Beiträge von Roman

  • Apache unter CentOS7 (LXC) Autostart

    Hallo zusammen,


    ich habe festgestellt, dass auf 2 Testsystemen, welche als LXC-Container unter CentOS 7 betrieben werden, der Autostart von Apache/HTTPD fehlschlägt:



    Der Fehler "Failed to kill control group: Invalid argument" sowie der fehlgeschlagene Kill sind mir bisher unter LXC unbekannt, deuten aber wohl darauf hin, dass irgendetwas mit cgroups getan werden soll, die unter LXC nicht zur Verfügung stehen.


    Interessant ist, dass der Apache, sobald er manuell neu gestartet wird, wieder fehlerfrei funktioniert.


    Da ich mich nun durch diverse Bugposts gewühlt habe, die allerdings alle keinen Erkenntnisgewinn mit sich brachten freue ich mich über jede Hilfe hier aus der Community.


    Vielen Dank!

  • NGINX mit MBSTRING

    Hallo und guten Tag :)


    Ich habe dank der Hilfe von Herrn Keppler nun LiveConfig mit NGINX unter CentOS 7 in Betrieb nehmen können.


    Nun stelle ich fest, dass die MBStrings-Erweiterung in PHP nicht geladen wird. Da ich bisher hauptsächlich unter Debian 7/8 gearbeitet habe wundert mich das schon sehr, zumal php-mbstring installiert ist:



    Muss die Erweiterung in LC selbst noch in die PHP-Einstellungen geschrieben werden? Würde ich dies nun manuell hinterlegen würde LC diese Einstellungen ja ggf. überschreiben...?


    LG

  • Nach LiveConfig-Update: fatal: no SASL authentication mechanisms

    Dovecot lief allerdings. Ich habe die Dovecot-Konfiguration erneut durch eine Änderung in LC überschrieben. Hier wurde auch ein Fehler in LC ausgegeben, der ausgab, dass die Konfiguration nicht geschrieben werden konnte (?) - nach einem Ändern eines beliebigen Parameters und einem Neustart von LC war alles wieder funktionsfähig.

  • Nach LiveConfig-Update: fatal: no SASL authentication mechanisms

    Guten Morgen,


    nach dem letzten LiveConfig-Update läuft der Mail-Server leider nicht mehr wie gewünscht:



    Code
    Apr 19 08:41:03 test postfix/smtpd[15233]: warning: SASL: Connect to private/auth failed: Connection refused
Apr 19 08:41:03 test postfix/smtpd[15233]: fatal: no SASL authentication mechanisms


    Das ist nun verwunderlich - die Config wird durch LC verwaltet:


  • Internal Server Error unter CentOS 7

    Hallo Herr Keppler,


    genau das ist hier meine Überlegung - eigentlich wäre hier eine entsprechende Einsatzmöglichkeit mit SELinux ja wünschenswert.


    Ihr Installer gibt ja auch an, welche Sicherheitseinstellungen nachträglich durchgeführt werden sollen - denen bin ich hier gefolgt.


    Aktuell erhalte ich folgendes in den Logs:


    HTML
    type=AVC msg=audit(1460626058.796:717): avc:  denied  { getattr } for  pid=4161 comm="php-cgi" path="/var/www/web1/htdocs" dev="dm-0" ino=777 scontext=system_u:system_r:httpd_sys_script_t:s0 tcontext=unconfined_u:object_r:user_home_t:s0 tclass=dir
type=SYSCALL msg=audit(1460626058.796:717): arch=c000003e syscall=4 success=no exit=-13 a0=7fc739f9c040 a1=7ffe9f39afb0 a2=7ffe9f39afb0 a3=1d items=0 ppid=3291 pid=4161 auid=4294967295 uid=10001 gid=10001 euid=10001 suid=10001 fsuid=10001 egid=10001 sgid=10001 fsgid=10001 tty=(none) ses=4294967295 comm="php-cgi" exe="/usr/bin/php-cgi" subj=system_u:system_r:httpd_sys_script_t:s0 key=(null)

  • Internal Server Error unter CentOS 7

    Guten Abend,


    ich bin mir fast sicher, dass ich eine Kleinigkeit übersehen habe - ich komme allerdings aktuell nicht darauf.


    Ich habe LiveConfig sowie das dazu gehörige Meta-Paket unter CentOS 7 installiert.


    Nun erhalte ich bei jedem Aufruf einer Seite eines Abonnements folgende Fehlermeldung in den Logs:


    Code
    tailf /var/log/httpd/error_log 
[Wed Apr 13 19:28:23.711156 2016] [negotiation:error] [pid 18740] (13)Permission denied: [client xxx.xxx.xxx.xxx:58191] AH00686: cannot read directory for multi: /var/www/web1/htdocs/


    bzw


    Code
    [Wed Apr 13 19:32:59.733979 2016] [fcgid:warn] [pid 19012] (104)Connection reset by peer: [client xxx.xxx.xxx.xxx:58276] mod_fcgid: error reading data from FastCGI server
[Wed Apr 13 19:32:59.734028 2016] [core:error] [pid 19012] [client xxx.xxx.xxx.xxx:58276] End of script output before headers: test.php
/bin/sh: php-fcgi-starter: Permission denied
[Wed Apr 13 19:33:00.451672 2016] [fcgid:warn] [pid 19011] (104)Connection reset by peer: [client xxx.xxx.xxx.xxx:58278] mod_fcgid: error reading data from FastCGI server
[Wed Apr 13 19:33:00.451708 2016] [core:error] [pid 19011] [client xxx.xxx.xxx.xxx:58278] End of script output before headers: test.php


    Nun wundert mich vor allem das "/bin/sh: php-fcgi-starter: Permission denied".


