my Solaris 11 notes/cheat sheet

Sorry for short explanations, maybe I will give more details later. Enjoy.

Image Packaging System:
pkg set-publisher -g http://pkg.openindiana.org/sfe sfe
pkg publisher
pkg update
pkg list
pkg history
pkg uninstall
pkg info | more

Boot environment:
beadm list
beadm activate bootEnvTest
beadm create BeName
beadm mount BeName mount-point
beadm destroy

Services:
svcadm
svcadm mark // place in maintenance state
svcadm clear // clear maintenance state
svcadm milestone // place in particular init level
svcs -a // list all services on the system
svcs -d ssh // list service dependencies
svcs -xv ssh // verbose information on service state
svcs -l ssh // displays properties of service

/var/svc/log // every service has different log file stored here

Init levels:
s,S : single user
1 : single admin user
2 : multi user without NFS svcs
3 : multi user with NFS svcs
6 : reboot
0 : shutdown

ZFS:
zpool list
zpool status
zpool history
zpool create testpool /zfstest/test1 /zfstest/test2 /zfstest/test3
zpool destroy
zpool mount

networking:
ipadm
netadm
dladm // data link availability

System Processes and Tasks:
pkg info | more // shows installed packages
prtconf -v|more //configuration information
hostname //shows host name
hostid //shows host id
services -a // shows running services
pargs PID // shows arguments of process
pgrep ApplicationName // Gives PIDs of applications running
iostat -x // IO/disk information
vmstat // virtual memory information
savecore // retrieves dumped data files like vmdump.n in savecore directory
/usr/bin/mdb //lists crash dump files
dumpadm // view/configure crash dump params
coreadm // manages core dump files

openotp RSA server certificate does NOT match server name hatası

[Thu Sep 19 13:33:14 2013] RSA server certificate CommonName (CN) `OPENOTP.cemdogan.com' does NOT match server name!?
[Thu Sep 19 13:33:14 2013] RSA server certificate CommonName (CN) `OPENOTP.cemdogan.com' does NOT match server name!?

OpenOTP uygulaması soapd.log dosyasında benzer bir hata alındığında yapılması gereken kullanılan sertifikada geçen bilgisayar ismi ile bilgisayarın gerçek isminin aynı yapılması gerekir.

-bash-3.2# vi /etc/sysconfig/network

#HOSTNAME=rcvm
HOSTNAME=OPENOTP.cemdogan.com

Yukardaki gibi değişiklik yapılıp makine yeniden başladığında sorun giderilmiş olur.
Kontrol için;

-bash-3.2# hostname
OPENOTP.cemdogan.com

squid sarg raporlarında ip yerine netbios ismi kullanmak için

Bazı durumlarda squid veya sarg IP’den bilgisayar ismini çözümleyemeyebilir ve sarg raporları IP adresleri ile oluşturulacağından karışıklık oluşur.
Sorunu gidermek için, nbtscan kullanarak WORKGROUP içinde makine adını çözümleyebiliriz.

#!/bin/bash
# 10-08-2013 Cem DOGAN
#
for i in `cat /var/log/squid/access.log|awk '{print $3}'|grep -o '[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}' |sort|uniq`
do
        echo "+++"$i"+++"
        if grep -q $i /root/sarg.ip
        then
        zatenvar=`grep $i /root/sarg.ip`
        echo $zatenvar" dosyada zaten bulunuyor"
        else
        name=`/usr/sbin/nbtscan $i |grep $i |grep -v NBT|awk '{print $2}'`
                if [ $name ]
                        then
                        echo $i":"$name>> /root/sarg.ip.tmp
                        #sort /root/sarg.ip.tmp|uniq > /root/sarg.ip
                        echo $i,$name "eklendi"
                        else
                        dhcpden=`cat /var/lib/dhcpd/dhcpd.leases |grep -A 10 $i| grep hostname| awk -F " '{print $2}'|sort|uniq`
                                if [ $dhcpden ]
                                then
                                #       echo $i":"$dhcpden>> /root/sarg.ip.tmp
                                        echo $i":"$dhcpden|tr "[:lower:]" "[:upper:]">> /root/sarg.ip.tmp

                                        echo $i":"$dhcpden
                                fi
                fi
        fi
done
sort /root/sarg.ip.tmp|uniq > /root/sarg.ip

Gün içinde topladığımız ip ve bilgisayar isimlerini sed kullanarak başka bir dosyada düzenlenmiş şekilde hazırlıyoruz.

