逍遥的BLOG 一个人穿梭在这个,熟悉而陌生的城市,和自己擦肩而过,每天说不同的话,演绎不同的面孔,经历不同的喜怒哀乐.其实我只是渴望一个,简单而纯粹的笑脸,你的也是我的……

如何用iptables来防止web服务器被CC攻击

[

2010/10/02 21:29 | by 逍遥花主 ]

当apache站点受到严重的cc攻击，我们可以用iptables来防止web服务器被CC攻击，实现自动屏蔽IP的功能。

1．系统要求

(1)LINUX 内核版本：2.6.9-42ELsmp或2.6.9-55ELsmp（其它内核版本需要重新编译内核，比较麻烦，但是也是可以实现的）。

(2)iptables版本：1.3.7

2. 安装

安装iptables1.3.7和系统内核版本对应的内核模块kernel-smp-modules-connlimit

3. 配置相应的iptables规则

示例如下：

(1)控制单个IP的最大并发连接数

iptables -I INPUT -p tcp --dport 80 -m connlimit \
--connlimit-above 50 -j REJECT
#允许单个IP的最大连接数为 30

(2)控制单个IP在一定的时间（比如60秒）内允许新建立的连接数

iptables -A INPUT -p tcp --dport 80 -m recent \
--name BAD_HTTP_ACCESS --update --seconds 60 \
--hitcount 30 -j REJECT
iptables -A INPUT -p tcp --dport 80 -m recent \
--name BAD_HTTP_ACCESS --set -j ACCEPT
#单个IP在60秒内只允许最多新建30个连接

4. 验证

（1）工具：flood_connect.c（用来模拟攻击)

（2）查看效果：

使用
watch 'netstat -an | grep:21 | \ grep<模拟攻击客户机的IP>| wc -l'

实时查看模拟攻击客户机建立起来的连接数，

使用
watch 'iptables -L -n -v | \grep<模拟攻击客户机的IP>'

查看模拟攻击客户机被 DROP 的数据包数。

5．注意

为了增强iptables防止CC攻击的能力，最好调整一下ipt_recent的参数如下：

#cat/etc/modprobe.conf
options ipt_recent ip_list_tot=1000 ip_pkt_list_tot=60
#记录1000个IP地址，每个地址记录60个数据包
#modprobe ipt_recent

『技术文摘』 | Tags:iptables , cc| 评论(1) | 引用(0) | 阅读(45899)

CentOS上安装DirectAdmin

[

2010/08/30 12:31 | by 逍遥花主 ]

一、安装CentOS的相关组件的命令如下：
要不会遇到装了一半之后跳出来这样一个提示：
cd /usr/local/directadmin/custombuild
./build all d

yum update -y
yum install gcc-c++ gcc automake make flex quota perl -y

PS:有的系统会少很多组件，特别是VPS，所在安装时遇到上面提到的错误，一般都会有错误提示，按提示安装相应的组件就成了。

二、CentOS是附带了httpd的unix版本，但是因为directadmin的安装需要干净的系统，所以在装之前要反安装httpd,php,mysql这些web组件

yum remove httpd* php* mysql* -y

三、正式进入安装：

运行下面的命令：

wget http://directadmin.com/setup.sh

获取安装文件：

chmod +x setup.sh

更改文件权限+x是一种方式，也可以用控制面板里面用的比较多的755（chmod 755 setup.sh）

./setup.sh

运行之后要你输入相关的授权信息等，如：
Please enter your Client ID :
Please enter your License ID :
Please enter your hostname \(server.domain.com\)
以及授权的ip地址等！
运行到：Enter your choice (1 or 2):的时候我选2
独立服务器到这里就可以结束了，安装成功的话，会有以下提示：

Admin username:
Admin password:
Admin email:
http://ip:2222

不过要记得重启服务器哦(VPS)。
OpenVZ的vps到这里是打不开的，还需要一个步骤：
配置网络设备：
执行ifconfig命令查看VPS的IP地址，这个IP地址所绑定的设备就是我们需要记录下来的，例如venet0:0(OpenVZ的VPS要这样改，XEN不需要)
我安装时查到的ip设备值也是venet0:0
看来大多数的vps都是这个吧！
用vi打开DirectAdmin的配置文件/usr/local/directadmin/conf/directadmin.conf

vi /usr/local/directadmin/conf/directadmin.conf

找到”ethernet_dev=***“这样的字符，然后把等号后面的字符改为刚才我们查看到的venet0:0，然后保存退出vi

然后重启Linux使我们的更改生效，重启之后在浏览器里面输入http://ip:2222，如果你看到一个登陆框，那就说明DirectAdmin安装成功了。

另外说一下：
如果忘了DirectAdmin的密码用
locate mysql.ini
来定位并翻看这个文件里面存在着DirectAdmin的密码，据说另外一种方式也可以，不过我试了没有成功了，还是照单列出来了，有兴趣的童鞋自己去试
cd /usr/local/directadmin
./directadmin i
./directadmin p

