nginxの起動や終了のたびにパスフレーズの入力を求められるのでは、運用が面倒です。なので、server.keyのパスフレーズを削除してしまいましょう。まずはキーファイルのバックアップを取ります。 # cp server.key server.key.org 次にパスフレーズを取り去ります。 # openssl rsa -in server.key.org -out server.key Enter pass phrase for server.key.org: writing RSA key プロンプトが表示されたらserver.keyのパスフレーズを入力してください。正しく入力できれば、パスフレーズで保護されていないファイルが生成されます。できたら、キーファイルの不要なパーミッションを落としてきましょう。 nginxを/usr/local/etc/rc.d/nginxで起動する場合、設定ファイルはrootだけが読めれば大丈夫です。 # chmod 600 server.key 最後に、nginxが起動することを確認します。 # /usr/local/etc/rc.d/nginx restart Performing sanity check on nginx configuration: nginx: the configuration file /usr/local/etc/nginx/nginx.conf syntax is ok nginx: configuration file /usr/local/etc/nginx/nginx.conf test is successful Stopping nginx. Performing sanity check on nginx configuration: nginx: the configuration file /usr/local/etc/nginx/nginx.conf syntax is ok nginx: configuration file /usr/local/etc/nginx/nginx.conf test is successful Starting nginx. [おわり]
Read more
自己証明書を作成してnginxで使うその1

Thu 19 Apr 2012 11:50:00 PM JST By yuzurihara

自己サーバ証明書(オレオレ証明書)を作成し、nginxでHTTPS通信ができるようにします。サーバ証明書を作成するためには、秘密キーの生成秘密キーから証明書署名要求ファイルを作成証明書署名要求ファイルからサーバ証明書を作成のステップで行います。秘密キーの作成最初に秘密キーを作成しましょう。シェルでopenssl genrsa -out server.key -aes128 1024と入力してください。以下のようになります。 $ openssl genrsa -out server.key -aes128 1024 Generating RSA private key, 1024 bit long modulus ..........................++++++ ..............++++++ e is 65537 (0x10001) Enter pass phrase: Verifying - Enter pass phrase: 作成の途中で、秘密キーを保護するためのパスフレーズの入力が求められます。Enter pass phrase:の部分です。パスワード(単語)ではなくパスフレーズ(語句)なので、長めのものがいいでしょう。パスフレーズ確認のためのプロンプトがVerifying - Enter pass phrase:と表示されます。同じフレーズを入力してください。パスフレーズが一致しないと Verify failure User interface error 2404:error:0906906F:PEM routines:PEM_ASN1_write_bio:read key:/usr/src/secure/lib/libcrypto/../../../crypto/openssl/crypto/pem/pem_lib.c:334: などと表示されてキーは生成されません。パスフレーズが一致していれば、秘密キーがserver.keyファイルに作られます。証明書署名要求ファイルの作成秘密キーができたら、証明書署名要求(certificate signing request)ファイルを作りましょう。シェルでopenssl req -new -key server.key -out my_domain.csrと入力してください。次のようになります。 $ openssl req -new -key server.key -out my_domain.csr Enter pass phrase for server.key: You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]:JP State or Province Name (full name) [Some-State]:Tokyo Locality Name (eg, city) []:Chiyoda-ku Organization Name (eg, company) [Internet Widgits Pty Ltd]:my.domain Organizational Unit Name (eg, section) []: Common Name (eg, YOUR name) []:www.my.domain Email Address []: Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []: ここではいくつかの項目を入力しなければなりません。すべて半角英数字でないとならないと思われます。プロンプト入力する内容 Enter pass phrase for server.key: server.keyのパスフレーズ。 Country Name (2 letter code) [AU]: 国名コード。 State or Province Name (full name) [Some-State]: 州とか都道府県の名前。 Locality Name (eg, city) []: 市町村の名前。 Organization Name (eg, company) [Internet Widgits Pty Ltd]: 組織や会社の名前。 Organizational Unit Name (eg, section) []: 組織や会社の部署名。空欄でもいいです。 Common Name (eg, YOUR name) []: httpsでアクセスできるようにするドメイン名。(ここ重要!) Email Address []: メールアドレス。空欄でもいいです。 A challenge password []: 証明書署名要求のパスワード。自己証明なので空欄にします。 An optional company name []: 会社名。空欄にします。これで、my_domain.csrファイルが生成されます。あと、国名コードについてはここからどーぞ。表中の"ISO 3166-1-alpha-2 code"の欄をご覧ください。日本ならJPです。証明書署名要求ファイルからサーバ証明書を作成証明書署名要求ファイルができたら、自分でサーバ証明書を作成しましょう。 $ openssl x509 -req -in my_domain.csr -signkey server.key -out my_domain.crt Signature ok subject=/C=JP/ST=Tokyo/L=Chiyoda-ku/O=my.domain/CN=www.my.domain Getting Private key Enter pass phrase for server.key: ここでもEnter pass phrase for server.key:とプロンプトが表示され、server.keyのパスフレーズを入力します。パスフレーズが誤っていると次のようにエラーが表示されます。 unable to load Private key 2492:error:06065064:digital envelope routines:EVP_DecryptFinal_ex:bad decrypt:/usr/src/secure/lib/libcrypto/../../../crypto/openssl/crypto/evp/evp_enc.c:330: 2492:error:0906A065:PEM routines:PEM_do_header:bad decrypt:/usr/src/secure/lib/libcrypto/../../../crypto/openssl/crypto/pem/pem_lib.c:428: パスフレーズが正しければ、my_domain.crtファイルが生成されます。これが証明書になります。自己証明書を作成してnginxで使うその2へつづく。
Read more
DragonFly BSDでjail環境を作るその3

