Acty Blog

Friday, February 15, 2008

SELinux VS Service 筆記

SELinux 已經列入 RHCE 考試如果想要考試的就不能逃避
只是 SELinux 大部分的人沒碰過還是不很了解要理解也是要花一段時間
所謂「知難行易」既然了解並不容易那就從邊作邊學開始吧

以下是我按照英文字母順序整理出目前我已經知道的 SELinux

Vsftpd
#setsebool ftpd_disable_trans
#service vsftpd restart

Squid
#chcon -u system_u -t squid_cache_t /path/to/cached_ir
#service squid restart

WWW
#chcon -R -h -t httpd_sys_content_t /path/to/html_dir
#service httpd restart

載入 Library (通常是手動安裝的軟體才需要)
chcon -t texrel_shlib_t libxxx.so

Thursday, February 14, 2008

[收錄] Rzaor 說明

原本的文章是發佈於 Debian@TW
http://www.debian.org.tw/index.php/Razor

但這個站目前是沒有運作所以趕緊把文章從 Google cache 搶救回來

--------------------------------------------------------------------------------

Razor

From DebianWiki
目錄

* 1 所需套件
* 2 簡介
* 3 設定 Razor
* 4 測試 Razor
* 5 將已知垃圾郵件之指紋碼上傳至 Razor 之線上資料庫

[編輯]
所需套件

razor
[編輯]
簡介

Vipul's Razor 是一種線上的垃圾郵件比對資料庫。
它會計算已知垃圾郵件之指紋碼 (使用 SHA 雜湊演算法)，然後存至 Razor 之線上資料庫中。而 SpamAssassin 可以經由查詢 Razor 之線上資料庫來判斷該封郵件是否為垃圾郵件。
[編輯]
設定 Razor

安裝完 Razor 套件後，以 amavis 身份（執行 SpamAssassin 之帳號）執行以下指令：

razor-client
razor-admin -create

它會建立 /var/lib/amavis/.razor 目錄，並在此寫入一些設定檔。而 Razor 將依這些設定來進行比對垃圾郵件。

然後，修改 SpamAssassin 的設定檔 /etc/mail/spamassassin/local.cf 如下：

# 是否使用 Razor version 2
use_razor2 1

這樣 SpamAssassin 就會查詢 Razor 之線上資料庫來過濾垃圾郵件了。

另外，Razor 將會對外連線至 Razor 線上資料庫的 TCP 2703 和 7 這兩個 Port。在設定防火牆時要記得打開。
[編輯]
測試 Razor

一樣，寄封測試用的垃圾郵件吧：

# telnet 127.0.0.1 25
Connected to 127.0.0.1.
Escape character is '^]'.
220 qemu ESMTP Postfix (Debian/GNU)
MAIL FROM:
250 Ok
RCPT TO:
250 Ok
DATA
354 End data with .
Subject: Test spam mail (GTUBE)

XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X
.
250 Ok: queued as 0C3E9C906B
QUIT
221 Bye
Connection closed by foreign host.

