読者です 読者をやめる 読者になる 読者になる

うまいぼうぶろぐ

linuxとhttpdとperlのメモ

big-ip ipv6 nat memo

bigip

VirtualServeripv6
Poolにはipv4で作成したものを割り当てた場合、
通信失敗にはならなくて、自動的にbig-ipのv4のaddressでnatされてserverに送信される
(snat automapしたときと同じ)

big-ip virtualserverに適用しているdefaultのSNIを入れ替える

bigip

やや面倒?

clientssl-foo: foo.example.com sni default
clientssl-bar: bar.example.com

これを
virtualserver example.com-httpsに適用している状態で
bar.example.com をsniのdefaultにしたい

前提:
virtualserverに設定する段階では
複数のclient sslprofileを適用する場合は
どれかひとつにだけsni defaultを適用している状態でしか設定できない

SSLのエラーが出ても良い場合

virtualserverから全部clientssl profile外す

  • clientssl-foo のsni defaultを外す
  • clientssl-bar にsni defaultを設定する

SSLのエラーを出さずに入れ替える

設定するときは最低1つのsni のprofileが必要だけど、
なぜかその状態から外すことはできるのでこれを利用する。

clientssl-foo2: foo.example.com を作成
(clientssl-fooと利用する証明書は同じでsni defaultだけ外す)

clientssl-bar2: bar.example.com を作成 sni default
(clientssl-barと利用する証明書は同じでsni defaultを設定)

virtualserver の設定で
clientssl-foo
clientssl-bar
を外して、代わりに
clientssl-foo2
clientssl-bar2
を追加して反映

abとh2load の違い

http

ubuntu 14 LTS
abはOSのapt
h2loadは公式のsourceから取ってきたもの。

serverはHTTP/2対応ではなくて、HTTP/1.0、HTTP/1.1対応のserverで実験

abはHTTP/1.0で接続

  • keepaliveなし "Connection: close"
  • よってnginxのdefaultだと圧縮されない

- http://nginx.org/en/docs/http/ngx_http_gzip_module.html
- gzip_http_version 1.0; すればHTTP/1.0でも圧縮を返す

h2loadはHTTP/1.1

  • keepaliveあり "Connection: keepalive"

http benchmark ツール h2load

http

nghttp2 に含まれるh2load が便利らしい

gitからとってきてコンパイルする。
libev、libevent等はyumで適当にいれる。
h2load使う場合はconfigure --enable-app する。
が、libspdylayがないと怒られた。
yumにもなかったのでこれも別途取ってこようとしたけど
めんどくさくなったのでubuntuでやりなおす。

sudo apt-get install g++ make binutils autoconf automake autotools-dev libtool pkg-config \
  zlib1g-dev libcunit1-dev libssl-dev libxml2-dev libev-dev libevent-dev libjansson-dev \
 libjemalloc-dev cython python3-dev python-setuptools
autoreconf -i
automake
autoconf
./configure --enable-app
make
sudo make install


引数はabに似ている。
httpの場合はdefaultのprotocolがh2c(平文のHTTP/2)で、(clear textのc?)
通常のサーバにたいしては失敗するので-p http/1.1 をつける。

httpsの場合はhttp/2に対応していればh2で、対応していなければhttp/1.1で再接続してくれる。

h2load -c 100 -n 10000 -p http/1.1 http://myserver.example.com

Big-IPでsorry serverにredirectする

bigip

poolが全滅、あるいはconnectioin limitにひっかかった場合にsorryサーバにリダイレクトさせたい場合。

connection limit入れたい場合

sorryサーバにリダイレクトしたい時に接続数制限をする場合はPoolのconnection limitを設定する。

VirtualServerでConnectionLimitを入れると、
接続数overの場合に、L4のレベルで切断される(ブラウザで見ると真っ白のまま)のでNG。

方法1

http profileのFallback Hostにリダイレクト先を設定する。
Fallback on Error Codes はwebサーバからの応答で特定のエラーコードが返ってきた場合にもsorryサーバにリダイレクトさせたい場合に設定。
リダイレクト先は1種類で固定