Mon 16 Apr 2012 08:02:00 PM JST By yuzurihara

DragonFly BSDでjailを構築してみます。前回のDragonFly BSDでjail環境を作るその2からの続きです。ここではjail側の設定を行います。また、/usr/jail/happyにjailツリーを用意したものとして説明しています。 rc.confの設定 jailツリーのインストール直後には/etc/rc.confが存在しません。以下の内容で新規作成してください。ホストからvi /usr/jail/happy/etc/rc.confなどとしてjail内に/etc/rc.confを作成します。 sshd_enable="NO" usbd_enable="NO" moused_enable="NO" sendmail_enable="NONE" rpcbind_enable="NO" network_interfaces="" resolv.confの設定 jailからネットワークの名前解決ができるように/etc/resolv.confを作成します。特別なことをしないのであれば、ホストのファイルを流用できるでしょう。以下のようにして、ホストのファイルをコピーします。 # cp /etc/resolv.conf /usr/jail/happy/etc/ jail起動では、jailを起動してみましょう。手動でjailを起動するには/etc/rc.d/jailを使用します。以下のように、/etc/rc.d/jailに起動を指示するstartとjail名を引数で渡します。 # /etc/rc.d/jail start happy Configuring jails:. Starting jails:/etc/rc.d/jail: INFO: Mounting devfs on /usr/jail/happy/dev /etc/rc.d/jail: INFO: Mounting procfs onto /usr/jail/happy/proc happy.smile. 起動できれば、上の例のように起動したjailのホスト名(ここではhappy.smile.)が表示されます。 jailの使用今回の例では、jailでsshdが動作していません。そのため、jlsおよびjexecを使用してjailへアクセスします。ここでは説明のため、ホストのプロンプトをhost#、jailのものをjail#とします。まずは、jlsを使用してみましょう。引数なしで起動してみてください。 host# jls JID Hostname Path IPs 1 happy.smile /usr/jail/happy 192.168.1.232 起動しているjailの一覧が表示されます。左から順番に、jailのID、ホスト名、jailツリーの場所、IPアドレスとなっています。ここで表示されたjailのIDをもとに、jexecコマンドでjail内のプロセスを起動できます。たとえばhostnameコマンドを、IDが1のjail内で実行するのであれば、次のようにします。 host# jexec 1 hostname happy.smile 起動するコマンドをシェルにすれば、jail内でrootユーザとして振る舞えます。 host# jexec 1 sh jail# hostname happy.smile これでjailが使用できるようになりました。設定やプログラムのインストールを自由に行ってください。 [つづくかも]
Read more

« Page 7 / 10 »