_seth_

# mailq postqueue: warning: Mail system is down -- accessing queue directly -Queue ID- --Size-- ----Arrival Time---- -Sender/Recipient------- CAE721DF158 648 Fri Jan 17 12:35:02 root root -- 0 Kbytes in 1 Request. # postsuper -d CAE721DF158 postsuper: CAE721DF158: removed postsuper: Deleted: 1 message Трафик уходит. Постфикс остановлен.

/var/spool/mail - пусто /var/spool/postfix/private# ll total 8 drwx------ 2 postfix root 4096 Jan 17 10:07 ./ drwxr-xr-x 20 root root 4096 Jan 17 10:07 ../ srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 anvil= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 bounce= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 bsmtp= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 defer= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 discard= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 error= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 ifmail= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 lmtp= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 local= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 maildrop= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 mailman= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 proxymap= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 proxywrite= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 relay= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 retry= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 rewrite= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 scache= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 scalemail-backend= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 smtp= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 tlsmgr= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 trace= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 uucp= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 verify= srw-rw-rw- 1 postfix postfix 0 Jan 17 10:07 virtual= /var/spool/postfix/public# ll total 8 drwx--s--- 2 postfix postdrop 4096 Jan 17 10:07 ./ drwxr-xr-x 20 root root 4096 Jan 17 10:07 ../ srw-rw-rw- 1 postfix postdrop 0 Jan 17 10:07 cleanup= srw-rw-rw- 1 postfix postdrop 0 Jan 17 10:07 flush= prw--w--w- 1 postfix postdrop 0 Jan 17 11:06 pickup| prw--w--w- 1 postfix postdrop 0 Jan 17 11:02 qmgr| srw-rw-rw- 1 postfix postdrop 0 Jan 17 10:07 showq= Я так понимаю у этих непонятных файлов setuid установлен? Это нормально? Просто с постфикс не знаком. Работающий постфикс остановил как сервис - трафик на 25 порт идет.

Отчет Lynis: -[ Lynis 1.2.9 Results ]- Tests performed: 147 Warnings: ---------------------------- - [10:53:43] Warning: Found mail_name in SMTP banner, and/or mail_name contains 'Postfix' [test:MAIL-8818] [impact:L] - [10:54:22] Warning: Found possible unused iptables rules (5 6 2 1) [test:FIRE-4513] [impact:L] - [10:55:37] Warning: No running NTP daemon or available client found [test:TIME-3104] [impact:M] Suggestions: ---------------------------- - [10:52:38] Suggestion: update to the latest stable release. - [10:53:11] Suggestion: When possible set expire dates for all password protected accounts [test:AUTH-9282] - [10:53:11] Suggestion: Configure password aging limits to enforce password changing on a regular base [test:AUTH-9286] - [10:53:11] Suggestion: Default umask in /etc/profile could be more strict like 027 [test:AUTH-9328] - [10:53:11] Suggestion: Default umask in /etc/login.defs could be more strict like 027 [test:AUTH-9328] - [10:53:11] Suggestion: Default umask in /etc/init.d/rc could be more strict like 027 [test:AUTH-9328] - [10:53:15] Suggestion: To decrease the impact of a full /home file system, place /home on a separated partition [test:FILE-6310] - [10:53:15] Suggestion: To decrease the impact of a full /tmp file system, place /tmp on a separated partition [test:FILE-6310] - [10:53:17] Suggestion: Disable drivers like USB storage when not used, to prevent unauthorized storage or data theft [test:STRG-1840] - [10:53:17] Suggestion: Disable drivers like firewire storage when not used, to prevent unauthorized storage or data theft [test:STRG-1846] - [10:53:31] Suggestion: Install package apt-show-versions for patch management purposes [test:PKGS-7394] - [10:53:43] Suggestion: You are adviced to hide the mail_name (option: smtpd_banner) from your postfix configuration. Use postconf -e or change your main.cf file (/etc/postfix/main.cf) [test:MAIL-8818] - [10:54:22] Suggestion: Check iptables rules to see which rules are currently not used (iptables --list --numeric --verbose) [test:FIRE-4513] - [10:54:43] Suggestion: Add legal banner to /etc/issue, to warn unauthorized users [test:BANN-7126] - [10:54:43] Suggestion: Add legal banner to /etc/issue.net, to warn unauthorized users [test:BANN-7130] - [10:55:36] Suggestion: Enable auditd to collect audit information [test:ACCT-9628] - [10:55:37] Suggestion: Check if any NTP daemon is running or a NTP client gets executed daily, to prevent big time differences and avoid problems with services like kerberos, authentication or logging differences. [test:TIME-3104] - [10:56:24] Suggestion: Harden the system by removing unneeded compilers. This can decrease the chance of customized trojans, backdoors and rootkits to be compiled and installed [test:HRDN-7220] Помимо этого обнаружил такое (сервер выполняет роль сервера доступа пппое): # ll /etc/ppp/ip-up.d/ total 24 drwxr-xr-x 2 root root 4096 Jan 17 10:07 ./ drwxr-xr-x 9 root root 4096 Nov 6 15:08 ../ -rwxr-xr-x 1 root root 902 Feb 4 2011 0000usepeerdns* -rwxr-xr-x 1 root root 515 Sep 8 2012 000resolvconf* -rwxr-xr-x 1 root root 4024 Dec 13 2011 0dns-up* -rwxr-xr-x 1 root root 1120 Feb 20 2013 postfix* Еще один вывод: # unhide brute -v Unhide 20110113 http://www.unhide-forensics.info [*]Starting scanning using brute force against PIDS with fork() Found HIDDEN PID: 26664 " ... maybe a transitory process" Found HIDDEN PID: 26672 " ... maybe a transitory process" [*]Starting scanning using brute force against PIDS with pthread functions Found HIDDEN PID: 28060 " ... maybe a transitory process" Found HIDDEN PID: 28154 " ... maybe a transitory process" Found HIDDEN PID: 28181 " ... maybe a transitory process" Found HIDDEN PID: 28295 " ... maybe a transitory process" Found HIDDEN PID: 29982 " ... maybe a transitory process" Found HIDDEN PID: 29983 " ... maybe a transitory process" Found HIDDEN PID: 30000 " ... maybe a transitory process" Found HIDDEN PID: 30002 " ... maybe a transitory process" Found HIDDEN PID: 31534 " ... maybe a transitory process" Found HIDDEN PID: 31571 " ... maybe a transitory process" Идентификаторы напоминают пппое сессии абонов... Интересно сообщение: В гугле ничего внятного не нашел об этом...