#!/bin/bash
# 10-08-2013 Cem DOGAN
#
INPUT=/root/sarg.ip
OLDIFS=$IFS
IFS=:
[ ! -f $INPUT ] && { echo "$INPUT file not found"; exit 99; }
while read ip name
do
        params+="s/$ip/$name/g;"
done < $INPUT
IFS=$OLDIFS

params=`echo $params| sed 's/;$//'`
sed  -e "$params" /var/log/squid/access.log > /var/log/squid/access.log.sarg

Artık sarg ayarlarımızı yeni oluşturduğumuz dosyadan okuyacak şekilde yapabiliriz.

dhcpd ile lease time’ı uzun tutmak ve günlük olarak oluşturulan ip tablosunu temizlemek de gerekebilir. Gerisi size kalmış.

squid için tek eth ile kullanılabilecek iptables kuralları

squid in 3169 portundan çalıştığını düşünürsek aşağıdaki kurallar bütünü işimizi görecektir.

#!/bin/sh
# squid server IP
SQUID_SERVER=`ifconfig eth0 | sed -ne 's/.*inet addr:([^ ]*).*/1/p'`
# Interface connected to Internet
INTERNET="eth0"
# Interface connected to LAN
LAN_IN="eth0"
# Squid port
SQUID_PORT="3128"
# DO NOT MODIFY BELOW
# Clean old firewall
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
# Load IPTABLES modules for NAT and IP conntrack support
modprobe ip_conntrack
modprobe ip_conntrack_ftp
# For win xp ftp client
#modprobe ip_nat_ftp
echo 1 > /proc/sys/net/ipv4/ip_forward
# Setting default filter policy
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
# Unlimited access to loop back
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
# Allow UDP, DNS and Passive FTP
iptables -A INPUT -i $INTERNET -m state --state ESTABLISHED,RELATED -j ACCEPT
# set this system as a router for Rest of LAN
iptables --table nat --append POSTROUTING --out-interface $INTERNET -j MASQUERADE
iptables --append FORWARD --in-interface $LAN_IN -j ACCEPT
# unlimited access to LAN
iptables -A INPUT -i $LAN_IN -j ACCEPT
iptables -A OUTPUT -o $LAN_IN -j ACCEPT
# DNAT port 80 request comming from LAN systems to squid 3128 ($SQUID_PORT) aka transparent proxy
iptables -t nat -A PREROUTING -i $LAN_IN -p tcp --dport 80 -j DNAT --to $SQUID_SERVER:$SQUID_PORT
#iptables -t nat -A PREROUTING -i $LAN_IN -p tcp --dport 443 -j DNAT --to $SQUID_SERVER:3130

# if it is same system
iptables -t nat -A PREROUTING -i $INTERNET -p tcp --dport 80 -j REDIRECT --to-port $SQUID_PORT
#iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 3130
# DROP everything and Log it
iptables -A INPUT -j LOG
iptables -A INPUT -j DROP

iptables -A OUTPUT -i $INTERNET -p tcp -m multiport --dports 21,22,110,25,143,587,3169 -m state --state NEW -j ACCEPT
iptables -A INPUT -i $INTERNET -p tcp -m multiport --dports 21,22,110,25,143,587,3169 -m state --state NEW -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT

yum ile otomatik güncelleme

Yum ile otomatik güncelleme yapmak için yum-cron uygulamasını yüklemeliyiz.

yum install yum-cron

Sadece kontrol etme, sadece uyarma veya sadece indirme gibi seçenekleri ayarlamak için aşağıdaki dosyayı düzenliyoruz.

vi /etc/sysconfig/yum-cron

Aktif hale getirmek için;

/etc/init.d/yum-cron start
chkconfig yum-cron on

Güncellemek istemediğiniz paketler varsa, yum-cron config dosyasında belirtmek gerekir. Örnek olarak;

YUM_PARAMETER="-x perl* -x python* -x kernel*"

fail2ban kullanımı

Fail2ban, log dosyalarini inceleyerek, fazla hatalı veya başarısız islem yapan ip adresini belirli bir sure engellemek icin kullanılan uygulamadır. Tercihinize göre iptables veya tcpwrapper kullanarak DROP kurallarını otomatik olarak ekler veya kaldırır ve sizi email yoluyla bilgilendirebilir.

