Я читаю эту тему с первой страницы, чем же она вам помогла интересно? Из актуального так описано то, как именно сделать реформат и как проверить наличие заражения, есть пара ссылок на уже готовые sh сценарии для тех кто 10 команд поочередно вводить не умеет, а так же бытует мнение что компьютеры cPanel были заражены и с них якобы увели пароли.... собственно это все что более менее стоит внимания на 96 страницах, что именно отметили вы для себя ?
hosteng1991: 100$ долларов это уже не бюджетный. Вот хецнер например или сервер4ю бюждетные ДЦ и там можно взять мощный сервер до 50$
Там еще написано , что это мой личный просчет, а можно в китае P4 взять с 256 мозгом баксов за 9$... решает ли это поставленную задачу... вот в чем вопрос, но ТС видимо будет брать за 9$ там где безлимит, по этому интерес к нему уже давно угас :)
Безлимита нет и не будет, запомните это, понятными словами, если вы делаете "качественные фото" как вы пишите, вы же не делаете их на аппарат стоимостью 200$ ? Тоже самое и тут , под словами "безлимит" каждый понимает свое, но никто не понимает главного, это специальное слово, что бы после 10GB сказать "ой простите", если вам важен ваш ресурс, вам важны ваши фото и вы хотите что бы они работали - вам нужен "фотоаппарат за 2000$ или можт быть за 20.000$" в хостинге будет чуток проще с бюджетами :) Но решение под 50 GB фоток.... за 9$ ..... это "гыгыгы" :) простите иначе не знаю как сказать :D Я думаю что вам с головой будет бюджетный сервер, а это около 100$ месяц, но так как это будет сильно круто, то можно приобрести хостинг или даже вип хостинг в диапазоне от 40 до 60$, при этом вы получите панель управления и никаких администраторов вам не потребуется.... А главное будут четкие гарантии того что ваши 50 GB они ваши .....
vlad0708б, в общем 2 страницы с советами верными но разобранными на составляющее, собираю все в кучу и резюмирую:
(все судя по вашим данным)
1) В вашей системе всего 1 винт, был второй или нет - мы не угадаем.
2) У вас действительно собран рейд-1 но 1 из участников (видимо sdb) отсутствует, об этом вам прямо говорит вывод команды "cat /proc/mdstat", если было бы оба и все было бы в норме там бы было не [U_] а [UU]
3) Важный пункт: Согласно smartCTL который вы предоставили у вас и первый диск далеко не в фантастическом состоянии, там уже "5 Reallocated_Sector_Ct 0x0033 100 100 005 Pre-fail Always - 16" , 16 секторов на винте которые были ремаплены, т.е их не удалось прочитать \ записать в них, если этот счетчик увеличивается - вам немедленно стоит заменить и первый диск !!!! В противном случае рискуете потерять все что есть.
4) Поддержка глупа, если говорит что при soft-raid (md) вы не должны видеть второго винта, это глубокое заблуждение.
Видно 2 раздела с двух разных винтов и именно они образуют RAID-1 ;) В вашем случае явно не хватает одного :D
Личные рекомендации:
1) Немедленно вставить новый sdB, разбить его и провести синхронизацию raid-1 (не забываем, что новый винт должен быть не меньше старого по объему)
2) После успешного завершения п.1 стоит так же поменять sdA винт, так как ему скоро крышка тоже будет как я полагаю. (Не забудьте перенести загрузчик на второй винт :D)
3) Если ваш провайдер будет и дальше говорить что вы должны что-то решить в этой ситуации - меняйте его ибо потеряете то, что есть.
Первый если не ошибаюсь показывает количество доп. раскруток винта, т.е когда при каких-то условиях это не возможно или завершено ошибкой - происходит наполнение счетчика, это может свидетельствовать о том, что проблема с электроникой или даже физикой винта. Второй параметр, это часы работы винта:
2061 / 24 = ~85 дней...... это говорит о том, что винт практически свежий ну или по крайней мере лежал без использования ..... но при этом за 85 дней уже 16 Reallocated_Sectors, это весьма не хорошие показатели.