chkrootkit - не нашел ничего подозрительного. rkhunter - выдал несколько предупреждений, сейчас погуглю по ним, настораживают сообщения о postfix и подобные: # cat rkhunter.log | grep -i warning [10:07:55] Info: No mail-on-warning address configured [10:08:10] /usr/bin/unhide.rb [ Warning ] [10:08:10] Warning: The command '/usr/bin/unhide.rb' has been replaced by a script: /usr/bin/unhide.rb: Ruby script, ASCII text [10:09:24] Checking for passwd file changes [ Warning ] [10:09:24] Warning: User 'postfix' has been added to the passwd file. [10:09:24] Checking for group file changes [ Warning ] [10:09:24] Warning: Group 'postfix' has been added to the group file. [10:09:24] Warning: Group 'postdrop' has been added to the group file. [10:09:25] Checking if SSH root access is allowed [ Warning ] [10:09:25] Warning: The SSH and rkhunter configuration options should be the same: [10:09:25] Checking for hidden files and directories [ Warning ] [10:09:25] Warning: Hidden directory found: /dev/.udev [10:09:25] Warning: Hidden file found: /dev/.initramfs: symbolic link to `/run/initramfs' Господа, не бойтесь предлагать варианты . Чисто теоретически, могло ли что то притянуть postfix по зависимостям (хотя я не представляю что это) и не настроеный постфикс используют как ретранслятор? Я где то читал о подобном, но там вроде бы sendmail было...

Пусто. Спасибо за наводку, попробую.

ps ax | grep php ps ax | grep perl ps ax | grep pl пусто, просмотрел все процессы (ps ax) - вроде бы, ничего подозрительного. Я не понимаю почему даже после такого правила пакеты все равно уходят с интерфейса: iptables -А OUTPUT -o eth0 -p tcp -m tcp --dport 25 -j DROP Значит они генерируются не серваком? Если они форвардятся почему их не видно на внутреннем интерфейсе? Вуду или кривые руки?