EPEL deposunda bulunan fail2ban’ı kurmak için

#yum install fail2ban

Varsayılan olarak /etc/fail2ban/jail.conf dosyasinda yapılandırmak istedigimiz servisin log dosyasinin bulundugu bolum duzenlenir ya da eklenir. Örnek olarak ;

[sasl-iptables]

enabled  = true
filter   = sasl
action   = iptables[name=sasl, port=smtp, protocol=tcp]
           sendmail[name=sasl, dest=email@address.com]
logpath  = /var/log/maillog

[postfix]

enabled = true
filter  = postfix
action  = iptables[name=SMTP, port=smtp, protocol=tcp]
          sendmail[name=Postfix, dest=email@address.com]
logpath = /var/log/maillog


[dovecot]
enabled = true
filter = dovecot
action = iptables-multiport[name=dovecot, port="pop3,pop3s,imap,imaps", protocol=tcp]
 	mail[name=dovecot, dest=email@address.com]
logpath = /var/log/dovecot.log 
maxretry = 20
findtime = 1200
bantime = 1200

fail2ban.conf ve jail.conf dosyalarındaki diğer ayarları düzenledikten sonra, uygulamayı başlatmanız gerekecektir.

# service fail2ban restart

Fail2ban log örneği ise aşağıdaki gibi olacaktır;

2013-03-28 04:52:35,474 fail2ban.actions: WARNING [dovecot] Ban 122.226.212.222
2013-03-28 05:12:36,194 fail2ban.actions: WARNING [dovecot] Unban 122.226.212.222
2013-03-28 05:59:13,869 fail2ban.actions: WARNING [sasl-iptables] Ban 174.50.235.244
2013-03-28 06:09:13,956 fail2ban.actions: WARNING [sasl-iptables] Unban 174.50.235.244
2013-03-28 07:15:37,082 fail2ban.actions: WARNING [postfix] Ban 5.47.155.176
2013-03-28 07:25:37,178 fail2ban.actions: WARNING [postfix] Unban 5.47.155.176

eskiyen ereg, eregi, ereg_replace fonksiyonlarını yenilemek

Php versiyonunuzu güncellediğinizde eğer çalıştırdığınız php scriptleri ereg, eregi, ereg_replace fonksiyonlarını kullanıyorsa, php sizi bu fonksiyonların eskidiğine dair uyaracaktır.

Bu fonksiyonlar yerine preg_match ve preg_replace kullanımı kısaca şöyledir;

    ereg('regexiniz', $tekst, $sonuc);
    preg_match('/regexiniz/', $tekst, $sonuc);
    eregi('regexiniz', $tekst, $sonuc);
    preg_match('/regexiniz/i', $tekst, $sonuc);
    $tekst = ereg_replace('regexiniz','yenisi', $tekst);
    $tekst = preg_replace('/regexiniz/i','yenisi', $tekst); 

centos 5 için Physical Address Extension (PAE)

Bildiğiniz gibi PAE, 32 bit işletim sistemlerinde 2.3.23 kernel ve sonrasında desteklenen, 64 GB ram e kadar kullanabilmeye yarayan adresleme sistemidir. Centos 6 da varsayılan olarak desteklenmektedir, fakat centos 5 te aktif hale getirebilmek için kernel-PAE paketini yüklemek gerekir.

 [root@mayhem ~]# yum install kernel-PAE

Kernel PAE paketini yükledikten sonra grub da varsayılan olarak açılacak kernel’i ayarlamak gerekir.

vi /boot/grub/grub.conf

Grub’ın ayar dosyasında default parametresinin karşılığındaki sayı sıfırdan başlayarak değişir. İlgili kernel’in numarasını default değerine girip yeniden başlattığınızda PAE nin aktif olduğunu free komutuyla görebilirsiniz.

centos 6 da ipv6 yı devre dışı bırakmak için

Bazı durumlarda ipv6 ya ihtiyacınız olmayabilir. Vereceğiniz karar doğrultusunda oluşabilecek performans ve bağlantı sorunlarını gidermek için kaldırmak veya kapatmak isteyebilirsiniz. Bunun için

/etc/sysctl.conf dosyasında aşağıdaki gibi değişiklik yapmak;

net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1

Devre dışı bırakmak için;

echo 1 > /proc/sys/net/ipv6/conf/all/disable_ipv6
echo 1 > /proc/sys/net/ipv6/conf/default/disable_ipv6

Yaptığımız değişikliği kontrol etmek içinse;

sysctl net.ipv6.conf.all.disable_ipv6
sysctl net.ipv6.conf.default.disable_ipv6

komutlarını çalıştırmak yeterli olacaktır.

Linux “single user” moduna şifre sormayı aktif etmek

Sıradan bir kurulumda, Linux’u “single user” moduna geçirdiğinizde şifre sormadan root haklarıyla istediğinizi yapabilirsiniz. Bunu engellemek, kullanıcının root şifresini sorup giriş yapmasını sağlayarak olabilir. Yapılması gereken, /etc/inittab dosyanızın sonuna;

~~:S:wait:/sbin/sulogin

satırını ekleyip

[root@sow ~]# init q

init Q komutuyla /etc/inittab dosyasındaki değişikliklerin algılamasını sağlamaktır.