... "GET /w00tw00t.at.ISC.SANS.DFind:) HTTP/1.1" 400 ...

ใช้ iptables

วิธีที่เร็วที่สุดของการตรวจสอบว่าเว็บเซิร์ฟเวอร์ของคุณไม่ถึง (และทำให้สิ้นเปลืองทรัพยากรอย่าง processor, พื้นที่ดิสก์ [ล็อกไฟล์], etc) คือการใช้ iptables, และสามารถทำได้ด้วยหนึ่งซับเหมือนนี้:

iptables -I INPUT -d xxx.xxx.xxx.xxx -p tcp --dport 80 -m string --to 70  --algo bm --string 'GET /w00tw00t.at.ISC.SANS.' -j DROP

เพียงแทนที่ xxx.xxx.xxx.xxx server กับ IP ของเว็บไซต์ของคุณ. ถ้าคุณต้องการใช้ในช่วงนี้ IPs (เช่น., คุณใช้ IP ที่หลายพื้นที่เว็บเซิร์ฟเวอร์), เพียงแทนที่ “xxx.xxx.xxx.xxx - D” ส่วนด้วย:

-m iprange --dst-range start.xxx.xxx.xxx-end.xxx.xxx.xxx

ที่ไหน start.xxx.xxx.xxx และ end.xxx.xxx.xxx are the first and last IPs of your web servers respectively.

If you wish to have a fancier option, one where it will for example blacklist an IP for a certain period, ฯลฯ, have a look at SpamCle@ner’s website.

They go deeper into this subject and have provided two scripts near the end of their article. Simply save one of these scripts in a file named, ตัวอย่างเช่น, /opt/blockw00t.sh and make it executable with:

chmod +x /opt/blockw00t.sh

You can run it manually with typing “/opt/blockwoot.sh” in the shell or to automatically load it at boot time you can add it to your /etc/rc.local ไฟล์, or on Debian/Ubuntu systems add it to your / etc เครือข่าย / / interfaces like so:

auto eth0

inet eth0 static

   ... [existing configuration that remains unaltered] ...

   # Load anti-w00t script:

   post-up /opt/blockw00t.sh

Using fail2ban

If you are using Fail2Ban, like described in the Shorewall firewall configuration, you can create a new definition that scans for the w00tw00t entries in the webserver log files.

The following definition assumes your webserver log entries look like the following (NginX และ Apache 2):

203.127.11.214 - - [15/Jul/2010:15:50:04 +0200] "GET /w00tw00t.at.ISC.SANS.test0:) HTTP/1.1" 400 173 "-" "-"

Create a file /etc/fail2ban/filter.d/webserver-w00tw00t.conf:

[Definition]

failregex = ^<โฮสต์> .*"GET \/w00tw00t\.at\.ISC\.SANS\..+\:\).*?"



ignoreregex =

This catches the known variants of the scanner, including “DFind”, “test0″, “MSlog” และ “ntsvc”.

หมายเหตุ: The <โฮสต์> portion is specific to fail2ban and is a shorthand for the regex (?:::f{4,6}:)?(?P<โฮสต์>\S+), which matches either an IPv4 or IPv6 address. See the fail2ban manual for more details.

*Tip: If you wish to change the regular expression, I recommend RegExr to play with various options/search criteria. It’s a time saver and free :)

*Tip 2: To test your definition’s regular expression, ใช้:

fail2ban-regex logfile /etc/fail2ban/filter.d/webserver-w00tw00t.conf

ที่ไหน logfile is the actual log file name, such as /var/log/apache2/access.log.

Add this definition to the fail2ban Jail configuration (/etc/fail2ban/jail.conf):

... [existing configuration] ...



[webserver-w00tw00t]

enabled  = true

พอร์ต     = http,https

filter   = webserver-w00tw00t

# !!! Keep in mind to specify the correct web server log here:

logpath  = /var/log/apache2/access.log

maxretry = 1

# Time in seconds, ในกรณีนี้, one day:

bantime  = 86400

Now reload the service (เช่น., “/etc/init.d/fail2ban reload” หรือ “service fail2ban reload”).

บทความที่เกี่ยวข้อง:

1. Guide: ไฟร์วอลล์และเราเตอร์กับ Proxmox – Extending its use
2. Guide: Firewall and router with Proxmox
3. Faster WP Super Cache with NginX

ตั้ง Nginx เป็นฝันร้ายของฉันก่อนที่จะรักษาและ WordPress ได้กลายเป็นช้าเพราะเด็ก Apache ของคนถูกฆ่าโดย oom. นี้เนื่องจากแคช PHP เข้าใจผิด (PHP XCache ต้องแม่นยำ) ที่ตัดสินใจที่จะใช้ได้ทุกบิตของหน่วยความจำจากระบบของฉัน, แม้มีการร้องขอสูงสุดต่อเด็กตั้งต่ำ (ก่อนที่จะถูกกำจัด).

นี้, พร้อมกับความพยายามของฉันในการแสวงหาทางออกที่เร็วที่สุดในทุกสิ่งและการแนะนำของเซิร์ฟเวอร์ Cloud ใหม่โดย OVH, lead me to today’s article.

Which is faster – Varnish or Nginx?

The first thing I wanted to do is make all the caching happen before things get pushed through to Apache. This because I wanted to eliminate both PHP XCache and the WordPress Super Cache plugin I was using, so to increase WordPress compatibility but decrease complexity.

At first I thought about using Varnish – either as a the sole front-end, or in between Nginx and Apache (the reasoning later). ด้วย, I had gotten my hands on OVH’s Cloud servers whilst they were still in “แอลฟา”, and used this as the base system for building a pool of web servers.