Вообще не вижу никаких движений по этому порту на серваке: # netstat -ltupn Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 8571/mysqld tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 1501/apache2 tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 9018/sshd tcp 0 0 0.0.0.0:443 0.0.0.0:* LISTEN 1501/apache2 tcp 0 0 0.0.0.0:9443 0.0.0.0:* LISTEN 1501/apache2 tcp6 0 0 :::22 :::* LISTEN 9018/sshd udp 0 0 0.0.0.0:67 0.0.0.0:* 9081/dhcpd udp 0 0 0.0.0.0:54796 0.0.0.0:* 19935/pppd udp 0 0 0.0.0.0:1812 0.0.0.0:* 9680/radiusd udp 0 0 0.0.0.0:1813 0.0.0.0:* 9680/radiusd # ss -p State Recv-Q Send-Q Local Address:Port Peer Address:Port ESTAB 0 0 172.16.0.1:ssh 172.16.0.10:42052 users:(("sshd",11485,3),("sshd",11166,3)) #lsof -i :25 т.е. как бы и не сервак флудит, почему тогда на внутреннем интерфейсе (он один) нет никаких пакетов по 25 порту?..

Вот именно это я и хочу узнать. Вопрос в том: как это сделать?

Так там нет почтового сервиса, даный адрес используется только для НАТ. Как он может сам флудить?

Какая то странная ситуация со спамом из моей сети. Имеется сервак-шлюз с адресом 193.***.***.**, через него, посредством НАТ, ходят несколько сотен абонентов. Они "натятся" на 3 реальных адреса: 1 - реальный адрес сервака 193.***.***.**. 2 - реальный адрес 195.***.*.10 3 - реальный адрес 195.***.*.11 Пришло письмо следующего вида: Включаю tcpdump (tcpdump -i eth0 dst port 25) на внешнем интерфейсе, полно записей вида: 12:39:04.827266 IP 195.***.*.11.60452 > mta-v3.mail.vip.gq1.yahoo.com.smtp: Flags [P.], seq 0:31, ack 45, win 16549, length 31 12:39:04.841176 IP 195.***.*.11.65454 > bay0-mc1-f.bay0.hotmail.com.smtp: Flags [P.], seq 0:24, ack 245, win 16499, length 24 12:39:04.841185 IP 195.***.*.11.65450 > mx1.hotmail.com.smtp: Flags [P.], seq 21:52, ack 432, win 16452, length 31 12:39:04.857570 IP 195.***.*.11.60456 > mta-v2.mail.vip.bf1.yahoo.com.smtp: Flags [P.], seq 0:23, ack 45, win 16549, length 23 12:39:04.857580 IP 195.***.*.11.60454 > mta-v3.mail.vip.gq1.yahoo.com.smtp: Flags [P.], seq 0:30, ack 45, win 16549, length 30 Включаю на внутреннем tcpdump -i eth1 dst port 25 - никаких движений. Делаю: iptables -А OUTPUT -o eth0 -s 195.***.*.11 -p tcp --dport 25 -j DROP iptables -A FORWARD -s 195.***.*.11 -p tcp --dport 25 -j DROP пакеты как ходили так и ходят. Что значит даная ситуация, почему пакеты идущие на 25 порт не видны на внутреннем интерфейсе? Меня взломали?

Мне этот способ не кажется проще. Это напрямую в базе нужно было делать или через веб-интерфейс можно?

Неа, версия свободная. Опции такой в конфиге нет, можно было бы просто добавить её, не тестили на свободной?

Хм, попробовал на тестовом: /usr/abills/libexec/periodic monthly MODULES=Dv DATE=2014-01-01 все списалось, что в принципе логично - дата активации ж. Ща сделаю дамп и попробую на рабочем. Думаю тему можно удалить как бестолковую.

По беспечности подумал, что достаточно закоментировать в /etc/crontab строку 31-го числа и раскоментировать 1-го, что бы ночью 2-го снялась абонплата. Само по себе, естественно, ничего не списалось. Вопрос: как списать деньги сегодня если стоимость всех ТП снимается в первый день, т.е. стоит 100 грн. и все они списываются 1 числа? На тестовом пробовал: /usr/abills/libexec/periodic monthly MODULES=Dv DATE=2014-01-02 /usr/abills/libexec/periodic monthly MODULES=Abon DATE=2014-01-02 деньги не списались. $ cat /usr/abills/libexec/config.pl ... @MODULES = ('Dv' ); ... Не понятно как списать абонплату если в config.pl указан только модуль Dv, а в настройках снятия денег Abon...

