藍天浮雲

我印象中第一次在 FreeBSD 上灌 MySQL 的時候應該是高一吧。那時候不知道怎麼用 mysql 改 root 的密碼，因為國中都用 phpMyAdmin，對 SQL 一無所知。

自從暑假用 MySQL 當作 mail server 的 backend，就開始學 SQL 了。一直用 phpMyAdmin 不是辦法。當然，最重要的指令就是更改 root 的密碼了。

安裝、啟動 MySQL 之後，進入命令列：

# mysql
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 80
Server version: 5.1.40-log FreeBSD port: mysql-server-5.1.40

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

mysql>

第一次看到這個就傻眼了，因為不知道該做什麼。其實很簡單，只要執行：

mysql> UPDATE mysql.user SET password = PASSWORD('newpass') WHERE user = 'root';
mysql> FLUSH PRIVILEGES;

就可以更換 root 的密碼了（記得把「newpass」改成自己的密碼）。

UPDATE 是更新 mysql 資料庫裡的 user table。SET 是設定，PASSWORD 是 MySQL 內建的 hash function，用來加密密碼。後面的 WHERE 限制更改使用者為 root 的密碼。最後 FLUSH PRIVILEGES 會告訴 server 重新載入權限的資訊。

其實 glabel 在 FreeBSD 上是一個很實用的程式，不過平常可能很少聽到他。之前灌 FreeBSD 有提過 glabel。

當硬碟、隨身碟插在不同的 port，名稱會變來變去。硬碟可能從 /dev/ad0 變成 /dev/ad1，隨身碟可能從 /dev/da3 變成 /dev/da7。原因是作業系統通常指認得硬體插在主機板上那一個 port。

如果插在不同電腦或 port 上名稱會改變是一件非常麻煩的事。因此，就會想給他一個固定的名稱。此時，glabel 就可以發揮公用。

因為 glabel 會將資料寫入硬體當中，因此必須先卸載裝置才能 label 上去。最簡單的方式就是重新開機，然後進入「single user mode」。

使用 glabel 前請先確認 kernel 是否有加 GEOM_LABEL 這個選項（GENERIC 預設有）或有 geom_label.ko 這個模組。沒有的話，請先重新編譯 kernel。

進入 single user mode 之後就可以開始下 # glabel label -v name dev（-v 會增加訊息的詳細程度）。

之前灌新的 mail server 的時候，我就開始用 glabel 了（主要原因其實是建 RAID-Z）。按照 /etc/fstab 的順序 label 比較不會搞混或漏掉：

# glabel label -v swap /dev/ad4s1b
# glabel label -v root /dev/ad4s1a
# glabel label -v home /dev/ad4s1g
# glabel label -v tmp /dev/ad4s1e
# glabel label -v usr /dev/ad4s1f
# glabel label -v var /dev/ad4s1d

標完後可以用 # glabel status 或 # glabel list 看結果：

# glabel status
       Name  Status  Components
 label/root     N/A  ad4s1a
 label/swap     N/A  ad4s1b
  label/var     N/A  ad4s1d
  label/tmp     N/A  ad4s1e
  label/usr     N/A  ad4s1f
 label/home     N/A  ad4s1g

確定 label 成功後就更新一下 /etc/fstab ：

# Device                Mountpoint      FStype  Options         Dump    Pass#
/dev/label/swap         none            swap    sw              0       0
/dev/label/root         /               ufs     rw              1       1
/dev/label/home         /home           ufs     rw              2       2
/dev/label/tmp          /tmp            ufs     rw              2       2
/dev/label/usr          /usr            ufs     rw              2       2
/dev/label/var          /var            ufs     rw              2       2

下次開機就會使用這些 label 了。重新開機前，請再三確認 label 有成功和 /etc/fstab 沒有錯誤，因為沒弄好的話可能無法開機，需要用救援光碟去救回來。

這樣就完成了。Man page 上有更詳細的說明。

熟悉 BSD、Unix、Linux 的人應該都聽過 SSH 這個協定。SSH 主要用途是遠端登入，不過也可以做 port forwarding、tunneling（通常用來鑽防火牆）、SOCKS 或用來傳檔案。SSH 之所以會出現是要取代 telnet 等程式，因為 telnet 連線未經過加密，容易被竊聽。

這篇會提到怎麼架 OpenSSH 和一些常用的指令。

大部分的 BSD、Unix、Linux 作業系統上都有 SSH 的程式，其中使用最廣泛的應該是 OpenSSH。OpenSSH 是由 OpenBSD 的開發者開發。

OpenSSH 是 OpenBSD 的一個部分，而開發的時候會釋出一個「portable」的版本，可以移植到其他作業系統。目前 FreeBSD 7.2 的 base 包含 OpenSSH 5.1p1。

繼續閱讀文章 »

架好 FreeBSD 或 Linux 之後，常常見到的一個現象就是 SSH 持續的遭受攻擊。在 security run output 會看到這樣的訊息：

ns.hs.ntnu.edu.tw login failures:
Oct 30 02:25:01 ns sshd[12801]: Invalid user master from 140.124.62.197
Oct 30 07:13:22 ns sshd[14529]: Invalid user globus from 213.99.38.3
Oct 30 07:13:31 ns sshd[14535]: Invalid user condor from 213.99.38.3
Oct 30 07:13:32 ns sshd[14534]: Invalid user cadi from 213.99.38.3
Oct 30 07:26:44 ns sshd[14591]: Invalid user simoni from 124.193.106.107

看到就覺得很煩，因為每天都有，而且若不阻檔的話，可能會有數千比，系統也有機會遭到入侵。

為了阻擋 SSH brute force，我在 FreeBSD 上裝了 security/sshguard-pf，sshguard 的好處是他可以判別很多種紀錄檔，也支援許多種防火牆。另外，也可以調整多久時間內登入失敗幾次，還有要擋掉多久。

目前可以判讀這些軟體的紀錄檔：

• OpenSSH
• Dovecot
• Pure-FTPd
• ProFTPD

支援的防火牆包含：

• PF（FreeBSD、OpenBSD、NetBSD、DragonFly BSD）
• IPFW（FreeBSD、Mac OS X）
• iptables（Linux）

繼續閱讀文章 »

自從上週慘痛的經驗，已經打算將備份做完善一點。今天晚上寫了這個 shell script，用來備份系統資料、設定檔。因為檔案不多，只用 cp 和 tar 來完成，沒有用到 net/rsync。

這個 shell script 還有很多要修改的地方（主要是讀取參數的部分），不過應該還可以用。

繼續閱讀文章 »

最星期買了兩條 Cat 6 的網路線（3 公尺，$130），想試試 lagg。在 FreeBSD 上，lagg 提供了 failover、fec（又稱 loadbalance）、lacp 等功能。比較常用的應該是 failover 與 lacp。

• failover：這個模式可以設定主要與次要的網卡，當主要網卡無法使用時，會自動換成次要網卡
• lacp：此模式會將流量分散在各個網卡當中，而硬體有變化時會自動偵測並更改設定

這兩個設定當中，lacp 比較麻煩一點，因為 switch 必須支援，也需要一些額外的設定。

繼續閱讀文章 »