2020年9月 – 端くれプログラマの備忘録

[MySQL] CentOSのMySQLへ外部から接続する

2020年9月26日2021年7月25日 @84kure

アクセス許可

# cd /etc
# vi hosts.allow
mysqld : <アクセス元IP>

# cd /etc

# vi hosts.allow

mysqld : <アクセス元IP>

ポートを開く

# firewall-cmd --permanent --list-all
public (active)
target: default
icmp-block-inversion: no
interfaces: eth0
sources:
services: ssh dhcpv6-client http https smtp
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
# firewall-cmd --add-service=mysql --permanent
(ちなみにポートを閉じる場合)
# firewall-cmd --remove-service=ssh --permanent
# firewall-cmd --reload

# firewall-cmd --permanent --list-all

public (active)

target: default

icmp-block-inversion: no

interfaces: eth0

sources:

services: ssh dhcpv6-client http https smtp

ports:

protocols:

masquerade: no

forward-ports:

source-ports:

icmp-blocks:

rich rules:

# firewall-cmd --add-service=mysql --permanent

(ちなみにポートを閉じる場合)

# firewall-cmd --remove-service=ssh --permanent

# firewall-cmd --reload

mysqldへのアクセス許可

# cd /etc/my.cnf.d
# vi server.cnf
#
# Allow server to accept connections on all interfaces.
#
#bind-address=0.0.0.0
bind-address=0.0.0.0 コメント取る

# cd /etc/my.cnf.d

# vi server.cnf

# Allow server to accept connections on all interfaces.

#bind-address=0.0.0.0

bind-address=0.0.0.0 コメント取る

mysqlユーザ設定

$ mysql -u <管理者ユーザー> -p
Password: <管理者パスワード>
mysql> SELECT user,host FROM mysql.user;
mysql> GRANT ALL ON <DB名>.* TO <ユーザー>@"<IPアドレス>" identified by '<パスワード>' WITH GRANT OPTION;
mysql> FLUSH PRIVILEGES;
(確認)
mysql> SELECT user,host FROM mysql.user;

$ mysql -u <管理者ユーザー> -p

Password: <管理者パスワード>

mysql> SELECT user,host FROM mysql.user;

mysql> GRANT ALL ON <DB名>.* TO <ユーザー>@"<IPアドレス>" identified by '<パスワード>' WITH GRANT OPTION;

mysql> FLUSH PRIVILEGES;

(確認)

mysql> SELECT user,host FROM mysql.user;

リモートマシンからアクセスできることを確認

$ mysql -u <ユーザー> -p -h <サーバー> --port 3306 <DB名>
Enter password: <パスワード>
mysql> show databases;

$ mysql -u <ユーザー> -p -h <サーバー> --port 3306 <DB名>

Enter password: <パスワード>

mysql> show databases;

参考サイト

MySQL で特定の IP アドレスからのアクセスを許可する – Qiita
https://qiita.com/u-dai/items/b360a337b5001778699e

MySQLに外部サーバーからアクセスする – 発声練習
http://next49.hatenadiary.jp/entry/20120112/p1

[Laravel] Homesteadのメモリ/CPU設定を変更する

2020年9月25日2021年7月25日 @84kure

Homesteadの動作がもっさりしているので、動作パラメータを変更してリソース消費を増やしてみる。

Homestead.yaml

変更前

memory: 4096
cpus: 1

1 2	memory: 4096 cpus: 1

変更後

memory: 16384
cpus: 4

1 2	memory: 16384 cpus: 4

もっさり感は若干は改善されたように感じるけど、劇的に改善した感じはない。この遅さは仕方ないのだろうか、それとも何かまだ打つ手があるのだろうか・・・

[MySQL] グローバルなシステム変数を設定/参照する

2020年9月24日2021年7月25日 @84kure

MySQLのチューンアップの覚え書きとして。

MySQL :: MySQL 5.6 リファレンスマニュアル :: 5.1.5 システム変数の使用
https://dev.mysql.com/doc/refman/5.6/ja/using-system-variables.html