看看這封郵件是否真的被判定為垃圾郵件了：

From tetralet@example.net Sat Oct 30 15:26:30 2004
Return-Path:
X-Original-To: tetralet@virtual.com
Delivered-To: tetralet@virtual.com
Received: from localhost (localhost.localdomain [127.0.0.1])
by qemu.virtual.com (Postfix) with ESMTP id F0828A06E
for ; Sat, 30 Oct 2004 15:26:29 +0800 (CST)
Received: from qemu.virtual.com ([127.0.0.1])
by localhost (qemu [127.0.0.1]) (amavisd-new, port 10024) with ESMTP
id 00565-02 for ;
Sat, 30 Oct 2004 15:26:28 +0800 (CST)
Received: by qemu.virtual.com (Postfix, from userid 103)
id 6D819A06F; Sat, 30 Oct 2004 15:26:27 +0800 (CST)
Received: from localhost.localdomain (localhost.localdomain [127.0.0.1])
by qemu.virtual.com (Postfix) with SMTP id AF694A06E
for ; Sat, 30 Oct 2004 15:26:04 +0800 (CST)
Subject: *****SPAM***** Test spam mail (GTUBE)
Message-Id: <20041030072604.AF694A06E@qemu.virtual.com>
Date: Sat, 30 Oct 2004 15:26:04 +0800 (CST)
From: tetralet@example.net
To: undisclosed-recipients: ;
X-Spam-DCC: dcc.uncw.edu: qemu 1201; Body=101 Fuz1=611
X-Spam-Flag: YES
X-Spam-Checker-Version: SpamAssassin 2.64 (2004-01-11) on qemu.virtual.com
X-Spam-Level: **************************************************
X-Spam-Status: Yes, hits=1007.0 required=5.0 tests=AWL,DNS_FROM_RFCI_DSN,
GTUBE,MSGID_FROM_MTA_SHORT,NO_REAL_NAME,RAZOR2_CF_RANGE_51_100,
RAZOR2_CHECK autolearn=no version=2.64
X-Spam-Report:
* 0.3 NO_REAL_NAME From: does not include a real name
* 1000 GTUBE BODY: Generic Test for Unsolicited Bulk Email
* 1.6 RAZOR2_CF_RANGE_51_100 BODY: Razor2 gives confidence between 51 and 100
* [cf: 100]
* 2.5 RAZOR2_CHECK Listed in Razor2 (http://razor.sf.net/)
* 3.3 MSGID_FROM_MTA_SHORT Message-Id was added by a relay
* 1.4 DNS_FROM_RFCI_DSN RBL: From: sender listed in dsn.rfc-ignorant.org
* -2.0 AWL AWL: Auto-whitelist adjustment
X-Virus-Scanned: by amavisd-new-20030616-p10 (Debian) at virtual.com

XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X

如果一切沒問題，那就大功告成囉∼∼
[編輯]
將已知垃圾郵件之指紋碼上傳至 Razor 之線上資料庫

我們也可以將我們手上的垃圾郵件提交給 Razor 線上資料庫。首先，我們得要先從 Razor 線上資料庫得到一組帳號密碼：

razor-admin -register -user postmaster@domain.com

然後... 嗯... 未完待續...加油加油

取自"http://wiki.debian.org.tw/index.php/Razor"

本頁面已經被瀏覽3,943次。最後更改16:51 2006年十二月12日. 本站所有內容允許以下方式利用: GNU Free Documentation License 1.2

Wednesday, February 13, 2008

MailScanner 除錯

MailScanner

訊息
None of the files matched by the "Monitors For Sophos Updates" patterns
若 /usr/local/sav 沒有 ***_ides.zip 檔案 Sophos 會認為沒有新的 patten

Monday, February 11, 2008

MailScanner - Filter 安裝

spamassassin 有一些常用的 filter 可以搭配
以下是比較有名的，如 Vipul'Razor, Pyzor, DCC

Vipul's Razor
http://razor.sourceforge.net/

#wget http://nchc.dl.sourceforge.net/sourceforge/razor/razor-agents-sdk-2.07.tar.bz2
#tar xjvf razor-agents-sdk-2.07.tar.bz2
#cd razor-agents-sdk-2.07
#perl Makefile.PL
#make
#make test
#make install

#wget http://nchc.dl.sourceforge.net/sourceforge/razor/razor-agents-2.84.tar.bz2
#tar -xjvf razor-agents-2.84.tar.bz2
#cd razor-agents-2.84
#perl Makefile.PL
#make
#make test
#make install
#razor-admin -create
#razor-admin -register -user postmaster@your.domain

Pyzor
http://pyzor.sourceforge.net/
#wget http://nchc.dl.sourceforge.net/sourceforge/pyzor/pyzor-0.4.0.tar.bz2
#tar xjvf pyzor-0.4.0.tar.bz2
#cd pyzor-0.4.0
#python setup.py build
#python setup.py install