The following tests have all been performed on those Cloud servers – mC 256 (256 MBytes of guaranteed RAM, 2 GByte total memory with excess swapped to SSD’s), 4 CPU cores and 5 GBytes of storage space. The OS is Ubuntu 10.04 LTS. The output of /proc/cpuinfo is as following (x4 for briefness):

processor       : 0

vendor_id       : GenuineIntel

cpu family      : 6

model           : 26

model name      : Intel(R) Xeon(R) CPU           E5504  @ 2.00GHz

stepping        : 5

cpu MHz         : 1995.000

cache size      : 4096 KB

fdiv_bug        : ใน

hlt_bug         : ใน

f00f_bug        : ใน

coma_bug        : ใน

fpu             : ใช่

fpu_exception   : ใช่

cpuid level     : 11

wp              : ใช่

flags           : fpu vme de pse tsc msr pae mce cx8 apic mtrr pge mca cmov pat pse36 clflush dts acpi mmx fxsr sse sse2 ss nx rdtscp lm constant_tsc arch_perfmon pebs bts xtopology tsc_reliable nonstop_tsc aperfmperf pni ssse3 cx16 sse4_1 sse4_2 popcnt hypervisor lahf_lm

bogomips        : 3990.00

clflush size    : 64

cache_alignment : 64

address sizes   : 40 bits physical, 48 bits virtual

power management:

ระดับ Concurrency:      100

Time taken for tests:   29.548 วินาที

คำขอ Complete:      100000

Failed requests:        0

Write errors:           0

Total transferred:      25009500 bytes

HTML โอน:       3901482 bytes

ขอต่อวินาที:    3384.27 [# / วินาที] (หมายความ ว่า)

เวลา ต่อ คำขอ:       29.548 [ms] (หมายความ ว่า)

เวลา ต่อ คำขอ:       0.295 [ms] (หมายความ ว่า, ใน คำขอ พร้อม กัน ทั้งหมด)

อัตรา การ โอน เงิน:          826.55 [Kbytes / วินาที] ที่ ได้ รับ



Connection Times (ms)

              min  หมายความ ว่า[+/-sd] median   max

Connect:        0   12  39.1     12    1960

Processing:     9   18  49.6     14    2036

Waiting:        1   15  45.9     12    1966

Total:         14   29  65.9     26    2159

ระดับ Concurrency:      100

Time taken for tests:   13.489 วินาที

คำขอ Complete:      100000

Failed requests:        0

Write errors:           0

Total transferred:      28315282 bytes

HTML โอน:       1100594 bytes

ขอต่อวินาที:    7413.64 [# / วินาที] (หมายความ ว่า)

เวลา ต่อ คำขอ:       13.489 [ms] (หมายความ ว่า)

เวลา ต่อ คำขอ:       0.135 [ms] (หมายความ ว่า, ใน คำขอ พร้อม กัน ทั้งหมด)

อัตรา การ โอน เงิน:          2049.99 [Kbytes / วินาที] ที่ ได้ รับ



Connection Times (ms)

              min  หมายความ ว่า[+/-sd] median   max

Connect:        0    6   2.2      6      71

Processing:     2    7   1.9      7      70

Waiting:        1    6   2.0      5      66

Total:          3   13   3.1     13      81

ระดับ Concurrency:      100

Time taken for tests:   9.438 วินาที

คำขอ Complete:      100000

Failed requests:        0

Write errors:           0

Total transferred:      27706648 bytes

HTML โอน:       5201248 bytes

ขอต่อวินาที:    10595.55 [# / วินาที] (หมายความ ว่า)

เวลา ต่อ คำขอ:       9.438 [ms] (หมายความ ว่า)

เวลา ต่อ คำขอ:       0.094 [ms] (หมายความ ว่า, ใน คำขอ พร้อม กัน ทั้งหมด)

อัตรา การ โอน เงิน:          2866.87 [Kbytes / วินาที] ที่ ได้ รับ



Connection Times (ms)

              min  หมายความ ว่า[+/-sd] median   max

Connect:        0    4   1.0      4      56

Processing:     2    6   9.7      5     253

Waiting:        0    5   9.7      5     253

Total:          5    9   9.7      9     257

ulimit -n 65535

apt-get install nginx libapache2-mod-php5 memcached \

php5-mysql php5-curl php5-gd php5-idn php-pear php5-imagick \

php5-imap php5-mcrypt php5-memcache php5-mhash php5-ming \

php5-ps php5-pspell php5-recode php5-snmp php5-sqlite \

php5-tidy php5-xmlrpc php5-xsl php5-json

# apt-get install libc6 libpcre3 libpcre3-dev libpcrecpp0 libssl0.9.8 libssl-dev zlib1g zlib1g-dev lsb-base

wget http://www.nginx.org/download/nginx-0.7.67.tar.gz

tar -xf nginx-0.7.67.tar.gz

cd nginx-0.7.67

./configure \

--user=www-data \

--group=www-data \

--sbin-path=/usr/sbin \

--conf-path=/etc/nginx/nginx.conf \

--error-log-path=/var/log/nginx/error.log \

--pid-path=/var/run/nginx.pid \

--lock-path=/var/lock/nginx.lock \

--http-log-path=/var/log/nginx/access.log \

--http-client-body-temp-path=/var/lib/nginx/body \

--http-proxy-temp-path=/var/lib/nginx/proxy \

--http-fastcgi-temp-path=/var/lib/nginx/fastcgi \

--with-debug \

--with-http_stub_status_module \

--with-http_flv_module \

--with-http_ssl_module \

--with-http_dav_module \

--with-http_gzip_static_module \

--with-http_realip_module \

--with-mail \

--with-mail_ssl_module \

--with-ipv6

make && make install

NameVirtualHost *:8080

Listen 127.0.0.1:8080

<VirtualHost *:8080>

... etc ...