MySQL Server には、その構成方法を指示する多くのシステム変数が保持されています。各システム変数にはデフォルト値があります。システム変数は、コマンド行のオプションを使用するか、オプションファイルでサーバー起動時に設定できます。これらのほとんどは、SET ステートメントを使用してサーバーの実行中に動的に変更でき、これによりサーバーを停止して再起動することなくサーバーの動作を変更できます。

mysql> show global variables like "%timeout%";
+-----------------------------+----------+
| Variable_name               | Value    |
+-----------------------------+----------+
| connect_timeout             | 10       |
| delayed_insert_timeout      | 300      |
| have_statement_timeout      | YES      |
| innodb_flush_log_at_timeout | 1        |
| innodb_lock_wait_timeout    | 50       |
| innodb_rollback_on_timeout  | OFF      |
| interactive_timeout         | 28800    |
| lock_wait_timeout           | 31536000 |
| net_read_timeout            | 30       |
| net_write_timeout           | 60       |
| rpl_stop_slave_timeout      | 31536000 |
| slave_net_timeout           | 3600     |
| wait_timeout                | 28800    |
+-----------------------------+----------+
13 rows in set (0.00 sec)
mysql>

mysql> show global variables like "%timeout%";

+-----------------------------+----------+

| Variable_name | Value |

+-----------------------------+----------+

| connect_timeout | 10 |

| delayed_insert_timeout | 300 |

| have_statement_timeout | YES |

| innodb_flush_log_at_timeout | 1 |

| innodb_lock_wait_timeout | 50 |

| innodb_rollback_on_timeout | OFF |

| interactive_timeout | 28800 |

| lock_wait_timeout | 31536000 |

| net_read_timeout | 30 |

| net_write_timeout | 60 |

| rpl_stop_slave_timeout | 31536000 |

| slave_net_timeout | 3600 |

| wait_timeout | 28800 |

+-----------------------------+----------+

13 rows in set (0.00 sec)

mysql>

[MySQL] グローバルなステータス変数を参照する

2020年9月23日2021年7月25日 @84kure

MySQLのチューンアップの覚え書きとして。

MySQL :: MySQL 5.6 リファレンスマニュアル :: 5.1.6 サーバーステータス変数
https://dev.mysql.com/doc/refman/5.6/ja/server-status-variables.html

サーバーには、その操作についての情報を提供する多くのステータス変数が保持されています。これらの変数およびその値は、SHOW [GLOBAL | SESSION] STATUS ステートメントを使用して表示できます。

mysql> show global status like "Aborted%";
+------------------+-------+
| Variable_name    | Value |
+------------------+-------+
| Aborted_clients  | 1     |
| Aborted_connects | 0     |
+------------------+-------+
2 rows in set (0.01 sec)

mysql> show global status like "Aborted%";

+------------------+-------+

| Variable_name | Value |

+------------------+-------+

| Aborted_clients | 1 |

| Aborted_connects | 0 |

+------------------+-------+

2 rows in set (0.01 sec)

[ホスティング] ログローテーションで新規ファイルのパーミッションを指定する

2020年9月22日2021年7月25日 @84kure

ログローテーションした後のファイルを例えばapacheユーザからアクセスしたい場合、そのファイルのアクセス権をrootしか持っていないのでは困る。

そういう場合は、createで新規ファイルのパーミッションを指定する。

/var/log/httpd/*.log {
    missingok
    notifempty
    sharedscripts
    delaycompress
    create 666
}

/var/log/httpd/*.log {

missingok

notifempty

sharedscripts

delaycompress

create 666

}

参考サイト

ログローテーションするためのlogrotate設定とちょっとしたtips – Qiita
https://qiita.com/K_Yagi/items/7843429f34678e475be6

logrotateでcreate時にパーミッションが効かない – 右往左往ブログ
http://u0sa0.hateblo.jp/entry/2015/04/10/022551

＠IT：logrotateの設定ファイルで指定できる主なコマンド
https://www.atmarkit.co.jp/flinux/rensai/linuxtips/747logrotatecmd.html