конечно выкладываю еще один из дополнительных комерческих утилит и дополнений http://abills.net.ua/forum/viewtopic.php?f=1&t=7141 таких у коммерческих пользователей десятки и они экономят время Благодарствую.

А реально ключ шифрования ($conf{secretkey}) сменить и при этом не потерять абонентские пароли? Если просто поменять в конфиге, то пароли коверкаются.

Это просто ЖЕСТЬ, все так и есть. madf, foreverok, спасибо вам огромное.

Я уже неделю бьюсь над такой же проблемой. Есть билинг на старом серваке база в latin1: mysql> show variables like 'collation%'; +----------------------+-------------------+ | Variable_name | Value | +----------------------+-------------------+ | collation_connection | latin1_swedish_ci | | collation_database | latin1_swedish_ci | | collation_server | latin1_swedish_ci | +----------------------+-------------------+ mysql> show variables like 'character%'; +--------------------------+----------------------------+ | Variable_name | Value | +--------------------------+----------------------------+ | character_set_client | latin1 | | character_set_connection | latin1 | | character_set_database | latin1 | | character_set_filesystem | binary | | character_set_results | latin1 | | character_set_server | latin1 | | character_set_system | utf8 | | character_sets_dir | /usr/share/mysql/charsets/ | +--------------------------+----------------------------+ 8 rows in set (0.00 sec) Снимаю дамп: mysqldump --hex-blob --skip-set-charset --default-character-set=latin1 -u root -p abills > abills.sql смотрю дамп - с кирилицей все в порядке. Делаю: #sed -e 's/latin1/utf8/g' -i abills.sql # sed -e 's/cp1251/utf8/g' -i abills.sql # sed -e 's/ENGINE=MyISAM/ENGINE=InnoDB/g' -i abills.sql #iconv -c -f cp1251 -t utf-8 abills.sql > abills.utf8.sql или же #iconv -f latin1 -t utf-8 abills.sql > abills.utf8.sql смотрю дамп - кирилица не читаема в обоих случаях. Я уже просто не знаю что можно попробовать. Куда смотреть? Что делать?

А дружит ли свитч с медиаконверторами? Кто-нибудь проверял?

Возник небольшой вопрос - при разбиение дисков на разделы оставались маленькие блоки свободного места: 512b на raid-разделах и 1.0 Mb вначале и конце таблицы разделов самих жестких дисков (как я понимаю из-за размера блока 128 KB, размер по-умолчанию). Стоит ли добиваться полного распределения или и так будет нормально. Понимаю, вопрос несколько надуманный, но как то некрасиво таблица сейчас выглядит.

Обновил прошивки с созданного загрузочного диска. Создал на контроллере два RAID0 - установщик их "видит", похоже все нормально. Хм, действительно. У нас на этом тазике FreeBSD была, так там да, в портах была спец утилька для мониторинга, правда без исходников в бинарном виде. Правда напрямую сквозь контроллер увидеть SMART дисков не удалось. А контроллер там простенький, как тут уже сказали - порождение Адаптека, вряд ли это можно назвать "лишним звеном", он ничего лишнего по сути не делает в таком режиме. Короче работало оно прекрасно, чего и вам под вашим линухом желаем. Спасибо, и вам всего наилучшего . А также спасибо всем кто откликнулся.

Думал о такой схеме, даст ли она возможность мониторить состояние дисков? И не нравится, что всё равно, так или иначе, рейд завязан на контроллере, лишнее звено в цепи...

Снял контроллер, под ним только сата порт (на материнке рядом метка), диски SAS - похоже не судьба включить напрямую. А если я на контроллере создам два raid 0 и загоню их в рейд mdadm - это нормальная практика или шаманство, даст ли это возможность мониторить состояние дисков (офф. утилит под дебиан нет)? P.S. Может в техподдерку обратиться?..

Есть данный сервер, на нем используется raid контроллер IBM ServeRAID-MR-10i. Хочу отказаться от использованния аппаратного контроллера и сделать все средствами Linux (Ubuntu 12.04) и mdadm, но когда я удаляю конфиг аппаратного рейда установщик не распознает дисков. Создаю рейд на контроллере - установщик его видит. Пробовал режимы IDE native и compability - березультатно (при аппаратно рейд диск распознается в обоих режимах). Собственно, возможно ли вообще на данном серваке и контроллере реализовать программный рейд?

Советую начать с данных статей, а потом уже задавать конкретные вопросы: habrahabr.ru /post/ 134892/ habrahabr.ru /post/ 123038/