RedHat/CentOS のphp/curlでGMO決済にsslで蹴られる現象の対応

linux

GMO側がPCI DSS対応でTLS 1.2のみでの接続となってる。で、CentOS6でcurlで接続すると、
rpmでinstallされているcurl/opensslはtls 1.2に対応しているにも関わらずSSL Connect Errorで弾かれる。
(正確にはcurl直叩きではなくてphpから呼び出すcurl)

curl-7.19.7
openssl-1.0.1e

http://php.net/manual/ja/function.curl-setopt.php

この辺見ていると、curlで接続するSSLのバージョンは
CURLOPT_SSLVERSIONで定義されて、デフォルトはCURL_SSLVERSION_DEFAULT

CURL_SSLVERSION_DEFAULT 0
CURL_SSLVERSION_TLSv1 1
CURL_SSLVERSION_SSLv2 2
CURL_SSLVERSION_SSLv3 3
CURL_SSLVERSION_TLSv1_0 4
CURL_SSLVERSION_TLSv1_1 5
CURL_SSLVERSION_TLSv1_2 6


CURL_SSLVERSION_DEFAULTが何なのかが調べてもわからなかったけど
挙動を見ている限り、tls 1.0 で接続しているぽい。
(RedHat6からopensslからNSSに変更になったのが関係してそう)

解決策

php、curl側でtls v1.2を指定する。
CURL_SSLVERSION_TLSv1かCURL_SSLVERSION_TLSv1_2。
(TLSv1は1.0ではなくてTLS1全部)

php

$ch = curl_init();
curl_setopt($ch, CURLOPT_SSLVERSION, 1);

curl --tlsv1.2 を指定する。

解決策2

nssじゃなくてopensslだといけるらしいので、curl、phpをソースで頑張っていれる。
アプリケーション側でどうしてもオプション指定できない場合はこっちで？

stunnel でtlsで鍵認証をした上でsshする

linux

ずばり探し求めてたの発見。

wifiなどでoutboundが80,443だけに制限されている場合、
aws上のサーバなどにsshが出来ない。

てっとり早い対応はsshのportを443に変えてしまう。
sshdの設定で鍵認証だけを有効にしていれば、
ポートスキャンや総当たり攻撃をされても基本的に問題はない。

けど、せっかくなのでもう少しマシな接続方法を検討して調べたら
stunnelでtlsでクライアント認証を必須にする方法を発見。

opensslで作った証明書でクライアント認証を必須にしたstunnelの通信を設定
sshはそのstunnelを経由して行う

古いlinux(fedora core、centos)をp2vする

linux

mdadmを使っているためvmware converterが使えなくて、ssh+tarでp2vする場合の注意点。

参考: http://hogem.hatenablog.com/entry/2016/02/12/233000

inode size

移行先の仮想マシンで何も考えずにmkfsしてinode sizeが256になっていると、
移行元のgrubのバージョンが古いためgrubが入らない。
mke2fsでinode size 128でmkfsしておく。

http://kb.kristianreese.com/index.php?View=entry&EntryID=113

mke2fs -L / -I 128 -F -j -O dir_index /dev/sda1

modprobe

ドライバが古いから/dev/sdaを認識できない場合
http://www.vcdx.nl/2012/11/06/kernel-panic-not-syncing-attempted-to-kill-init/
/etc/modprobe.conf

alias scsi_hostadapter mptbase
alias scsi_hostadapter1 mptscsi
alias scsi_hostadapter2 mptscsih
alias scsi_hostadapter3 mptfc
alias scsi_hostadapter4 mptspi
alias scsi_hostadapter5 mptsas

からmkinitrdする。

ansibleで牛がしゃべるようになってた

linux ansible

久々に触ったら突然牛が出てきてうけた。
正確にいうとansibleは何も変わってなくて、サーバにcowsayがinstallされたからだった。

 _____________
< PLAY [hoge] >
 -------------
        \   ^__^
         \  (oo)\_______  
            (__)\       )\/\
                ||----w | 
                ||     ||

cowsayがinstallされていたらdefaultで牛がしゃべる。

さよなら牛さん

エラーのときにこの牛見るとイラっとするので無効にしておいた。

  • /etc/ansible/ansible.cfg
nocows = 1

syslogで受けとったメッセージをアプリケーションで直接読む

linux

久々の更新。
man 5 rsyslog.conf

Named pipes
This version of rsyslogd(8) has support for logging output to named pipes
(fifos). A fifo or named pipe can be used as a destination for log messages
by prepending a pipe symbol (’|’) to the name of the file. This is handy for
debugging. Note that the fifo must be created with the mkfifo(1) command
before rsyslogd(8) is started.

rsylsog.confに直接コマンド書くのかなと思ったけど、そうではなくて名前付きパイプに出力するらしい。
(名前付きパイプはmkfifoで事前に作っておく)
あとはアプリケーションでその名前付きパイプを開けば良い。