    Die Zugriffsrechte für das Kunden-Verzeichnis sehen gut aus:


    Code
    drwxr-x---. 2 web1   apache  6 13. Apr 19:25 apps
drwxr-x---. 3 apache web1   17 13. Apr 19:25 conf
drwxr-x---. 3 web1   apache 35 13. Apr 19:32 htdocs
drwxr-x---. 3 apache web1   50 13. Apr 19:53 logs
drwxr-x---. 2 web1   web1    6 13. Apr 19:25 priv
drwxrwx---. 2 web1   apache  6 13. Apr 19:25 tmp


    Und auch php-fcgi-startet ist vorhanden:


    Code
    /var/www/web1/conf/php5
insgesamt 12
-r-xr-x---. 1 web1 web1  215 13. Apr 19:32 php-fcgi-starter
-rw-r--r--. 1 root web1 5038 13. Apr 19:32 php.ini


    Ich freue mich über jeden Denkanstoß :)

  • Brute-Force-Behandlung - Best Practices in Verbindung mit LiveConfig

    Hallo zusammen,


    ich habe eine scheinbar einfach zu beantwortende Frage: Wie sichert ihr auf LC-Systemen die Webseiten eurer Kunden gegen Brute-Force-Angriffe?


    Wir setzen hier aktuell auf Fail2Ban und ModSecurity - allerdings ist Fail2Ban meiner Erfahrung nach bei einem höheren Log-Volumen schnell ein echter Ressourcenvernichter.


    Auch bieten ja einige Rechenzentren DDOS-Protections an, die z.B. einen Synflood erkennen und filtern, was allerdings bei BruteForces durch Botnetze in vielen Fällen wenig Erfolg verspricht.


    Mich würde interessieren: Wie sieht das bei euch aus? Was hat sich bewährt, was läuft z.B. mit LiveConfig gut Hand in Hand und was hat sich nicht bewährt?


    Beste Grüße und ein schönes Osterfest.

  • FTP - Pfadangaben?

    Guten Tag,


    mir fällt auf, dass LC bei der Behandlung von FTP-Benutzern häufiger Pfade wie //priv oder //irgendein-ordner


    Bei vielen Anwendern löst dies Unsicherheit aus. Ist dies ein Bug oder ein Feature? ;)

  • LiveConfig - Migration bestehender Multiserver-LCCLIENTS in anderes RZ

    Guten Abend,


    Ich habe eine - derzeit noch theoretische - Frage:


    Ich möchte zeitnah ein produktiv genutztes LC-Multiserver-Setup umsetzen.


    LiveConfig gefällt mir wirklich enorm gut, daher würde ich gerne vollumfänglich darauf setzen. Hierfür muss allerdings ein Faktor gegeben sein oder zumindest ein Workaround existieren.


    Es ist durchaus mittelfristig möglich, dass ein LCCLIENT von Rechenzentrum A zu B wechselt, während der LiveConfig-Master an der alten Stelle verbleibt.


    Wie nun könnte ich ein Mitglied einer Multiserverumgebung auf diese Weise migrieren, ohne dass die Nutzerprofile verloren gehen? Könnte die IP eines Webservers dann beispielsweise einfach ersetzt werden?


    Ebenfalls wichtig: Wie können Nutzer bzw deren Veträge einzeln bei Bedarf migriert werden?



    Besten Dank für jede Meinung und jeden Ratschlag.

  • PREVIEW: LiveConfig v1.9.1

    Hallo Herr Keppler,


    das klingt phantastisch - auch finde ich es toll, dass Sie die API noch einmal in Angriff nehmen.


    Auch über die überarbeitete Backup-Funktion freue ich mich sehr. Ein verfrühtes Weihnachtsgeschenk würden Sie mir machen, wenn die Backups auch bei Multi-Server-Installationen möglich wären.


    Beste Grüße und einen schönen Abend :)

  • Einzelnen Vertrag deaktivieren?

    Hallo,


    danke für die Antwort.


    Das ist auch nicht besonders elegant und lässt sich auch nicht über die API ansteuern :-/


    Es wäre, um einen Betrieb im produktiven Rahmen zu ermöglichen, dringend anzuraten, dass eine Sperrung einzelner Verträge ermöglicht wird - idealerweise auch über die API.


    Allein in diesem Forum finde ich dazu schon eine Menge Anfragen. Gibt es einen Grund, weswegen diese bisher nicht berücksichtigt wurden? Vielleicht liegt der Fehler ja auch in meiner Denkweise.