DCC Filter 安裝
DCC - Distributed Checksum Clearinghouse
http://www.rhyolite.com/anti-spam/dcc/
注意：dcc 需要安裝 sendmail-devel 才能 make 成功

#wget http://www.rhyolite.com/anti-spam/dcc/source/dcc.tar.Z
#tar zxvf dcc.tar.Z
#cd dcc-1.3.86
#./configure
#make
#sudo make install

cp /var/dcc/libexec/rcDCC /etc/init.d/DCC

Sunday, February 10, 2008

破窗計畫 - 一些文章參考

如果要把 Windows 換成 Linux 道路其實非常艱辛
我的目標是要做到"無痛" 且全面性的方式，以目前來看非常困難。
公司還有許多特定的 AP ，需要執行在純 Windows 的環境，
偏偏我只是作 infrastructure 不能管 AP
唉再說吧

下面是一些正在看的文章有興趣的可以看一看

Linux on the Desktop at work and worth it
http://techrepublic.com.com/5208-6230-0.html?forumID=5&threadID=165827&start=0
這篇文章提出自己本身建置的經驗，如果有興趣的話可以看一看
作者是用非常溫和的方式，一開始先讓 Windows 和 Linux 用存，來漸漸導入 Linux
不過，企業太大可能不太適合，大企業 IT 考量"穩定" 再來才能考慮到其他的。

Linux 等同 Window 軟體的清單
http://wiki.linuxquestions.org/wiki/Linux_software_equivalent_to_Windows_software

IBM Linux Client Migration Cookbook
http://www.redbooks.ibm.com/redbooks/pdfs/sg246380.pdf
這本書還在閱讀中，等看完了再整理心得給大家

Thursday, February 07, 2008

解決 CentOS 改用 XFCE4 畫面進不去的問題

話說 XFCE 是輕量級的桌面已經仰慕很久
最近幾天終於動手安裝 XFCE

先把 /etc/yum.conf.d/CentOS-Base.repo
的 extra 設成 enabled=1
#yum grouplist 'XFCE-4.4'

裝好後想節省空間於是就把 GNOME 殺掉
#yum groupremove 'GNOME Desktop Environment'

結果重新開機後卻發現畫面停在 console 進 X window
init: Id "x" respawning too fast: disabled for 5 minitues
於是從 /etc/inittab 開始追查找到 runlevel 5 時執行 /etc/X11/prefdm
然後我又找到啟動 XFCE 的指令 startxfce4
下面是 prefdm 部分內容紅色是我增加的

# Run preferred X display manager
preferred=
if [ -f /etc/sysconfig/desktop ]; then
. /etc/sysconfig/desktop
if [ "$DISPLAYMANAGER" = GNOME ]; then
preferred=/usr/sbin/gdm
elif [ "$DISPLAYMANAGER" = KDE ]; then
preferred=/usr/bin/kdm
elif [ "$DISPLAYMANAGER" = XDM ]; then
preferred=/usr/bin/xdm
elif [ "$DISPLAYMANAGER" = XFCE ]; then
preferred=/usr/bin/startxfce4
elif [ -n "$DISPLAYMANAGER" ]; then
preferred=$DISPLAYMANAGER
fi
fi

又把 desktop 改了
#more /etc/sysconfig/desktop
DESKTOP="XFCE"
DISPLAYMANAGER="XFCE"

結果進去是進去了但發生兩件奇怪的事
1. 不需要登入就進到桌面 2. 語系 Locale 失效了, 由中文便英文

後面才知到 XFCE 本身沒有 Desktop Manager
所以要給他一個如 gdm (for GNOME), kdm (for KDE)

#yum install gdm
然後把 DISPLAYMANAGER 設成 gnome
#more /etc/sysconfig/desktop
DESKTOP="XFCE"
DISPLAYMANAGER="GNOME"

