1. 先準備好redis server
如何安裝redis
2.修改nextcloud 設定檔案
docker exec -it nextcloud bash
root@a764952ce51b:/var/www/html# vi config/config.php
###
<?php
$CONFIG = array (
'htaccess.RewriteBase' => '/',
'memcache.local' => '\\OC\\Memcache\\APCu',
'redis' => array(
'host' => '127.0.0.1',
'port' => 6379,
),
...
...
3. 重啟nextcloud , 然後回到redis 可下指令查看
redis 很常看到，好多容器都自帶這個服務，說是快取用的；今天問google查一下為何nextcloud很慢，答案都指向redis，因此還是裝一下redis，再來研究怎讓nextcloud使用。
1. 修改容器本體主機 /etc/sysctl.conf
vm.overcommit_memory = 1 net.core.somaxconn = 65535
修改完執行 sysctl -p 讓設定生效。
2. 執行redis(很好運的是，新版本6.2.12 與 7.0.11 一直出現 Fatal: Can’t initialize Background Jobs ，只好降版改用 6.2.11 )
docker run --name redis --restart=always -d -p 6379:6379 --sysctl net.core.somaxconn=511 redis:6.2.11 redis-server
為何sysctl 已經設定 somaxconn，指令還要設定一次? 我也不知道，反正這樣可行，以後有空再說。
nextcloud可以連接多個ldap server，這對於IT來說很方便。
隨著時間推移，越來越多使用者離職，帳號設定成停用，當我們確認可以刪除後，nextcloud卻無法正常透過UI介面刪除帳號，這會造成一些困擾；很懶的我後來我爬文，解方居然是下指令才能刪除，更麻煩的是只能一個一個帳號刪除，真真嚇死我。
好險有個神人寫shell script就能批次刪除。
for i in $(php occ ldap:show-remnants | awk -F'| ' '{print $2}'); do
echo "Delete user: $i"
php occ user:delete $i
done
因為我用的是容器(docker)，指令如下：
for i in $(docker exec -u www-data -it nextcloud php occ ldap:show-remnants | awk -F'| ' '{print $2}'); do
echo "Delete user: $i"
docker exec -u www-data -it nextcloud php occ user:delete $i
done
Done.
警告：刪除帳號會導致該帳號所有檔案一併被刪除。
前幾週有台測試用的RockyLinux 8硬碟壞了，因此換一顆新的也順便安裝最新的RockyLinux 9.2，沒想到反而造成系統不穩定。
我這三週，換了主板測試；換了CPU測試；換了內存測試；換了硬盤測試，這樣的循環測試，也各經歷了三台主機，但還是出問題，雖說這三台主機都是10年老機器，我不確定是否因為機器老舊RL 9對老機器支援度不高，但可以知道跟掛載有關，只要不掛載，就一切正常。
後來捨棄RL 9.2，重新安裝RL 8.8(之前壞的是8.5)，再開啟掛載mount cifs,nfs 功能，一切都正常了。
真是沒想到，Linux也開始不穩定了，希望只是RL9.2會這樣。
nextcloud的背景排程，預設為 AJAX，雖說nextcloud建議使用系統cron，但是nextcloud容器cron是「不啟用」的，每次改用Cron，還要進容器另外處哩，非常麻煩，容器升級又要做一次，折磨人啊 。 久而久之，nextcloud一律使用預設值AJAX，我測試過AJAX不會失敗(私、失敗しないので）。
直到最近我使用nextcloud的看板系統(Deck)，需要有「email通知 Deck系統裡 卡片異動通知」之功能，因此AJAX單人用還可以，但公司用我就得改用Cron，可是一想到要進容器啟用cron就覺得好煩，才來才知道我錯了。
原來改用cron意外地簡單!
不管是RockLinux、CentOS還是ubuntu，只要在容器宿主(Host)裡的cron，加上一條指令就完事了。
/usr/bin/docker exec -t -u www-data <容器名稱> php -d memory_limit=512M -f /var/www/html/cron.php
真是太棒了!