</VirtualHost>

mkdir /etc/nginx/includes

mkdir -p /var/cache/nginx/tmp

mkdir /var/cache/nginx/cached

chown -R www-data:www-data /var/cache/nginx

user                    www-data;



worker_processes        4;

worker_rlimit_nofile    16384;



error_log               /var/log/nginx/error.log;

pid                     /var/run/nginx.pid;



events {

        worker_connections  2000;

}



http {

        include                 /etc/nginx/mime.types;

        default_type            application/octet-stream;



        access_log              /var/log/nginx/access.log;



        sendfile                on;

        tcp_nopush              on;

        tcp_nodelay             on;

        keepalive_timeout       75 20;



        gzip                    บน;

        gzip_vary               บน;

        gzip_comp_level         3;

        gzip_min_length         4096;

        gzip_proxied            any;

        gzip_types              text/plain text/css application/x-javascript text/xml

                                application/xml application/xml+rss text/javascript;



        include                 /etc/nginx/conf.d/*.conf;

        include                 /etc/nginx/sites-enabled/*;

}

proxy_redirect                  ปิด;



proxy_set_header                Host $host;

proxy_set_header                X-Forwarded-For $proxy_add_x_forwarded_for;



proxy_connect_timeout           90;

proxy_send_timeout              90;

proxy_read_timeout              90;



proxy_buffer_size               4k;

proxy_buffers                   4 32k;

proxy_busy_buffers_size         64k;

proxy_temp_file_write_size      64k;



proxy_max_temp_file_size        56m;

proxy_temp_path                 /var/cache/nginx/tmp;

proxy_cache_key                 $scheme$host$request_uri;

proxy_cache_path                /var/cache/nginx/cached levels=2:2 keys_zone=global:64m inactive=60m max_size=1G;



proxy_cache_valid               200 302 30m;

proxy_cache_valid               301 1h;

proxy_cache_valid               404 1m;



proxy_cache_use_stale           error timeout http_500 http_502 http_503 http_504;



proxy_pass_header               Set-Cookie;

ถ้า ($http_cookie ~* "comment_author_|wordpress_(?!test_cookie)|wp-postpass_") {

    set $no_cache 1;

}



ถ้า ($http_user_agent ~* "(2\.0 MMP|240x320|400X240|AvantGo|BlackBerry|Blazer|Cellphone|Danger|DoCoMo|Elaine\/3\.0|EudoraWeb|Googlebot-Mobile|hiptop|IEMobile|KYOCERA\/WX310K|LG\/U990|MIDP-2\.|MMEF20|MOT-V|NetFront|Newt|Nintendo Wii|Nitro|Nokia|Opera Mini|Palm|PlayStation Portable|portalmmm|Proxinet|ProxiNet|SHARP-TQ-GX10|SHG-i900|Small|SonyEricsson|Symbian OS|SymbianOS|TS21i-10|UP\.Browser|UP\.Link|webOS|Windows CE|WinWAP|YahooSeeker\/M1A1-R2D2|NF-Browser|iPhone|iPod|Android|BlackBerry9530|G-TU915 Obigo|LGE VX|webOS|Nokia5800)" ) {

    set $no_cache 1;

}



proxy_no_cache      $no_cache;

# Enable caching:

proxy_cache     global;



# Default:

ตำแหน่ง / {

        proxy_pass              http://127.0.0.1:8080;

}



# Rarely changed items can remain cached longer:

location ~* \.(jpg|jpeg|png|gif|ico|CSS|mp3|wav|swf|mov|doc|pdf|xls|ppt|docx|pptx|xlsx)$ {

        proxy_cache_valid       200 3h;

        proxy_pass              http://127.0.0.1:8080;

}



# Deny access to .ht* files:

location ~ /\.ht {

        deny                    ทั้งหมด;

}

server {

        listen          80;

        server_name     _;



        root            /var/www/sites/default/public;

        index           index.html index.htm;



        access_log      /var/www/sites/default/logs/access.log;

        error_log       /var/www/sites/default/logs/nginx.error.log;



        # Includes:

        include         /etc/nginx/includes/wordpress.inc;

    include         /etc/nginx/includes/default_proxy.inc;

}

ระดับ Concurrency:      100

Time taken for tests:   6.694 วินาที

คำขอ Complete:      50000

Failed requests:        0

Write errors:           0

Keep-Alive requests:    0

Total transferred:      2822197200 bytes

HTML โอน:       2806393092 bytes

ขอต่อวินาที:    7469.02 [# / วินาที] (หมายความ ว่า)

เวลา ต่อ คำขอ:       13.389 [ms] (หมายความ ว่า)

เวลา ต่อ คำขอ:       0.134 [ms] (หมายความ ว่า, ใน คำขอ พร้อม กัน ทั้งหมด)

อัตรา การ โอน เงิน:          411700.31 [Kbytes / วินาที] ที่ ได้ รับ



Connection Times (ms)

              min  หมายความ ว่า[+/-sd] median   max

Connect:        0    2   0.4      2      16

Processing:     3   11   0.8     11      27

Waiting:        1    3   1.2      3      25

Total:          6   13   0.8     13      32

บทความที่เกี่ยวข้อง:

1. NginX and Apache, but no memcached
2. Faster WP Super Cache with NginX
3. Compiling NginX on Debian / Ubuntu

proxy ARP

คำถาม ที่ พบ บ่อย อยู่ ใน กระแสจิต proxy ARP. การ เปิด ตัว เลือก นี้ จะ ช่วย ให้ คุณ สามารถ ระบุ IP ประชาชน โดยตรง VM แขก ของ ท่าน นี้, ขจัด ความ จำเป็น ใน การ ส่ง ต่อ พอร์ต (DTA) or having to worry about the MAC address.

ใช้ เป็น ตัวอย่าง สำหรับ proxy ARP, it is helpful for those using a a SIP-based VoIP server since a STUN server is no longer required.