方法2

(実は今までずっとこっちでやっていた)
iruleでpoolのactive memberの数を判定して、1以下の場合に
sorryサーバにリダイレクトするように設定する。

iruleなので書き方によってはsource ipやurlによって
リダイレクト先のsorryサーバを柔軟に設定できる。

when HTTP_REQUEST {
  if {[active_members [LB::server pool]] < 1 } {
    redirect to "http://sorry.example.com/"
  }
}

linuxでVMwareのvmdkイメージをmountする話

linux vmware

ストレージの機能で仮想マシンのイメージをsnapshotでとっていても、
実際にそのvmdkから特定のファイルを復旧する場合は、
そのsnapshotのファイルをコピーしてインベントリに登録、、、などまあまあ面倒。
だったらいっそのことvmdkを直接mountしたらええやんと思って調べた。

結論を書くと、vmwareのツールでは稼働中の仮想マシンのファイルは
snapshotでも参照できなかったのでkvmのguestfs使った。

VMware vSphere Virtual Disk Development Kit をdownload、install。versionはvsphereにあったもの。

fuseを使っているので必要なら入れる

# yum install fuse-libs

VMware-vix-disklibを展開したら出てくるinstall perlを実行

# perl vmware-install.pl -d

使い方

partition一覧を表示: -p

# vmware-mount -p test.vmdk 
Nr      Start       Size Type Id Sytem                   
-- ---------- ---------- ---- -- ------------------------
 1       2048    1024000 BIOS 83 Linux
 2    1026048    4194304 BIOS 82 Linux swap
 3    5220352   57694208 BIOS 83 Linux

どのパーティションを何でmountしていたかは各仮想マシンによるけど、
この例は1が/boot、2がswap、3が/

mountする:

# vmware-mount test.vmdk 3 /mnt

ただし、起動状態だとmountできない(readonlyでも)ようなので、
いくらread-onlyのsnapshotでもVMが起動しているとmountできないみたい。
こりゃアカン。

libguestfs でmountする

結局HDDイメージなんだからkvmで使ってたブツでいけんじゃね?と思ってやったらできた。
http://hogem.hatenablog.com/entry/20120204/1328321337

仮想マシン起動中に書き込むとファイルシステムが壊れるのでreadonlyでmount。
確実にいくなら(netappのようにsnapshotはreadonlyになっている場合は)snapshotのファイルを使う
CentOS6.7の最新のguestfishだと-iは失敗したので手動でmountする。

# cd .snapshot/hourly.0/
# guestfish -r -a test.vmdk
><fs> run
><fs> df
libguestfs: error: df: do_df: you must call 'mount' first to mount the root filesystem
><fs> list-filesystems
/dev/sda1: ext4
/dev/sda2: swap
/dev/sda3: ext4
><fs> mount /dev/sda3 /

後はcopy-outでファイルを取り出す。

><fs> copy-out /etc/hosts /tmp/hosts.old

RedHat/CentOS のphp/curlでGMO決済にsslで蹴られる現象の対応

linux

GMO側がPCI DSS対応でTLS 1.2のみでの接続となってる。で、CentOS6でcurlで接続すると、
rpmでinstallされているcurl/opensslはtls 1.2に対応しているにも関わらずSSL Connect Errorで弾かれる。
(正確にはcurl直叩きではなくてphpから呼び出すcurl)

curl-7.19.7
openssl-1.0.1e

http://php.net/manual/ja/function.curl-setopt.php

この辺見ていると、curlで接続するSSLのバージョンは
CURLOPT_SSLVERSIONで定義されて、デフォルトはCURL_SSLVERSION_DEFAULT

CURL_SSLVERSION_DEFAULT 0
CURL_SSLVERSION_TLSv1 1
CURL_SSLVERSION_SSLv2 2
CURL_SSLVERSION_SSLv3 3
CURL_SSLVERSION_TLSv1_0 4
CURL_SSLVERSION_TLSv1_1 5
CURL_SSLVERSION_TLSv1_2 6


CURL_SSLVERSION_DEFAULTが何なのかが調べてもわからなかったけど
挙動を見ている限り、tls 1.0 で接続しているぽい。
(RedHat6からopensslからNSSに変更になったのが関係してそう)

解決策

phpcurl側でtls v1.2を指定する。
CURL_SSLVERSION_TLSv1かCURL_SSLVERSION_TLSv1_2。
(TLSv1は1.0ではなくてTLS1全部)

php

$ch = curl_init();
curl_setopt($ch, CURLOPT_SSLVERSION, 1);

curl --tlsv1.2 を指定する。

解決策2

nssじゃなくてopensslだといけるらしいので、curlphpをソースで頑張っていれる。
アプリケーション側でどうしてもオプション指定できない場合はこっちで?