『个人私语』 | Tags:centos , directadmin| 评论(1) | 引用(0) | 阅读(24695)

kloxo上安装eaccelerator的方法

[

2010/08/27 10:12 | by 逍遥花主 ]

首先确定自己有否安装make模块
如果没有,请执行
复制内容到剪贴板代码:
yum install make

接着执行下面的命令

引用

wget http://bart.eaccelerator.net/source/0.9.6.1/eaccelerator-0.9.6.1.tar.bz2
tar xjf eaccelerator-0.9.6.1.tar.bz2
cd eaccelerator-0.9.6.1
/usr/bin/phpize ./configure --enable-eaccelerator=shared --with-php-config=/usr/bin/php-config
make
make install
mkdir /tmp/eaccelerator
chmod 777 /tmp/eaccelerator

然后在/etc/php.d/中创建一个eaccelerator.ini
进入编辑状态后根据你的VPS是openVZ还是XEN选择复制下面代码

openVZ里面写上

引用

extension="eaccelerator.so"
eaccelerator.shm_size="0"
eaccelerator.cache_dir="/tmp/eaccelerator"
eaccelerator.enable="1"
eaccelerator.optimizer="1"
eaccelerator.check_mtime="1"
eaccelerator.debug="0"
eaccelerator.log_file = "/var/log/eaccelerator_log"
eaccelerator.filter=""
eaccelerator.shm_max="0"
eaccelerator.shm_ttl="0"
eaccelerator.shm_prune_period="0"
eaccelerator.shm_only="0"
eaccelerator.compress="1"
eaccelerator.compress_level="9"
eaccelerator.keys = "disk_only"
eaccelerator.sessions = "disk_only"
eaccelerator.content = "disk_only"

XEN里面写上

引用

extension="eaccelerator.so"
eaccelerator.shm_size="64"
eaccelerator.cache_dir="/tmp/eaccelerator"
eaccelerator.enable="1"
eaccelerator.optimizer="1"
eaccelerator.check_mtime="1"
eaccelerator.debug="0"
eaccelerator.log_file ="/var/log/eaccelerator_log"
eaccelerator.filter=""
eaccelerator.shm_max="0"
eaccelerator.shm_ttl="0"
eaccelerator.shm_prune_period="0"
eaccelerator.shm_only="0"
eaccelerator.compress="1"
eaccelerator.compress_level="9"
eaccelerator.keys = "shm_and_disk"
eaccelerator.sessions = "shm_and_disk"
eaccelerator.content = "shm_and_disk"

然后按ESC退出编辑模式，执行以下命令：

:x

然后重启apache生效:

service httpd restart

如果是你用的Lighttpd就重启Lighttpd：

service lighttpd restart

『技术文摘』 | Tags:kloxo , eaccelerator| 评论(0) | 引用(0) | 阅读(16691)

CentOS 5.5下搭建pptp VPN

[

2010/08/13 22:49 | by 逍遥花主 ]

PS:XEN虚拟机及新版本OpenVZ虚拟机都可以用pptp搭建VPN。当然是要内核支持PPTP才行。

废话不说，下面我们就开始在CentOS 5.5下搭建pptp的VPN吧！本教程同样适用于CentOS 5.0~5.4的任意一个版本。

1、检查服务器是否有必要的支持。如果检查结果没有这些支持的话，是不能安装pptp的。执行指令：

#modprobe ppp-compress-18 && echo ok（用模块方式支持MPPE加密模式浏览，如果内核支持检测不到。）

这条执行执行后，显示“ok”则表明通过。不过接下来还需要做另一个检查，输入指令：

#cat /dev/net/tun

如果这条指令显示结果为下面的文本，则表明通过：

cat: /dev/net/tun: File descriptor in bad state

上述两条只要下面一条通过，就能安装pptp。如果还有其它问题，或者请你的服务商来解决这个问题。

2、安装ppp和iptables。默认情况下，完整的CentOS是带有这两个组件的，但是精简版的系统可能没有。我们输入下面的命令来确认，如果没有则进行安装，有的话系统不会做任何动作：

#yum install -y ppp iptables

3、安装pptp。这个软件在yum源里是没有的，我们需要手动下载。我们先切换到tmp目录：

#cd /tmp

然后执行下面的命令来下载pptp安装包：

#wget http://acelnmp.googlecode.com/files/pptpd-1.3.4-1.rhel5.1.i386.rpm （32位系统使用）
#wget http://acelnmp.googlecode.com/files/pptpd-1.3.4-1.rhel5.1.x86_64.rpm （64位系统使用）