Enabling Proxy ARP

The first step is to ensure that Proxy ARP is enabled.  This is a fairly simple task and involves adding an single line to one of your static network ห้องs. Which one precisely depends on your system setup; for those who have an eth0 stanza, you can use it there. For others who only have a vmbr0..n stanza, the additional line should be placed there.

iface eth0 inet static

    # ... existing lines ...

    post-up echo 1 > /proc/sys/net/ipv4/conf/all/proxy_arp

These changes will take effect on your next boot or whenever you restart your networking services.

Add a route to Shorewall

Shorewall needs to know that you’d like to use proxy ARP, for which IP that is and where this IP needs to be routed to. The beauty of Shorewall is its simplicity and so this can be quickly done by creating a file named /etc/shorewall/proxyarp that will contain this:

#ADDRESS    INTERFACE    EXTERNAL    HAVEROUTE    PERSISTENT

92.22.33.44 vmbr0        eth0

Translated, this informs Shorewall that the public IP 92.22.33.44 attached to eth0 needs to be forwarded to a guest VM (using this public IP) attached to the vmbr0 bridge.

As you can tell from the first line, there are two additional options: haveroute และ persistent.

The haveroute option determines whether Shหรือewall should create a route from the external interface to the bridge. For guest containers based on OpenVZ, Proxmox will take of creating the route. But for fully virtualised containers (based on KVM), you need to create this route yourself. In this case we tell Shorewall to create the route for us, by keep this option’s value at its default value (blank, or ใน).

เมื่อมีการ haveroute option is set to ใน (default), the persistent option tells Shorewall if it should keep the created route active if Shorewall is stopped. Generally, and for security reasons, you should leave this at its default option (blank or No). This prevents the guest VM from being exposed without a firewall protecting it.

Creating Shorewall rules

In the original guide all traffic from the public side to internal VMs is blocked. This continues to be the same when you are using proxy ARP and thus need to create rules that permit traffic to certain ports. This can be done by adding rules like:

ACCEPT    net    dmz:92.22.33.44    udp    5060

This will permit UDP traffic on port 5060 to proceed to the guest VM on IP 92.22.33.44. You can also use the Shorewall macros, ตัวอย่างเช่น:

HTTP/ACCEPT    net     dmz:92.22.33.44

And in this case it will make a web server on 92.22.33.44 accessible to the public.

หรือมิฉะนั้น, you may setup a single rule that accepts all traffic on all ports:

ยอมรับ    net     dmz:92.22.33.44

However you should take care that the guest VM has its own set of rules to block unwanted or unsafe traffic.

The main thing to take care of with these proxy ARP firewall rules is to use “ACCEPT” และไม่ “DTA” as explained in the original guide.

Multiple public IPs

Another common question is in regards to multiple public IP addresses. The original guide assumed that the host has one public IP address, so here are a few additional pointers.

If you are following the original guide, ในขณะนั้น any public IP will be applied the same rule. So let’s say you have two public IP addresses, 94.11.22.33 และ 94.22.33.44 and the following rule:

ACCEPT    net    fw    tcp    5900:5999

With this rule, you can use both 93.11.22.33:5900 or 94.22.33.44:5900 to connect to Proxmox’s VNC. But you wish to restrict it to a specific IP address, then you need to modify the rule as following:

ACCEPT    net   fw:94.22.33.44    tcp    5900:5999

Now you can only use 94.22.33.44:5900 to connect, but not 93.11.22.33:5900.

The same applies to port forwarding (DTA) rules, which is written in a slightly different format. Let’s say we have this rule:

DNAT    net    dmz:10.0.0.1    tcp    1234

This will forward any public IP to port 1234 on the guest VM at 10.0.0.1. So both 94.11.22.33:1234 และ 94.22.33.44:1234 will work. If you wish to restrict this to a certain public IP address, the rule needs to be modified as following:

DNAT    net    dmz:10.0.0.1    tcp    1234    -    94.22.33.44

เท่านั้น 94.22.33.44:1234 will be allowed at this point.

Memorable names

If you have many IP addresses, it becomes easy to forget which IP to use. You can use Shorewall’s “params” file to give IPs a memorable name. Edit the file /etc/shorewall/params ดังต่อไปนี้:

IP_ALEX=94.11.22.33

IP_SONIA=94.22.33.44

IP_ERIC=94.33.44.55

IP_VM1=10.0.0.1

IP_VM2=10.0.0.2

IP_VM3=10.0.0.3

Now you can use these names instead of the IP address in any of your Shorwall rules, like so:

HTTP/DNAT    net     dmz:$IP_VM1    -    -    -    $IP_SONIA

And this would forward HTTP traffic from 94.22.33.44 to a guest VM running on 10.0.0.1.

Mixed use and bridging

The original guide not only adds a firewall, but also helped those who’s hosting provided blocked IPs on unauthorized MACs. One such hosting provided was OVH, and they have recently introduced a “Virtual MACs for VPS” option that allows you to assign an IP address to a MAC. This eliminates the need for Proxy ARP or port forwarding/NAT, however the original guide will still prove itself useful for protecting the host.

I will provide a sample setup below, which can be modified to suit your needs and network configuration. This assumes you have have a basic understanding of networking and read my previous guide.

อินเตอร์เฟส

We modify the / etc เครือข่าย / / interfaces ดังต่อไปนี้:

# The loopback network interface

auto lo

iface lo inet loopback



# Public Network. Make sure to only use MACs that were assigned to you

auto vmbr0

iface vmbr0 inet static

 # The following settings are specific to your hosting provider:

 address 94.11.22.33

 netmask 255.255.255.0

 network 94.11.22.0

 broadcast 94.11.22.255

 gateway 94.11.22.254

 # The following assumes eth0 is the public-side NIC, the remained is always the same

 bridge_ports eth0

 bridge_stp off

 bridge_fd



# Optional Private Network. This network cannot be access directly from the public side

auto vmbr1

iface vmbr1 inet auto

 address 10.0.0.1

 network 255.0.0.0

 broadcast 10.255.255.25

 bridge_ports none

 bridge_stp off

 bridge_fd 0

The host, accessible by 94.11.22.33, will have two bridges at this point: vmbr0 serving the public-side and vmbr1 serving inter-VM communication.