以下是排程我建議要執行的
docker exec -t -u www-data nextcloud php occ trashbin:expire --quiet
docker exec -t -u www-data nextcloud php occ versions:expire --quiet
docker exec -t -u www-data nextcloud php -d memory_limit=512M -f /var/www/html/cron.php
docker exec -u www-data -it nextcloud php occ files:scan --all
docker exec -u www-data -it nextcloud php occ files:scan --unscanned --all
我在2023年4月6日，將網站升級到6.2.0(docker版本) ： 回想起一開始升級時， 容器(container)為舊版， 我沒有採用拉取(pull)方式升級， 直接使用內建升級功能，可惜失敗了!出現找不到“sw-check-permissions-e2a8b.js”錯誤；於是我改用拉取最新容器方式升級, 而且成功了。
升級後，,我陸續寫了好幾篇文章，卻沒有發現網站已經有狀況了。直到今日(4月24日)，我在同事電腦，瀏覽自己網站時，防毒軟體居然跳出”木馬”警告，我才意識到出事了!
警告內容為「bujerdaz.com」這個網站有木馬；既然有明確網站名稱，肯定網站內有這些字眼，我馬上登入網站伺服器，搜尋了一番, 還真的有找到：
找到問題後, 接下來就是決定解決方式： 1、刪掉這一行含木馬之語法；2、查看看容器是否有最新版。
第一種做法「刪掉木馬語法」通常逼不得已才做；於是我先選擇第二種「查看容器是否有新版」，沒想到，一模一樣的6.2.0版本，居然有不同內容，這明顯是官方犯了錯誤！一般我們不會懷疑同版本容器，內容會被異動；若內容不同，必須進一個版號，並且昭告天下有修補版本! (官方並沒有說明)
這讓我以後升級需要多一個心眼，要以防毒軟體進行掃描，至少不要影響用戶端瀏覽網站。
—
2023/4/25 雖然升級新版容器，自以為問題已解決，沒想到問題還是在！仔細一看，是plugin外掛所造成的，難怪用新版容器還是無法解決，因「外掛」程式我繼續沿用，不因容器更換而刪除，當然「木馬」一直存在。我發現阻擋垃圾留言的外掛「akismet」，出現兩個版本： 一個5.0；另一個1.2。(理論上不該存在兩個版本) 版本1.2裡面寫到要連線 bujerdaz.com ，看起來應該是進行一些確認才允許留言，我認定非木馬程式，可能wordpress系統用太多年了，這次大版本升級造成兩個版本並存之現象；最後移除1.2版akismet，只留下5.0版本，就恢復正常了。另外，依照這邏輯，我的網站應該「有問題」很久了，真的很不好意思。
#wordpress
#virus
#Trojan
出事了阿伯! pve 某linux vm系統裡面有重要檔案誤刪，於是我把NAS上的snapshot還原(qcow2), 想說掛載到原vm成為另一個硬碟，再提取裡面的檔案使用。 這種土炮做法, 我記錄一下：
步驟4掛載的同時,出現以下問題
該partition為xfs
wrong fs type, bad option, bad superblock on /dev/vdd1, missing codepage or helper program, or other error.這問題應該是該還原的檔案, 與原本的檔案有相同UUID才導致無法掛載,
解法如下：
# xfs_db -c uuid /dev/vdc1
UUID = 56283b3b-c2f3-525e-90db-e9d26def629d
# 用無UUID方式掛載
# mount -t xfs -o nouuid /dev/vdc1 /mnt
# xfs_admin -U generate /dev/vdc1
Clearing log and setting UUID
writing all SBs
new UUID = 1eb81512-3f22-4b79-9a35-f22f29745c60Wireguard 與最近大熱門的ChatGPT一樣, 是邪惡的存在, 以往公司網管還能勉強管控員工自架VPN, P2P, 與遠端連線, 雖說辛苦,但員工相關網路行為終究掌握在手中.
現在不得了了, 使用wireguard技術的 Tailscale 已攔不住, 隨隨便便就能翻牆, 穿透內網. 我們網管就像是鯀, 治水用阻擋的方式不再可行 , 該是要全面開放, 採用全面零信任的思維+員工契約進行資通安全的管控.