[Apache] 一定数リクエストを処理したphp-fpmのプロセスを再起動する

2020年9月21日2021年7月25日 @84kure

php-fpmをずっと動かしていると、徐々にメモリ使用量が増えて、終いにはメモリを食い潰してしまう。アプリなのか、ミドルウェアなのか、どこかでメモリリークが起きているのだろうと想像できるものの、その原因を突き止めるのは難しそうだ。

メモリリークは起きて仕方ないとあきらめて、一定期間が経過したらphp-fpmのデーモンを再起動したら良いのではないか。そんなことを思ったら既にそういうオプションが用意されていた。

/etc/php-fpm.d/www.conf

; The number of requests each child process should execute before respawning.
; This can be useful to work around memory leaks in 3rd party libraries. For
; endless request processing specify '0'. Equivalent to PHP_FCGI_MAX_REQUESTS.
; Default Value: 0
pm.max_requests = 500

; The number of requests each child process should execute before respawning.

; This can be useful to work around memory leaks in 3rd party libraries. For

; endless request processing specify '0'. Equivalent to PHP_FCGI_MAX_REQUESTS.

; Default Value: 0

pm.max_requests = 500

参考サイト

php-fpm の設定を理解してサイトのパフォーマンスを向上させる – Hacker’s High
https://hackers-high.com/linux/php-fpm-config/

[Unix] カレントディレクトリ以下のディレクトリからシンボリックリンクを探すには

2020年9月20日2021年7月25日 @84kure

覚え書き。

$ find . -type l

1	$ find . -type l

参考サイト

＠IT：シンボリックリンクやディレクトリを探すには
https://www.atmarkit.co.jp/flinux/rensai/linuxtips/365findsymlnk.html

[Windows] データ通信量を確認する

2020年9月19日2021年7月25日 @84kure

COVID-19で子供らの学校がリモート授業になって、かつ、子供らが自宅にいる時間が長くなったせいもあり、ついに先月、CATVインターネット接続の月間トラフィック許容量1,280GBを越えてしまう事態が発生。でも家族全員がそんなにトラフィックを使っているわけじゃあるまいし、まあ犯人捜しをするわけじゃないけど、誰がどれぐらいトラフィックを使っているのかは知っておきたい。

まずは、デバイス毎のトラフィックを集計する機能がWi-Fiルーターに備わっていないか調べるも、我が家が使っているような廉価な製品にはそんなものがあるはずも無し。

更に調べてみると、Windowsには過去30日間のトラフィックを積算する機能があるらしい。

[Windows10] データ通信量を確認する | ぱそまき
https://pasomaki.com/windows-data-traffic-check/

できれば1日単位でトラフィックを調べたいと思って調べると、以下のソフトが見つかった。多機能な割にUIはすっきりしていて使いやすそうなツールだ。30日間の試用期間があるようなので、とりあえず自分のPCと、我が家のネットのヘビーユーザーである息子のPCにこのツールを入れておく。

NetWorx : bandwidth monitor, connection speed test, data usage log
https://www.softperfect.com/products/networx/

NetMaster : Internet connection monitoring and control
https://www.softperfect.com/products/netmaster/

[ModSecurity] 特定のルールだけを適用するには

2020年9月18日2021年7月25日 @84kure

Mod Securityをオンにしてみたいのだけど、一度に全部適用すると偽判定される可能性があるので、特定のルールだけ適用してMod Securityをしばらくテスト運用してみる。