To assign a public IP address to a KVM, you use the vmbr0 bride and must ensure the MAC corresponds to the one provided by your hosting provider (if a MAC restriction is in place).

You can also add a 2nd NIC (or as the only NIC) to the KVM, which is bridged with vmbr1. ในกรณีนี้, you need to use an IP within the 10.0.0.2-10.255.255.254 ขอบเขต, and as gateway 10.0.0.1. This particular IP range can only be used between other VMs on the same host / bridge, unless you use port forwarding or a VPN on the same IP range.

Shorewall Interfaces and Zones

The basic / etc shorewall / interfaces will be:

#ZONE    INTERFACE    BROADCAST    OPTIONS

pub    vmbr0        detect        routeback,bridge

loc    vmbr1        detect        routeback,bridge



#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE

You could also add the blacklist ตัวเลือก, or any of the other possible Shorewall options if you wish.

The accompanying /etc/shorewall/zones will look like this:

#ZONE    TYPE        OPTIONS        IN            OUT

#                    OPTIONS            OPTIONS

FW    firewall

pub    ipv4

loc    ipv4



#LAST LINE - ADD YOUR ENTRIES ABOVE THIS ONE - DO NOT REMOVE

You now have three distinct Shorewall zones. The fw zone is a self-reference to the host (in our sample setup 94.11.22.33 และ 10.0.0.1). The pub zone represents the publicly accessible vmbr0 bridge and loc our internal vmbr1 bridge.

Shorewall Policy

The following policy defines these basic rules:

• Traffic from the the host anywhere else is permitted
• Traffic from the public side to the host and the internal network is denied
• Traffic from the internal side to the host is denied, anywhere else is permitted

Edit / etc shorewall / นโยบาย:

#SOURCE    DEST    POLICY        LOG    LIMIT:        CONNLIMIT:

#                    LEVEL    BURST        MASK



# From Firewall:

fw        fw    ACCEPT

fw        pub    ACCEPT

fw        loc    ACCEPT



# Public Bridge (read the policy warnings!):

pub        pub    ACCEPT

pub        loc    ACCEPT

pub        fw    DROP        info



# Local (internal) Bridge:

loc        loc    ACCEPT

loc        pub    ACCEPT

loc        fw    DROP        info



# THE FOLLOWING POLICY MUST BE LAST

#

all    all    REJECT        info



#LAST LINE -- DO NOT REMOVE

Policy Warnings

With this sample policy it means that each publicly accessible guest VM should have its own firewall. If you wish ถึง change this behavior, and let Shorewall handle the firewall for each such guest VM, then change the Public Bridge section:

pub        pub    DROP      info

You then need to create specific rules that allow traffic to VMs on vmbr0.

A similar warning applies to traffic from vmbr0 to vmbr1. The policy assumes that vmbr0 does not receive any routable traffic on a private IP range (also called “martians”). Although this is often the case, it depends on the hosting provider’s internal networking. If you are not sure whether there’s routable traffic on a private IP range from the public side, you have two options. The first is to disallow all traffic from vmbr0 (pub) to vmbr1 (loc) by editing the Public Bridge section:

pub        loc    DROP      info

The alternative is to have a set of rules in / etc shorewall / / กฎ like so:

# ...

SECTION NEW



# Leave these at the top, right after "SECTION NEW"!

DROP        pub:10.0.0.0/8        all

DROP        pub:192.168.0.0/16    all

DROP        pub:172.168.0.0/12    all



# ... Other rules follow ...



#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE

In all cases, you should verify whether traffic is truly blocked and never assume that it is!

Shorewall and fail2ban

Fail2ban in its own words “scans log files like /var/log/pwdfail or /var/log/apache/error_log and bans IP that makes too many password failures. It updates firewall rules to reject the IP address”. This can for instance be used to (temporarily) ban a bot that is attempting a brute-force entry through SSH.

Fail2ban is an ideal companion to Shorewall and can be installed in a matter of minutes on a Proxmox host. You start by installing Fail2ban from the Debian packages:

apt-get install fail2ban

Configure Shorewall

Next you need to edit one line in the Shorewall configuration file, located at / etc shorewall / shorewall.conf:

BLACKLISTNEWONLY=No

That’s all you need to configure in Shorewall. Remember to apply your settings by restarting Shorewall with the command “shorewall restart”.

Configure Fail2ban

The last step is to configure Fail2ban. ไฟล์ /etc/fail2ban/jail.conf is extensively documented and of particular interest are the following settings:

...

#

# Destination email address used solely for the interpolations in

# jail.{conf,local} configuration files.

destemail = myemail@address.com



...

#

# ACTIONS

#



# Default banning action (e.g. iptables, iptables-new,

# iptables-multiport, Shorewall, etc) It is used to define

# action_* variables. Can be overriden globally or per

# ส่วนที่ within jail.local file

banaction = กับhorewall



...

# Choose default action.  To change, just override value of 'action' with the

# interpolation to the chosen action shortcut (e.g.  action_mw, action_mwl, etc$

# globally (section [DEFAULT]) or per specific section

action = %(action_mwl)s

Inform fail2ban of these changes by issuing the following command:

fail2ban-client reload

The destemail variable should be changed to your own e-mail address, where you will be informed of any ban actions. The banaction variable specifies that Shorewall should be used to block possible intruders. And finally, the action variable tells fail2ban to ban any detected intruder and then send an you a detailed e-mail with the relevant log lines (that caused the ban). Following is an example of an actual e-mail:

สวัสดี,



The IP 193.86.5.103 has just been banned by Fail2Ban after

3 attempts against ssh.



Here are more information about 193.86.5.103:



% This is the RIPE Database query service.

% The objects are in RPSL format.

%

% The RIPE Database is subject to Terms and Conditions.