“新暗網時代” , 用wireguard, 能讓一個小群體, 自成一個暗網, 也可自行打造VPN暗黑王國, 市面上網紅推薦的乾爹乾爸VPN, 未來亦將勢微.
本文著重在翻牆, 與簽入公司內部網路, 若用來做site to site請參考以下 tailscale 建議, 直接用Wireguard 比較好.
Using WireGuard directly offers better performance than using Tailscale. Tailscale does more than WireGuard, so that will always be true. We aim to minimize that gap, and Tailscale generally offers good bandwidth and excellent latency, particularly compared to non-WireGuard VPNs.環境
架設Headscale+UI
# 存放headscale設定檔按
mkdir -p /root/headscale/config
mkdir -p /root/headscale/data
# 虛擬網路
docker network create reverseproxy-nw
vi /root/headscale/docker-compose.yml
###############################################################################
version: '3.5'
services:
headscale:
image: headscale/headscale:0.21
container_name: headscale
volumes:
- '~/config:/etc/headscale'
- '~/data:/var/lib/headscale'
ports:
- 8081:8080
- 50443:50443
command: headscale serve
restart: unless-stopped
networks:
reverseproxy-nw:
headscale-ui:
image: ghcr.io/gurucomputing/headscale-ui:latest
restart: unless-stopped
container_name: headscale-ui
ports:
- 9443:443
networks:
reverseproxy-nw:
networks:
reverseproxy-nw:
external: true
volumes:
data:
driver: local
config:
driver: local
###############################################################################wget https://github.com/juanfont/headscale/raw/main/config-example.yaml -O /root/headscale/config/config.yaml# 下載完畢, 修改yaml檔案中以下參數
server_url: https://headscale.test.com
listen_addr: 0.0.0.0:8080
base_domain: test.com
#是否改寫用戶端dns,請自行測試, 依照需求決定
override_local_dns: true
# 提供(expose)給用戶端dns
nameservers:
- 1.1.1.1
- 8.8.4.4
# 公司內部專用網址,可分別參考不同dns
restricted_nameservers:
test.com:
- 192.168.1.1
# 停用magic dns
magic_dns: false
#其他如derp, 有機會再另外寫文章cd /root/headscale
docker-compose up -d<VirtualHost *:443>
ServerName headscale.test.com
ErrorLog /var/log/httpd/ssl_error_log
TransferLog /var/log/httpd/ssl_access_log
SSLEngine On
SSLCertificateFile /etc/letsencrypt/live/headscale.test.com/cert.pem
SSLCertificateKeyFile /etc/letsencrypt/live/headscale.test.com/privkey.pem
SSLCACertificateFile /etc/letsencrypt//live/headscale.test.com/fullchain.pem
SSLProxyEngine On
ProxyPreserveHost On
Header add Access-Control-Allow-Origin "test.com";
SSLProxyCheckPeerName off
ProxyPass /web https://localhost:9443/web
ProxyPassReverse /web https://localhost:9443/web
ProxyPass / http://localhost:8081/ upgrade=any
ProxyPassReverse / http://localhost:8081/ upgrade=any
</VirtualHost>https://headscale.test.com/windows
docker exec -it headscale headscale apikey create
# 建立使用者
# docker exec headscale headscale users create <使用者>
docker exec headscale headscale users create hlmtvpn# 產生authkey, 讓tailscale端點使用
docker exec headscale headscale --user hlmtvpn preauthkeys create --reusable --expiration 24h1. 列出 tailscale 端點
docker exec headscale headscale node list
2. 刪除 tailscale 端點
docker exec headscale headscale node delete -i <ID>
docker exec headscale headscale node delete -i 1
3. 列出 tailsacle 路由