/etc/X11/perfdm 就改回原來的樣子即可
重開後就找回登入畫面及恢復正常的語系了

Tuesday, February 05, 2008

[CentOS] Mailscanner system 安裝篇

此篇以安裝 MailScanner 在 CentOS5

1.1 [安裝 Sophos]
Sophos AntiVirus For Linux 目前版本為 v4.26.0
http://downloads.sophos.com/dp/full/linux.intel.libc6.glibc.2.2.tar.Z

ps. Sophos依glibc分成數個版本,像libc5使用libc5.tar.Z,
redhat 7.0之前的glibc2.2之前使用標準的libc6.glibc.tar.Z
Redhat9.0 和 RedHat Enterprise 4.0則使用libc6.glibc2.2.tar.Z
http://downloads.sophos.com/dp/full/linux.intel.libc6.tar.Z

Redhat Enterprise 5 請再安裝 compat-glibc, compat-glibc-headers 以支援 glibc2.2

#tar xvf linux.intel.libc6.glibc.2.2.tar.Z
#cd sav-install
#./install.sh -so -v
(ps. –so 參數會建立 libsavi.so 的 link)
程式及病毒碼會安裝在 /usr/local/sav, Library 安裝在 /usr/local/lib

軟體本身會附病毒碼，目前版本為 426, 病毒碼網址如下
http://www.sophos.com/downloads/ide/426_ides.zip

1.2 [Sophos ide update]
我們可以透過 Mark Martinec 提供的 Perl Script - Sophos ide update 自動更新
網址： http://www.ijs.si/software/sophos-ide-update
最新版本為 1.4
http://www.ijs.si/software/sophos-ide-update/sophos-ide-update_1.4.tar.gz

1.3 [SAVI-Perl]
Perl SAVI Module--是一個Sophos本身的perl模組
http://www.csupomona.edu/~henson/www/projects/SAVI-Perl/dist/SAVI-Perl-0.30.tar.gz
請先設好環境變數，等會在做 make test 時候結果才會正確、成功
#export LD_LIBRARY_PATH=/usr/local/lib (最好是加入 /etc/profile)
#echo /usr/local/lib >> /etc/ld.so.conf (如果已經有了就不用加)

#tar zxvf SAVI-Perl-0.30.tar.gz
#cd SAVI-Perl-0.30
#perl Makefile.PL
#make
#make test
#make install

如果無法 make ，請 copy 一份 libsavi.so.3.2.XX.XXX 成 libsavi.so
cp /usr/local/lib/libsavi.so.3.2.07.191 /usr/local/lib/libsavi.so
注意 make test 一定要成功才可以下 make install 安裝

如果 make test 出現
t/use....Can't load '/usr/local/src/SAVI-Perl-0.30/blib/arch/auto/SAVI/SAVI.so' for module SAVI: /usr/local/lib/libsavi.so.3: cannot restore segment prot after reloc: Permission denied at /usr/lib/perl5/5.8.8/i386-linux-thread-multi/DynaLoader.pm line 230.
那是 SELinux 打開的關係導致無法載入 libsavi.so
請用 chcon 設定權限如下

chcon -t textrel_shlib_t /usr/local/lib/libsavi.so

如果去看 /var/log/audit/audit.log 會有下面的訊息
type=AVC msg=audit(1202221002.753:53): avc: denied { execmod } for pid=17869 comm="perl" path="/usr/local/lib/libsavi.so.3.2.07.191" dev=dm-0 ino=303289 scontext=root:system_r:unconfined_t:s0-s0:c0.c1023 tcontext=root:object_r:lib_t:s0 tclass=file
type=SYSCALL msg=audit(1202221002.753:53): arch=40000003 syscall=125 success=no exit=-13 a0=40278000 a1=1d9000 a2=5 a3=bfca64a0 items=0 ppid=17865 pid=17869 auid=0 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=pts1 comm="perl" exe="/usr/bin/perl" subj=root:system_r:unconfined_t:s0-s0:c0.c1023 key=(null)