% เห็น <a class="moz-txt-link-freetext" href="http://www.ripe.net/db/support/db-terms-conditions.pdf">http://www.ripe.net/db/support/db-terms-conditions.pdf</a>



% หมายเหตุ: This output has been filtered.

%       To receive output for a database update, use the "-B" flag.



% Information related to '193.86.4.0 - 193.86.5.255'



inetnum:      193.86.4.0 - 193.86.5.255

netname:      BRANO

descr:        BRANO, Inc.

descr:        Hradec nad Moravici

country:      CZ

admin-c:      BK230-RIPE

tech-c:       TP231-RIPE

status:       ASSIGNED PA

mnt-by:       GTSCZ-MNT

source:       RIPE # Filtered



person:       Bohumil Kriz

ที่อยู่:      BRANO, Inc.

ที่อยู่:      Computer Centre

ที่อยู่:      Hradec nad Moravici

ที่อยู่:      747 41

ที่อยู่:      The Czech Republic

phone:        +420 653 918118

fax-no:       +420 653 911791

nic-hdl:      BK230-RIPE

source:       RIPE # Filtered



person:       Tomas Partl

ที่อยู่:      Brano, Inc.

address:      Computer Centre

address:      Hradec nad Moravici

address:      747 41

address:      The Czech Republic

phone:        +420 653 918371

fax-no:       +420 653 911791

nic-hdl:      TP231-RIPE

source:       RIPE # Filtered



% Information related to '193.86.0.0/16AS2819'



ถนน:        193.86.0.0/16

descr:        CZNET-A

origin:       AS2819

mnt-by:       GTSCZ-A-MNT

source:       RIPE # Filtered



Lines containing IP:193.86.5.103 in /var/log/auth.log



กุมภาพันธ์ 27 03:32:02 host sshd[21460]: Failed password for root from 193.86.5.103 พอร์ต 35833 ssh2

Feb 27 03:32:04 host sshd[21502]: Failed password for root from 193.86.5.103 พอร์ต 36302 ssh2

Feb 27 03:32:06 host sshd[21504]: Failed password for root from 193.86.5.103 พอร์ต 36719 ssh2



Regards,



fail2ban

By default fail2ban is configured to monitor SSH, which for a Proxmox host works without any additional changes. Personally I prefer a ban on 3 attempts instead of the default 6, so I have made this one change in the /etc/fail2ban/jail.conf ไฟล์:

[ssh]

maxretry = 3

But again, the configuration file is quite well documented, so any personal preferences or modifications should be easy to accomplish.

“Hoodies Online” photo by gwire, CC Attribution License

สวัสดี,

The IP 193.86.5.103 has just been banned by Fail2Ban after
3 attempts against ssh.

Here are more information about 193.86.5.103:

% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% เห็น http://www.ripe.net/db/support/db-terms-conditions.pdf

% หมายเหตุ: This output has been filtered.
%       To receive output for a database update, use the "-B" flag.

% Information related to '193.86.4.0 - 193.86.5.255'

inetnum:      193.86.4.0 - 193.86.5.255
netname:      BRANO
descr:        BRANO, Inc.
descr:        Hradec nad Moravici
country:      CZ
admin-c:      BK230-RIPE
tech-c:       TP231-RIPE
status:       ASSIGNED PA
mnt-by:       GTSCZ-MNT
source:       RIPE # Filtered

person:       Bohumil Kriz
ที่อยู่:      BRANO, Inc.
ที่อยู่:      Computer Centre
ที่อยู่:      Hradec nad Moravici
ที่อยู่:      747 41
address:      The Czech Republic
phone:        +420 653 918118
fax-no:       +420 653 911791
nic-hdl:      BK230-RIPE
source:       RIPE # Filtered

person:       Tomas Partl
address:      Brano, Inc.
address:      Computer Centre
address:      Hradec nad Moravici
address:      747 41
address:      The Czech Republic
phone:        +420 653 918371
fax-no:       +420 653 911791
nic-hdl:      TP231-RIPE
source:       RIPE # Filtered

% Information related to '193.86.0.0/16AS2819'

route:        193.86.0.0/16
descr:        CZNET-A
origin:       AS2819
mnt-by:       GTSCZ-A-MNT
source:       RIPE # Filtered

Lines containing IP:193.86.5.103 in /var/log/auth.log

Feb 27 03:32:02 host sshd[21460]: Failed password for root from 193.86.5.103 พอร์ต 35833 ssh2
Feb 27 03:32:04 host sshd[21502]: Failed password for root from 193.86.5.103 พอร์ต 36302 ssh2
Feb 27 03:32:06 host sshd[21504]: Failed password for root from 193.86.5.103 พอร์ต 36719 ssh2

Regards,

fail2ban

บทความที่เกี่ยวข้อง:

1. Guide: Firewall and router with Proxmox
2. Blocking w00tw00t scans
3. Guide: Installing OpenSolaris on a remote dedicated server

การ เปลี่ยนแปลง

• A new option has been introduced to hide the license and attribution information in the footer.
• แก้ไข Bug: ไฟล์ กัญชา Config แล้ว ไม่ initialized
• แก้ไข Bug: เปิด ใช้ “cacheable” ตัว ก่อ ให้ เกิด การ ผิด พลาด ร้ายแรง PHP ใน บาง กรณี
• แก้ไข Bug: ตัว เลือก Preview ไม่ ได้ เมื่อ “cacheable” ตัว เลือก เปิด ใช้
• แก้ไข Bug: “All Rights Reseved” URL ที่ ไม่มี ใบ อนุญาต ได้

นอกจาก นี้, WP Flickr มา ไม่ เข้า กัน ได้ กับ รุ่น WordPress 2.8 or older.