Andreyka: Во первых у меня настройка индивидуальная по требованию зпказчика. Если ему надо шифрованная фс - делаю без проблем.
Во вторых ввод ключей - это обязанность владельца, так как я только настраиваю, а потом владелец генерирует все ключи. У меня никуда доступа нет.
В третьих передача ssl может осуществляться через пиринг и для подделки надо найти и сломать каждый из серверов на котором лежит кусок ключа.
Думать надо глобальнее, дружище.
Пофиг. Когда я работал в модерндедикейтед то 200 серверов в дц суперб вырубиои и слили с них всю инфу. Типа абузу прислали что там спамсофт.
Хотя если защищать ГС, то да :)
Я то как раз и думаю глобальнее :) Потому что говорю вам о том, чего вы не учитываете, вы предлагаете схему с которой знакомы, а я вам говорю, что схема ваша в любом случае имеет ряд недочетов, не говорю каких заметьте, говорю что они априори есть.... Тупо сидеть и расшифровывать ваш pgp диск никто не будет само собой 0)) это не реально, но и вы же понимаете что вы не шифруете диск и не кладете его на полку в сейф... на нем лежит и обрабатывается информация.... диск стоит в сервере и что бы все работало он обязан быть расшифрованным.... Как уже писали выше будучи владельцем сети, мне ничего не помешает подметить полмира адресов на которые будет ваш сервер за ключами обращаться и прочее... Ваш пример конечно же бесспорно повысит уровень безопасности по сравнению с Fresh install linux ;) но говорить что его не сломают - по меньшей мере глупо :D
Andreyka: Серьезно? Давайте я зашифрую диск на вашем сервере а вы попытаетесь его расшифровать, идет?
А чем вам поможет для расшифровки пароленного ключа сниффинг его передачи через ssl? Или вы думаете что после реебута я буду использовать старый сертификат? Нет, я сделю себе новый а старый выкину с сервера авторизации.
И где ваш mitm теперь? Шах и мат.
Андрей, фейл вашего рассказа как и в прошлой теме заключается в том, что вы постоянно говорите "давайте я зашифрую диск, а вы его расшифруете", вы мне хотите сказать что каждый сервер который вы настроили работает по такой схеме? везде шифрованные диски и при каждом ребуте меняется SSL И вы лезете как-то куда-то (кстати куда) что бы ввести пароль на новый ключ? Так вот поставьте себе задачу с другой стороны...... станет гораздо меньше вводных, а то получается что вы защищаете себя от себя же .... ))) атакующий (злоумышленник) думает вовсе не так как создающий софт инженер, это я думаю пояснять вам не надо... Может быть вам сразу в схему сказать ИП с которого будут ваши SSL вскрывать? :) Так вообще ситуация простецкая, в iptables закинуть можно и дело в шляпе, вы ведь сейчас не учитываете например , что заразить можно ваш ПК домашний а потом уже разобраться какой ключ будет завтра... ??? или это уже не предмет взлома вашего решения? :)
Pavel.Odintsov: Nginx вроде бы умеет цеплятсья к бэкэнду на IPv6 в сааамых последних версиях. Вешаете его на в4 на ВПС, где есть внешний в4 адрес и проксируете запросы до в6. А вообще, промышленные решения для этого еще в разработке, в новых версиях линукса только IPv6 NAT появился, дальше будет больше.
https://www.webhostingtalk.com/showthread.php?t=1235797&page=97
хорошая тема по проблеме. помогла разобраться во многом.
Я читаю эту тему с первой страницы, чем же она вам помогла интересно? Из актуального так описано то, как именно сделать реформат и как проверить наличие заражения, есть пара ссылок на уже готовые sh сценарии для тех кто 10 команд поочередно вводить не умеет, а так же бытует мнение что компьютеры cPanel были заражены и с них якобы увели пароли.... собственно это все что более менее стоит внимания на 96 страницах, что именно отметили вы для себя ?