2. [MailScanner 安裝]
MailScanner 網址為 http://www.mailscanner.info 目前最新為 4.66.5-3
請選 RedHat Linux (and other RPM-based Linux distributions) 下載
http://www.mailscanner.info/files/4/rpm/MailScanner-4.66.5-3.rpm.tar.gz

#tar xvf MailScanner-4.66.5-3.rpm.tar.gz
#cd MailScanner-4.66.5-3
#./install.sh

過程有點久因為他會 compile 裡面所有的 perl 的模組
可以趁著這個時間好好再把裡面的文件 QuickInstall.txt 看看

參考
Mail system for RHEL4.0 Total solution安裝筆記
http://phorum.study-area.org/index.php/topic,30462.msg151723.html#msg151723

Monday, February 04, 2008

CentOS 4 upgrade CentOS 5

CentOS4 升級到 CentOS5 有點麻煩
試了好幾次總算整理出一個比較順利的步驟

以下是 CentOS4.6 升級到 CentOS5.1 過程
安裝之前請開兩個以上 telnet session, 因為升級過程中(Step2後) 就無法再開新的連線
另外該停服務先停以免發生一些慘事尤其是資料庫如 mysql

1.首先先安裝 centos-release 套件
centos-release-5-1.0.el5.centos.1.i386.rpm
centos-release-notes-5.1.0-2.i386.rpm

rpm -Uvh centos-release-5-1.0.el5.centos.1.i386.rpm centos-release-notes-5.1.0-2.i386.rpm

2. 安裝升級前套件
下載以下 rpm 放在 /tmp/Upgrades, 以下為 5.1
beecrypt-4.1.2-10.1.1.i386.rpm
beecrypt-python-4.1.2-10.1.1.i386.rpm
binutils-2.17.50.0.6-5.el5.i386.rpm
db4-4.3.29-9.fc6.i386.rpm
elfutils-0.125-3.el5.i386.rpm
elfutils-libelf-0.125-3.el5.i386.rpm
elfutils-libs-0.125-3.el5.i386.rpm
glibc-2.5-18.i686.rpm
glibc-common-2.5-18.i386.rpm
glibc-devel-2.5-18.i386.rpm
glibc-headers-2.5-18.i386.rpm
krb5-libs-1.6.1-17.el5.i386.rpm
libselinux-1.33.4-4.el5.i386.rpm
libsepol-1.15.2-1.el5.i386.rpm
libxml2-2.6.26-2.1.2.i386.rpm
libxml2-python-2.6.26-2.1.2.i386.rpm
m2crypto-0.16-6.el5.1.i386.rpm
mcstrans-0.2.6-1.el5.i386.rpm
neon-0.25.5-5.1.i386.rpm
openssl-0.9.8b-8.3.el5_0.2.i686.rpm
popt-1.10.2-47.el5.i386.rpm
python-2.4.3-19.el5.i386.rpm
python-devel-2.4.3-19.el5.i386.rpm
python-elementtree-1.2.6-5.i386.rpm
python-sqlite-1.1.7-1.2.1.i386.rpm
python-urlgrabber-3.1.0-2.noarch.rpm
readline-5.1-1.1.i386.rpm
rpm-4.4.2-47.el5.i386.rpm
rpm-libs-4.4.2-47.el5.i386.rpm
rpm-python-4.4.2-47.el5.i386.rpm
yum-3.0.5-1.el5.centos.5.noarch.rpm