docker exec headscale headscale route list
4. 啟用路由功能
docker exec headscale headscale route enable -r <ID>
5. 刪除路由表
docker exec headscale headscale route delete -r <ID> --force
公司架設tailscale 端點
curl -fsSL https://pkgs.tailscale.com/stable/ubuntu/jammy.noarmor.gpg | sudo tee /usr/share/keyrings/tailscale-archive-keyring.gpg >/dev/null
curl -fsSL https://pkgs.tailscale.com/stable/ubuntu/jammy.tailscale-keyring.list | sudo tee /etc/apt/sources.list.d/tailscale.list
sudo apt-get update
sudo apt-get install tailscale
# http://headscale.test.com:8080是 headscale對外的URL
# d72e7351e24bbd21ecc99bbf5004c3e1f7cffa0631f8f5d5 是 authkey
# nat , 翻牆
tailscale up --reset --accept-routes --advertise-exit-node --snat-subnet-routes=true --accept-dns=false --advertise-routes=192.168.1.0/24 --login-server=https://headscale.test.com --authkey=d72e7351e24bbd21ecc99bbf5004c3e1f7cffa0631f8f5d5
# site to site , 不翻牆
tailscale up --reset --accept-routes --snat-subnet-routes=false --accept-dns=false --advertise-routes=192.168.1.0/24 --login-server=https://headscale.hlmt.com.tw --authkey=d72e7351e24bbd21ecc99bbf5004c3e1f7cffa0631f8f5d5
# 主機為vp, 不需要對外ip, 只要內網ip, 可上網, 要加上forward功能
# https://tailscale.com/kb/1019/subnets/
echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p /etc/sysctl.conf#列出路由表
docker exec headscale headscale route list
#啟用路由
docker exec headscale headscale route enable -r <ID>
公司主要路由(router), 須額外設定靜態路由
若需要做到site to site
PC 用戶端安裝tailscale端點(可翻牆)
cd C:\Program Files\Tailscale
tailscale login --login-server https://headscale.test.com --exit-node=<headscale ip 可為headscale server local ip> --exit-node-allow-lan-access=true
此時網頁會出現一串指令, 請將該node key 給管理人員註冊
**這邊要注意的是網址指令裡面的 USERNAME , 是一開始 headscale 新增的使用者帳號.
# 管理人員到headscale主機註冊
docker exec headscale headscale nodes register --user hlmtvpn --key nodekey:32a95789aa71c2dc7ccfa43a16cf1cff575e318c0a67117370ec9c847ff76828若管理人員註冊完成, PC上面的tailscale會自動登入, 代表註冊成功, 此時可以選擇變身成公司tailscale 端點(如下圖 william-standard-pc-i440fx-piix-1996) , 就可以以公司ip的名義上網翻牆, 當然也可也存取公司內網(tiptop erp不行).
Android
我打算用OPNsense取代目前老舊的硬體防火牆(Fortigate 80C) , 後來透過OPNsense 外掛, 試了suricata, AdGuard Home, tailcale , wireguard , 總共花了我2周的時間, 對於VPN, site to site , point to site 也都玩了一輪.
其中對於VPN心得:
wireguard 設定檔簡單解釋如下, 檔案為/etc/wireguard/wg0.conf, 該設定檔可形成 site to site , 但我在Linux設定一直失敗, 只能用NAT方式,最後發現OPNsense才能做到真正的site to site 功能, 太怪了!
[Interface] # Site A # private key PrivateKey = CG0svjlK7NdZ3U0MdYQzBHx7adDi1p2UlhPFXdH4HHw= # Site A Tunnel IP Address = 10.1.0.1/32 ListenPort = 51820 [Peer] # Site B public key , tunnel ip 10.1.0.2/32 PublicKey = Jkdn621+amuCV8Wj7YQLMydtE9GO5kpq+oZdK/17XAY= # 允許Site B內網, 以及Site B的tunnel ip AllowedIPs = 10.1.0.2/32,10.176.5.0/24 Endpoint = <Site B 對外ip>:51820 PersistentKeepalive = 25 [Peer] # Site C public key , tunnel ip 10.1.0.3/32 PublicKey = VaVaSY6SkizEhexj9vSTkzKgaIo5MwMnulu6I/D+iAI= # 允許Site C內網, 以及Site C的tunnel ip AllowedIPs = 10.1.0.3/32,192.1.0.0/22 Endpoint = <Site B 對外ip>:51820 PersistentKeepalive = 25