Если не секрет, где именно это продают?
Это образное сравнение, что бы дать понять ТС-у свою позицию... конкретного места в Китае не знаю, но наверняка есть....
100$ долларов это уже не бюджетный. Вот хецнер например или сервер4ю бюждетные ДЦ и там можно взять мощный сервер до 50$
Там еще написано , что это мой личный просчет, а можно в китае P4 взять с 256 мозгом баксов за 9$... решает ли это поставленную задачу... вот в чем вопрос, но ТС видимо будет брать за 9$ там где безлимит, по этому интерес к нему уже давно угас :)
tiaurus,
Безлимита нет и не будет, запомните это, понятными словами, если вы делаете "качественные фото" как вы пишите, вы же не делаете их на аппарат стоимостью 200$ ? Тоже самое и тут , под словами "безлимит" каждый понимает свое, но никто не понимает главного, это специальное слово, что бы после 10GB сказать "ой простите", если вам важен ваш ресурс, вам важны ваши фото и вы хотите что бы они работали - вам нужен "фотоаппарат за 2000$ или можт быть за 20.000$" в хостинге будет чуток проще с бюджетами :) Но решение под 50 GB фоток.... за 9$ ..... это "гыгыгы" :) простите иначе не знаю как сказать :D Я думаю что вам с головой будет бюджетный сервер, а это около 100$ месяц, но так как это будет сильно круто, то можно приобрести хостинг или даже вип хостинг в диапазоне от 40 до 60$, при этом вы получите панель управления и никаких администраторов вам не потребуется.... А главное будут четкие гарантии того что ваши 50 GB они ваши .....
Это лично мой расчет - решать вам!
Godinovich, а "client denied by server configuration" и не должно появляться, причем тут это если вы выдаете 403 ?:)
vlad0708б, в общем 2 страницы с советами верными но разобранными на составляющее, собираю все в кучу и резюмирую:
(все судя по вашим данным)
1) В вашей системе всего 1 винт, был второй или нет - мы не угадаем.
2) У вас действительно собран рейд-1 но 1 из участников (видимо sdb) отсутствует, об этом вам прямо говорит вывод команды "cat /proc/mdstat", если было бы оба и все было бы в норме там бы было не [U_] а [UU]
3) Важный пункт: Согласно smartCTL который вы предоставили у вас и первый диск далеко не в фантастическом состоянии, там уже "5 Reallocated_Sector_Ct 0x0033 100 100 005 Pre-fail Always - 16" , 16 секторов на винте которые были ремаплены, т.е их не удалось прочитать \ записать в них, если этот счетчик увеличивается - вам немедленно стоит заменить и первый диск !!!! В противном случае рискуете потерять все что есть.
4) Поддержка глупа, если говорит что при soft-raid (md) вы не должны видеть второго винта, это глубокое заблуждение.
С рабочего сервера:
[~]# cat /proc/mdstat
Personalities : [raid1]
md0 : active raid1 sdb1[1] sda1[0]
154191744 blocks [2/2] [UU]
Видно 2 раздела с двух разных винтов и именно они образуют RAID-1 ;) В вашем случае явно не хватает одного :D
Личные рекомендации:
1) Немедленно вставить новый sdB, разбить его и провести синхронизацию raid-1 (не забываем, что новый винт должен быть не меньше старого по объему)
2) После успешного завершения п.1 стоит так же поменять sdA винт, так как ему скоро крышка тоже будет как я полагаю. (Не забудьте перенести загрузчик на второй винт :D)
3) Если ваш провайдер будет и дальше говорить что вы должны что-то решить в этой ситуации - меняйте его ибо потеряете то, что есть.