Links: ดาวน์โหลด โดยตรง พื้นหลัง WP Flickr (147) | WordPress Plugin Directory

บทความที่เกี่ยวข้อง:

1. พื้นหลัง WP Flickr version 1.0.2 (Beta) available
2. WP Flickr Background
3. WP Flickr Background in Alpha testing

กังวล ใหญ่ ที่สุด ของ ฉัน ที่ fraudster ก็ จะ แทนที่ ข้อมูล บัญชี หนึ่ง เขา เป็น เจ้าของ เขา เอง. เพราะ เช่น หัวข้อ ร้อน ที่ พูด เบา และ รวดเร็ว ใน ขณะ นี้, แก้ไข ข้อความ นี้ จะ ทำให้ รอบ ของ มัน อย่าง รวดเร็ว.

ฉัน สามารถ ติดตาม ข้อความ เดิม กลับ ไป @ CruzRojainforma, ชิลี กาชาด. จนถึง ข้อความ retweeted ไม่มี การ แก้ไข – นอกเหนือ จาก การ แปล เป็น ภาษา อังกฤษ. แต่ ได้ กระตุ้น ให้ คน หยุด retweeting ราย ละเอียด บัญชี และ เยี่ยม ชม เว็บไซต์ ทางการ Red Cross ที่ www.redcross.org แทน. There’s a link right on their main page that explains how you can donate time or money to the Chilean earthquake efforts.

ใน บันทึก สุดท้าย, พูด เบา และ รวดเร็ว ยัง ใช้ เพื่อ ค้นหา คน หาย. และ มี ผล บวก ฉัน สามารถ เพิ่ม, ขณะ ที่ บทความ นี้ อธิบาย ว่า. Google ยัง มี Person Finder ฐาน ข้อมูล ทำงาน, ซึ่ง ได้ ดำเนิน การ แผ่นดินไหว Haiiti อาหาร ดี. แต่ โปรด ตรวจ สอบ ว่า คุณ ไม่ ให้ ออก มาก เกินไป ราย ละเอียด ส่วนตัว เกี่ยว กับ บุคคล ที่ คุณ กำลัง มอง หา, เพราะ จะ เป็น (เกือบ) permanent part of the Internet.

อีกครั้ง, คิด จะ ดี, แต่ มี คน จำนวน มาก เกินไป ออก มี รอ ใช้ ประโยชน์ จาก สถานการณ์ ที่ เป็น ไป ได้ ทุก จึง ระมัดระวัง เป็น!

อินเดีย Force!

บทความที่เกี่ยวข้อง:

1. Hawaii Tsunami, Sprecks image gallery
2. Add hashtags support to WordTwit
3. Lifestream for March 2nd

While the actual waves were thankfully less high than expected, you do notice two distinct surges in the images. The view here is of the Sprecks towards the West Maui mountains.

Here’s a video which will give a better idea of what it looked like on the ground:

I have another set (with a smoother timeline) from a different location as well, which may add soon as well. A few images from that set stood out and I will share this one with you here:

Apparently this person wasn’t aware that there was a tsunami warning in effect and that you shouldn’t be on the beach, especially not making any phone calls.

บทความที่เกี่ยวข้อง:

1. Lifestream for March 1st
2. Red Cross’ Citibank details on Twitter could be false.

พอใจ กับ นี้, ฉัน ได้ ทำ ตอน นี้ รุ่น 1.0.2 ให้ เป็น ผลิตภัณฑ์ รุ่น เบต้า. ซึ่ง หมายความ ว่า คุณ สามารถ ใช้ เพื่อ วัตถุประสงค์ ของ คุณ เอง, แต่ ฉัน ไม่ แนะนำ ให้ ใช้ ใน ระบบ การ ผลิต เพียง แต่ (แต่ ไม่มี อะไร จะ หยุด คุณ จาก การ ทำ เช่น นี้ – ใช้ ที่ ความ เสี่ยง ของ คุณ เอง!).

The likely issues that I’m expecting are with the installation, plugin usage and the back-end (administration). But hopefully those will only be a few. ในระหว่างนี้, I will start the registration procedure with WordPress.org so that the code will be available in the SVN, and the plugin available for download / upgrade within WordPress itself. Hopefully this will be a matter of just a few days.

If you are running in any kind of issue, how small it may seem, I’d really like to know about it so I can improve the plugin. You can use the contact form, or leave a comment below and I will make note of it.

The static page for WP Flickr Background is http://www.myatus.co.uk/wp-flickr-background, and it will be updated with the latest version as it becomes available. You can also click on Downloads at the top.

เพลิดเพลิน!

P.S.: A small update, WP Flickr Background is also available through the Flickr App Garden.

P.P.S.: Quicker than expected, WordPress has accepted the plugin into the Plugin Directory. If you wish to use the development version (provided you know what you are doing!), see the SVN.

บทความที่เกี่ยวข้อง:

1. พื้นหลัง WP Flickr version 1.0.3 (Beta) available
2. WP Flickr Background
3. WP Flickr Background in Alpha testing

สิ่ง ที่ คุณ ต้อง ทำ คือ สร้าง ขึ้น ภายใน หอ การ ตั้ง ค่า ปลั๊กอิน ของ, แต่ละ ครั้ง ที่ มี การ เก็บ รวบรวม ภาพ จาก Flickr ที่ คุณ เลือก, and WP Flickr will randomly select a photo from the active gallery to display as the theme background.

คุณ ยัง สามารถ ปรับ แกล เลอ รี โดย เพิ่ม รหัส การ ตั้ง ชื่อ CSS ที่ จะ โหลด พร้อม กับ ภาพถ่าย, allowing you to color match the WordPress theme to the particular photo displayed or for other use.

Links: ดาวน์โหลด โดยตรง: พื้นหลัง WP Flickr (147) | WordPress Plugin Directory

ถ้า คุณ มี ความ คิด สำหรับ WP Flickr มา หรือ ต้องการ รายงาน ข้อ บกพร่อง, คลิกที่ ผล ตอบ กลับ แท็ บ ปรากฏ บน ด้าน ซ้าย หรือ เยี่ยม ชม ของ คุณ UserVoice.