デフォルトでは、ルールは以下ディレクトリに格納されている。

modsecurity.d/*.conf
– modsecurity_crs_10_config.conf
modsecurity.d/activated_rules/*.conf
– modsecurity_crs_20_protocol_violations.conf
– modsecurity_crs_21_protocol_anomalies.conf
– modsecurity_crs_23_request_limits.conf
– modsecurity_crs_30_http_policy.conf
– modsecurity_crs_35_bad_robots.conf
– modsecurity_crs_40_generic_attacks.conf
– modsecurity_crs_41_sql_injection_attacks.conf
– modsecurity_crs_41_xss_attacks.conf
– modsecurity_crs_42_tight_security.conf
– modsecurity_crs_45_trojans.conf
– modsecurity_crs_47_common_exceptions.conf
– modsecurity_crs_48_local_exceptions.conf.example
– modsecurity_crs_49_inbound_blocking.conf
– modsecurity_crs_50_outbound.conf
– modsecurity_crs_59_outbound_blocking.conf
– modsecurity_crs_60_correlation.conf
modsecurity.d/local_rules/*.conf
– modsecurity_localrules.conf

この中から、分かりやすいところでSQLインジェクションだけ適用してテスト運用する。

# vi /etc/httpd/conf.d/mod_security.conf
<IfModule mod_security2.c>
# Default recommended configuration
#SecRuleEngine DetectionOnly
SecRuleEngine On
...
# ModSecurity Core Rules Set and Local configuration
IncludeOptional modsecurity.d/*.conf
# IncludeOptional modsecurity.d/activated_rules/*.conf
IncludeOptional modsecurity.d/local_rules/*.conf

IncludeOptional modsecurity.d/activated_rules/modsecurity_crs_41_sql_injection_attacks.conf
</IfModule>

# vi /etc/httpd/conf.d/mod_security.conf

# Default recommended configuration

#SecRuleEngine DetectionOnly

SecRuleEngine On

...

# ModSecurity Core Rules Set and Local configuration

IncludeOptional modsecurity.d/*.conf

# IncludeOptional modsecurity.d/activated_rules/*.conf

IncludeOptional modsecurity.d/local_rules/*.conf

IncludeOptional modsecurity.d/activated_rules/modsecurity_crs_41_sql_injection_attacks.conf

</IfModule>

ログをクリアしておく。

# cd /var/log/httpd
# mkdir modsec_audit_old
# mv modsec_audit.log* modsec_audit_old

# cd /var/log/httpd

# mkdir modsec_audit_old

# mv modsec_audit.log* modsec_audit_old

Apacheを再起動して設定を適用。

# service httpd restart

1	# service httpd restart

サイトが正しく表示されることを確認したら、テスト運用開始。

[ModSecurity] インストール手順

2020年9月17日2021年7月25日 @84kure

Mod SecurityはオープンソースのWAF (Web Application Fireworks)。WordPressサイトへの攻撃対策として試しにインストールしてみる。

Mod Securityのインストール

Mod Securityのプログラムと攻撃パターンのルールを定義したCore Rule Set (CRS)の両方をインストールする。

# yum install mod_security mod_security_crs

1	# yum install mod_security mod_security_crs

検知のみとする設定

いきなりオンにすると、予想しない誤検知によってサイトが遮断される危険性があるので、まずは検知のみモードでテスト運用する。検知のみモードでは検知内容がログファイルに出力されるだけでサイトは遮断されない。

# vi /etc/httpd/conf.d/mod_security.conf
SecRuleEngine DetectionOnly

1 2	# vi /etc/httpd/conf.d/mod_security.conf SecRuleEngine DetectionOnly

ModSecurityを有効にする

# systemctl restart httpd

1	# systemctl restart httpd

ログを監視

/var/log/httpd/modsec_audit.log

参考サイト

オープンソースのWAF「Mod Security」のメリットとその導入方法について | セキュリティ対策 | CyberSecurityTIMES
https://www.shadan-kun.com/blog/measure/2939/

Apache×Mod SecurityでカンタンWAF構築 – Qiita
https://qiita.com/m0nch1/items/ac7255399366fb113a82

Apache HTTP Server向けのWebアプリケーションファイアウォール（WAF）「ModSecurity」を使ってみよう | さくらのナレッジ
https://knowledge.sakura.ad.jp/10648/

オープンソースWAF「ModSecurity」で学ぶサーバーの防御 | パーソルテクノロジースタッフ株式会社
https://persol-tech-s.co.jp/corporate/security/article.html?id=2