4) Так же посмотрите показатели:
Spin_Up_Time 0x0007 125 125 024 Pre-fail Always - 183 (Average 184)
9 Power_On_Hours 0x0012 100 100 000 Old_age Always - 2061
Первый если не ошибаюсь показывает количество доп. раскруток винта, т.е когда при каких-то условиях это не возможно или завершено ошибкой - происходит наполнение счетчика, это может свидетельствовать о том, что проблема с электроникой или даже физикой винта. Второй параметр, это часы работы винта:
2061 / 24 = ~85 дней...... это говорит о том, что винт практически свежий ну или по крайней мере лежал без использования ..... но при этом за 85 дней уже 16 Reallocated_Sectors, это весьма не хорошие показатели.
А вот теперь действуйте !!! :) :) :)
mb87, хостеры могут делать свои предложения или вы ждете исключительно рекомендации пользователей?
Во первых у меня настройка индивидуальная по требованию зпказчика. Если ему надо шифрованная фс - делаю без проблем.
Во вторых ввод ключей - это обязанность владельца, так как я только настраиваю, а потом владелец генерирует все ключи. У меня никуда доступа нет.
В третьих передача ssl может осуществляться через пиринг и для подделки надо найти и сломать каждый из серверов на котором лежит кусок ключа.
Думать надо глобальнее, дружище.
Пофиг. Когда я работал в модерндедикейтед то 200 серверов в дц суперб вырубиои и слили с них всю инфу. Типа абузу прислали что там спамсофт.
Хотя если защищать ГС, то да :)
Я то как раз и думаю глобальнее :) Потому что говорю вам о том, чего вы не учитываете, вы предлагаете схему с которой знакомы, а я вам говорю, что схема ваша в любом случае имеет ряд недочетов, не говорю каких заметьте, говорю что они априори есть.... Тупо сидеть и расшифровывать ваш pgp диск никто не будет само собой 0)) это не реально, но и вы же понимаете что вы не шифруете диск и не кладете его на полку в сейф... на нем лежит и обрабатывается информация.... диск стоит в сервере и что бы все работало он обязан быть расшифрованным.... Как уже писали выше будучи владельцем сети, мне ничего не помешает подметить полмира адресов на которые будет ваш сервер за ключами обращаться и прочее... Ваш пример конечно же бесспорно повысит уровень безопасности по сравнению с Fresh install linux ;) но говорить что его не сломают - по меньшей мере глупо :D
Серьезно? Давайте я зашифрую диск на вашем сервере а вы попытаетесь его расшифровать, идет?
А чем вам поможет для расшифровки пароленного ключа сниффинг его передачи через ssl? Или вы думаете что после реебута я буду использовать старый сертификат? Нет, я сделю себе новый а старый выкину с сервера авторизации.
И где ваш mitm теперь? Шах и мат.
Андрей, фейл вашего рассказа как и в прошлой теме заключается в том, что вы постоянно говорите "давайте я зашифрую диск, а вы его расшифруете", вы мне хотите сказать что каждый сервер который вы настроили работает по такой схеме? везде шифрованные диски и при каждом ребуте меняется SSL И вы лезете как-то куда-то (кстати куда) что бы ввести пароль на новый ключ? Так вот поставьте себе задачу с другой стороны...... станет гораздо меньше вводных, а то получается что вы защищаете себя от себя же .... ))) атакующий (злоумышленник) думает вовсе не так как создающий софт инженер, это я думаю пояснять вам не надо... Может быть вам сразу в схему сказать ИП с которого будут ваши SSL вскрывать? :) Так вообще ситуация простецкая, в iptables закинуть можно и дело в шляпе, вы ведь сейчас не учитываете например , что заразить можно ваш ПК домашний а потом уже разобраться какой ключ будет завтра... ??? или это уже не предмет взлома вашего решения? :)
Nginx вроде бы умеет цеплятсья к бэкэнду на IPv6 в сааамых последних версиях. Вешаете его на в4 на ВПС, где есть внешний в4 адрес и проксируете запросы до в6. А вообще, промышленные решения для этого еще в разработке, в новых версиях линукса только IPv6 NAT появился, дальше будет больше.
Интересно, а зачем для ipv6 вообще нат? :)