如果你的CentOS是32位的，则执行32位的那条指令；如果是64位的CentOS，则执行64位的那条指令。注意不要搞错了。

接下来安装pptp，同样分32位和64位系统：

#rpm -ivh pptpd-1.3.4-1.rhel5.1.i386.rpm （32位系统使用）
#rpm -ivh pptpd-1.3.4-1.rhel5.1.x86_64.rpm （64位系统使用）

4、配置pptp。首先我们要编辑/etc/pptpd.conf文件：

#vim /etc/pptpd.conf

找到“locapip”和“remoteip”这两个配置项，将前面的“#”注释符去掉，更改为你期望的IP段值。localip表示服务器的IP，remoteip表示分配给客户端的IP地址，可以设置为区间。这里我们使用pptp默认的配置：

localip 192.168.0.1
remoteip 192.168.0.234-238,192.168.0.245

注意，这里的IP段设置，将直接影响后面的iptables规则添加命令。请注意匹配的正确性，如果你嫌麻烦，建议就用本文的配置，就可以一直复制命令和文本使用了。

接下来我们再编辑/etc/ppp/options.pptpd文件，为VPN添加Google DNS：

#vim /etc/ppp/options.pptpd

在末尾添加下面两行：

ms-dns 8.8.8.8
ms-dns 8.8.4.4

注意：最好打开这个文件里的debug选项（去掉debug前面的“#”），以方便我们在出错的查看日志排错。错误日志在/var/log/messages里，用命令：cat /var/log/messages | grep pptpd 查看有关PPTP的错误信息。

5、设置pptp VPN账号密码。我们需要编辑/etc/ppp/chap-secrets这个文件：

#vim /etc/ppp/chap-secrets

在这个文件里面，按照“用户名 pptpd 密码 *”的形式编写，一行一个账号和密码。比如添加用户名为test，密码为1234的用户，则编辑如下内容：

test pptpd 1234 *

6、修改内核设置，使其支持转发。编辑/etc/sysctl.conf文件：

#vim /etc/sysctl.conf

将“net.ipv4.ip_forward”改为1，变成下面的形式：

net.ipv4.ip_forward=1

保存退出，并执行下面的命令来生效它：

#sysctl -p

7、添加iptables转发规则。经过前面的6个步骤，我们的VPN已经可以拨号了，但是还不能访问任何网页。最后一步就是添加iptables转发规则了，输入下面的指令：

#iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT --to-source 1.1.1.1(OpenVZ,1.1.1.1为你的VPS的公网IP地址)

#iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE(XEN)

需要注意的是，这个指令中的“192.168.0.0/24”是根据之前的配置文件中的“localip”网段来改变的，比如你设置的“10.0.0.1”网段，则应该改为“10.0.0.0/24”。此外还有一点需要注意的是eth0，如果你的外网网卡不是eth0，而是eth1（比如SoftLayer的服务器就是这样的情况），那么请记得将eth0也更改为对应的网卡编号，不然是上不了网的！

然后我们输入下面的指令让iptables保存我们刚才的转发规则，以便重启系统后不需要再次添加：

#/etc/init.d/iptables save

然后我们重启iptables：

#/etc/init.d/iptables restart

8、重启pptp服务。输入下面的指令重启pptp：

#/etc/init.d/pptpd restart

现在你已经可以连接自己的VPN并浏览网页了。不过我们还需要做最后的一步。

9、设置开机自动运行服务。我们最后一步是将pptp和iptables设置为开机自动运行，这样就不需要每次重启服务器后手动启动服务了。当然你不需要自动启动服务的话可以忽略这一步。输入指令：

#chkconfig pptpd on
#chkconfig iptables on

这样就大功告成了，赶快到Windows下建立一个VPN连接，IP填写自己的服务器IP，用户名和密码填写自己设置好的用户名和密码，点击“连接”，成功后就可以使用服务器去浏览网页啦！
最后完成之后，如果出现错误619则输入命令mknod /dev/ppp c 108 0

注意：如果虚拟机内核不支持MPPE的话，无法使用加密，用WINDOWS默认VPN连接会显示“证书信任错误”。
解决方法：修改/etc/ppp/options.pptpd注释掉require-mppe-128这行，然后windows的vpn拨号的属性改为可选加密，再次连接就成功了。

『技术文摘』 | Tags:pptp , vpn , vps| 评论(4) | 引用(0) | 阅读(66571)