บทความที่เกี่ยวข้อง:

1. WP Flickr Background in Alpha testing
2. WP Flickr พื้น รุ่น 1.0.2 (Beta) ใช้ได้
3. WP Flickr Background version 1.0.3 (Beta) available

ฉันได้นำลงเว็บไซต์ในการเปลี่ยนแปลงบางอย่างไปยังเซิร์ฟเวอร์เว็บ, ซึ่งเร็วเป็นยกเครื่องใหญ่. ฉันคิดว่านับตั้งแต่ถูกลงแล้ว, I might as well do the things I had long planned.

ส่วนดีจะดำเนินการขณะนี้, แต่ฉันทำไม่สมบูรณ์. ฉันจะให้มันพยายามที่ดีที่สุดของฉันเพื่อให้แน่ใจว่าจะมีเวลาไม่น้อยไป. อีกครั้ง, ขอโทษฉัน!

No related posts.

หากคุณใหม่ไปที่เว็บไซต์นี้, คุณอาจไม่ได้สังเกต. แต่พื้นหลังที่คุณเห็นเป็นจริงอะไรใหม่. และสุ่ม. และสตรีมจาก Flickr. มันเป็นปลั๊กอินใหม่ที่ฉันกำลังพัฒนาสำหรับ WordPress เรียก ‘WP Flickr Background’.

น้อยกว่าสองสัปดาห์ที่แล้วผมเปลี่ยนชุดรูปแบบของฉัน Motion by 85ideas, และได้ intrigued โดยใช้ผลของการใสและพื้นหลัง. และตั้งแต่ฉันได้อย่างรวดเร็วได้เบื่อดูที่สิ่งเดียวกัน, ฉันคิดว่า ‘ทำไมไม่ทำให้พื้นหลังสุ่มนี้ '? Flickr ให้ล้านภาพถ่าย, หลายของพวกเขาภายใต้ Creative Commons อนุญาตลักษณะ, และนี้จะเป็นแหล่งที่ดีสำหรับภูมิหลังสุ่มบรรดา. ดังนั้นฉันเริ่มต้นรหัส…

น่าทึ่ง, ก็ไม่เป็นตรงข้างหน้าเป็นจะคาดหวัง. หลังจากทั้งหมด, คุณก็สามารถใช้สร้างแบบไดนามิก CSS สไตล์ชีทด้วย ‘พื้นหลัง’ องค์ประกอบชี้ไปที่ภาพถ่าย Flickr สุ่ม. ถูก?

แต่ภาพน้ำตกขนาดเล็กและเว็บไซต์ของคุณจะมีลักษณะเช่นที่ไม่ดี 1995 การกระทำของหน้า HTML ของคุณครั้งแรก. และรูปภาพขนาดใหญ่อาจจะ ดังนั้น ขนาดใหญ่, you end up staring at just a grain of sand instead of a beach.

CSS3, แบรนด์รุ่นใหม่ที่ตบของ CSS สไตล์แผ่น, รองรับการยืดของภาพพื้นหลัง. โชคไม่ดี, ไม่เบราว์เซอร์เดียวที่ฉันได้พยายามสนับสนุน. So I reverted to good-old image hacking, เป็นพื้นหลัง injecting ในเชิงลบ Z-สร้างดัชนี <div> block at a fixed position.

ใช่, ว่าประโยคสุดท้ายคือผู้ทำลายบทสนทนาที่ดี. แต่เชื่อฉัน, มันเป็น ฉีด ส่วนที่ trickiest. สำหรับหนึ่ง, ฉันไม่ชอบเมื่อปลั๊กอินต้องฉันไปเองแก้ไขไฟล์, นับประสาแก้ไขไฟล์ในที่แรก. ดังนั้นผมจึงถือว่ามีคนอื่นออกมีผู้คิดเหมือนกัน. ดังนั้นฉันจะเปลี่ยน theme WordPress ไม่จริงแก้ไขไฟล์ของ? ใส่ Javascript, jQuery เป็นเฉพาะ, และเราทางเราใช้กลอุบายมาก!

ดังนั้นในที่สุด, WP Flickr มาจะใช้จาวาสคริปต์เพื่อเพิ่มภาพพื้นหลังใหม่ overlaid ตามจริง (ต้นฉบับ) เนื้อหา. และการทำงาน! อย่างน้อย, มันไม่ให้กับ Opera 10, Firefox 3, Google โครเมียม 3, MSIE 8 และ Safari 4. ดังนั้นฉันตอนนี้วางโปรแกรมเสริมผ่านการทดสอบอัลฟาสาธารณะ, รอการร้องเรียนไปม้วนใน: “เว็บไซต์ของคุณดูแปลก” และ “ฉันได้รับข้อผิดพลาด Javascript” มีบางสิ่งที่ฉันคาดหวังเพื่อดูในระหว่างการทดสอบ, แต่หวังว่าจะมีผู้ใด! คุณจะแจ้งให้เราทราบ, ถูก?

ถ้าฉันพอใจว่าไม่มีประเด็นสำคัญที่มีปลั๊กอิน, แล้วฉันจะทำให้สามารถดาวน์โหลดได้. ในระหว่างนี้, ฉันจะเป็นอีกครั้งจัดเล็กๆน้อยๆในเว็บไซต์อีกครั้งเพื่อให้มีพื้นที่ปลั๊กอินใหม่และอื่นๆน้อยฉันคิดเกี่ยวกับการเขียน. ดังนั้นโปรดก่อสร้างแก้ตัวที่เกิดขึ้นในอีกไม่กี่วัน!

บทความที่เกี่ยวข้อง:

1. WP Flickr Background
2. WP Flickr พื้น รุ่น 1.0.2 (Beta) ใช้ได้
3. WP Flickr Background version 1.0.3 (Beta) available