執行安裝
cd /tmp/Upgrades
rpm -Uvh *.rpm --nodeps --force

3. 測試一下 yum upgrade 發生的問題
[root@test Upgrades]# yum -c /etc/yum-upgrade.conf upgrade
Traceback (most recent call last):
File "/usr/bin/yum", line 4, in ?
import yum
File "/usr/lib/python2.4/site-packages/yum/__init__.py", line 36, in ?
import config
File "/usr/lib/python2.4/site-packages/yum/config.py", line 23, in ?
from parser import ConfigPreProcessor
File "/usr/lib/python2.4/site-packages/yum/parser.py", line 3, in ?
import urlgrabber
File "/usr/lib/python2.4/site-packages/urlgrabber/__init__.py", line 53, in ?
from grabber import urlgrab, urlopen, urlread
File "/usr/lib/python2.4/site-packages/urlgrabber/grabber.py", line 406, in ?
import keepalive
File "/usr/lib/python2.4/site-packages/urlgrabber/keepalive.py", line 339, in ?
class HTTPSHandler(KeepAliveHandler, urllib2.HTTPSHandler):
AttributeError: 'module' object has no attribute 'HTTPSHandler'

出現上面的錯誤其實是缺少新版的 wget 及 keyutils-libs 跟 python 一點都無關
這個錯誤實在很難解還曾試著把別台正確的 /usr/lib/python2.4 拷貝一份也沒用
想了很久後來忽然想到 CentOS Wiki 提到升級 CentOS 4.4ServerCD to 5
有提到 wget 於是把把 CentOS5 的 wget 及相依 keyutils-libs 套件裝上去
yum 又活過來了

安裝之前也是要重建 rpmdb 否則是無法安裝的
rm -f /var/lib/rpm/__*
rpm --rebuilddb
rpm -Uvh wget-1.10.2-7.el5.i386.rpm keyutils-libs-1.2-1.el5.i386.rpm --nodeps --force

4. 安裝新版 kernel 以及移除舊版 kernel
a. 安裝新版 kernel
rpm -ivh kernel-2.6.18-53.el5.i686.rpm --nodeps

b. 移除舊版 kernel
用 --justdb 選項移除 rpmdb 刪除舊版的 kernel 資訊, 不做真正移除
等下 yum upgrade 才不會出現舊版的 kernel 與新的 rpm 產生相依性或衝突的問題
rpm -e --nodeps --justdb kernel-2.6.9-67.EL kernel-2.6.9-67.0.1.EL

5. 升級整個系統
正是要做整個 upgrade 之前, 要先做 rpm db 的重整 rebuild
rm -f /var/lib/rpm/__*
rpm --rebuilddb
好了可以開始 upgrade 了
yum -c /etc/yum-upgrade.conf upgrade

做完後還是得重建 rpm db 一次
rm -f /var/lib/rpm/__*
rpm --rebuilddb

然後請檢察 /etc/grub.conf 及 /boot 是否正確再開機

6. 清理垃圾
由於升級過程中有些軟體可以接受比較舊的版本
導致還是會有些軟體停留在 el4 而不是 el5
我們可以檢查還有哪些是 el4
rpm -qa | grep el4, rpm -qa | grep EL4

建議先用 yum list xxx 查看有哪幾個版本
然後用 rpm -e xxx -nodeps 移除
再用 yum install xxx 裝上新版

參考文章
CentOS Wiki - Upgrade Server 4.4 to 5
http://wiki.centos.org/HowTos/MigrationGuide/ServerCD_4.4_to_5
在線centos4.4升級到centos5.0
http://www.haw-haw.org/node/242

Sunday, February 03, 2008

常用Shell Script 技巧 - for loop

for loop

範例
#!/bin/bash
for X in red green blue
do
echo $X
done

例如 gzip 某個目錄 /xxx下檔案 xyz 開頭的檔案
cd /xxx

for i in `ls -1 xyz*`
do
gzip $i
done

[錯誤通知]samba 3.0.25b 與 AD 整合會有問題勿用此板

若使用 samba 整合 AD

請勿使用 3.0.25b 版本會有 AD 認證上的問題

如果你是用 CentOS 4 or RHEL 4 請勿更新先使用前一版本

剛用力查一下有不少人遇到這個問題

Winbind fails to refresh Kerberos tickets
http://fixunix.com/samba/141677-samba-winbind-fails-refresh-kerberos-tickets-3-0-25b-fedora-core-5-2nd-try.html