Nginx 下如何配置SSL证书

[

2010/08/02 18:10 | by 逍遥花主 ]

1、Nginx 配置 ssl 模块

默认 Nginx 是没有 ssl 模块的，而我的 VPS 默认装的是 Nginx 0.7.63 ，顺带把 Nginx 升级到 0.7.64 并且配置 ssl 模块方法如下：

下载 Nginx 0.7.64 版本，解压进入解压目录：

wget http://sysoev.ru/nginx/nginx-0.7.64.tar.gz
tar zxvf nginx-0.7.64.tar.gz
cd nginx-0.7.64

如果要更改header信息的话，

vi src/core/nginx.h
#define NGINX_VERSION "0.7.62"
#define NGINX_VER "nginx/" NGINX_VERSION

上面的版本号和nginx自己修改

编译

./configure --user=www --group=www --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module
make

make

切记不要 make install

（来源：http://www.hostloc.com/thread-4871-1-1.html）

因为是小网站，用不着平滑升级，直接 killall -HUP nginx 重启 nginx 即可。

OK，升级并且安装好 ssl 模块完毕，这里我把 Nginx 修改成了 zoulu，于是乎：

怎么样，很有个性吧！

2、使用 OpenSSL 生成证书

①、生成RSA密钥的方法

openssl genrsa -out privkey.pem 2048

有的证书要 1024 的，所以得：

openssl genrsa -out privkey.pem 1024

②、生成一个证书请求

openssl req -new -key privkey.pem -out cert.csr

会提示输入省份、城市、域名信息等，重要的是，email 一定要是你的域名后缀的，比如 webmaster@zou.lu 并且能接受邮件！

这样就有一个 csr 文件了，提交给 ssl 提供商的时候就是这个 csr 文件

（来源：http://www.lsproc.com/blog/nginx_ssl_config/）

直接 cat cert.csr

得到一大串字符，比如这样：

提交给你的 ssl 提供商即可，一般半个钟头到一天时间就会发给你证书，如图：

把所有文件全部上传到一个特定的目录，比如我是上传到 /root/zoulu/

这里，zoulukey.pem 和 zoulucert.csr 是自己在 VPS 生成的，剩下的都是证书签发机构颁发的。

一般情况下，直接用证书签发机构颁发的 crt 文件即可，比如 zou_lu.crt ，但是有很多证书签发机构默认在 Firefox 中文版下是不会信任的，经过仔细研究，终于发现，原来得把证书签发机构办法给你的 crt 文件也放入才行。

方法如下：

合并 PositiveSSLCA.crt （证书签发机构的 crt）和 zou_lu.crt (自己域名的 crt)

cat zou_lu.crt >> PositiveSSLCA.crt

mv PositiveSSLCA.crt zou_lu.crt

或者直接用记事本打开，然后复制 PositiveSSLCA.crt 里面所有的内容到 zou_lu.crt 最下方即可。

（来源：http://www.lsproc.com/blog/nginx_ssl_config/）

③、修改 Nginx 配置

listen 443;
server_name zou.lu;
index index.html index.htm index.php;
root /home/zoulu;
error_page 404 403 http://zou.lu;

ssl on;
ssl_certificate /root/zoulu/zou_lu.crt;
ssl_certificate_key /root/zoulu/zoulukey.pem;

其他的配置信息和一般站点的一样，不再重复。

四、访问测试结果

在 Firefox 英文版 / Chrome / Opera / Safari / IE 6、7、8 下均没问题， https://zou.lu/ 在 Firefox 3.5.7 中文版下没问题，遇到问题的童鞋，检查你的系统时间，要是还不信任，那我也不是很清楚了，抱歉能力有限。

五、如何获得免费的证书

https://zou.lu/ 的证书是 PositiveSSL 签发的，这是一家 Comodo 的 Reseller ，目前可以通过如下途径获得：

去 NameCheap.com 注册、转移一个域名或者购买一款空间就能获得，而且是免费一年的哦！

需要注意的是，NameCheap 注册后颁发的证书没有证书签发机构的 PositiveSSLCA.crt ，这里我就放一个，为了大家安装方便：

你也可以试试 Startssl 的证书，缺点是在旧电脑，没有更新的情况下，IE 6是绝对不信任他的，详见：http://blog.s135.com/startssl/

最后声明一点，受信任的 ssl 证书必须有独立IP，或者说，一个IP只能对应一个域名的证书，爱玩的朋友可以弄一个玩玩。

『个人私语』 | Tags:ssl , nginx| 评论(0) | 引用(0) | 阅读(5832)

分页： 5/74

1 2 3 4 5 6 7 8 9 10

[ 显示模式：摘要 | 列表 ]

逍遥的BLOG