Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Sign up for free
Menu
Search
Features
All features
Private URLs
Password Protection
Custom URLS
Scheduled publishing
Remove Branding
Restrict embedding
Deck Collections
Notes
Features
All features
Private URLs
Password Protection
Custom URLS
Scheduled publishing
Remove Branding
Restrict embedding
Deck Collections
Notes
Explore
Featured decks
Featured speakers
Programming
Technology
Storyboards
Explore
Featured decks
Featured speakers
Programming
Technology
Storyboards
Pricing
Search
Sign in
Sign up for free
lilo.linux.or.jp from wheezy to jessie
Search
Kazuhiro NISHIYAMA
May 01, 2016
Technology
280
0
Share
Embed
Copy iframe code
Copy JS code
Copy link
Start on current slide
lilo.linux.or.jp from wheezy to jessie
lilo.linux.or.jp を wheezy から jessie にあげた話
Kazuhiro NISHIYAMA
May 01, 2016
More Decks by Kazuhiro NISHIYAMA
See All by Kazuhiro NISHIYAMA
Reforming the Japanese Ruby reference manual
znz
0
28
Rubyの配布パッケージの変遷
znz
0
51
Headscale + Tailscale に移行中
znz
0
92
Ruby on Rails と私
znz
0
92
riscv64.rubyci.org internal
znz
0
68
Rubyの日本語リファレンスマニュアルの現在と未来
znz
0
120
devise-two-factorを4.xから5.xに上げた話
znz
0
460
docs.ruby-lang.org/ja/ の生成方法を変えた
znz
0
130
Ubuntuのriscv64版をqemuで動かした
znz
0
160
Other Decks in Technology
See All in Technology
絵ではじめるKubernetesセキュリティ
aoi1
3
560
Railsのように考える: See through the Master
snoozer05
PRO
3
820
顧客に向き合う開発組織へ。リアーキテクチャとフィーチャーチーム化で挑む組織改革
safie
0
1.9k
現場で役立つ技術負債の効果的な返済方法
masuda220
PRO
8
4k
登壇の自信を奪う3匹のオバケ / 3 Ghosts That Rob You of Your Confidence in Public Speaking
pauli
8
920
Claude Codeを「使うほど育つ」AI秘書にするノウハウ
minorun365
PRO
27
21k
ソフトウェアDNAとクラウドエージェントのススメ
cloudace
0
100
What the customer really needed
kawaguti
PRO
2
170
おい、エージェントを使って終わらせろ
nwiizo
0
240
DEFCON34-Write-up_HYCu-MYCu
daikiokazaki
0
160
目の前の楽しいが人生を変える - コミュニティの螺旋の歩き方と楽しむコツ / change your life
soudai
PRO
4
600
Omarchy Quattro の日本語設定周り
simosako
2
180
Featured
See All Featured
Beyond borders and beyond the search box: How to win the global "messy middle" with AI-driven SEO
davidcarrasco
3
240
Impact Scores and Hybrid Strategies: The future of link building
tamaranovitovic
0
440
DBのスキルで生き残る技術 - AI時代におけるテーブル設計の勘所
soudai
PRO
68
57k
Being A Developer After 40
akosma
91
590k
Writing Fast Ruby
sferik
630
63k
How to build a perfect <img>
jonoalderson
1
6k
DevOps and Value Stream Thinking: Enabling flow, efficiency and business value
helenjbeal
1
380
Ecommerce SEO: The Keys for Success Now & Beyond - #SERPConf2024
aleyda
1
2.1k
First, design no harm
axbom
PRO
2
1.3k
How to optimise 3,500 product descriptions for ecommerce in one day using ChatGPT
katarinadahlin
PRO
3
3.8k
From Legacy to Launchpad: Building Startup-Ready Communities
dugsong
0
330
Documentation Writing (for coders)
carmenintech
77
5.5k
Transcript
lilo.linux.or.jp� を� wheezy� から� jessie� にあげた話 Kazuhiro� NISHIYAMA LILO&東海道らぐオフラインミーティング 2016-05-01
lilo.linux.or.jp� とは? 主な用途: LILO� の� Web� サーバー� (apache) ML� サーバー�
(mailman)
環境 さくらの� VPS Debian� GNU/Linux
アップグレード前 リリースノートを読む https://www.debian.org/releases/ jessie/amd64/release-notes/ch- upgrading.ja.html その他情報収集
問題点� (1/2) apache� 2.2� から� 2.4� への変更 がネック allow� や�
deny� の設定⽅法が変わって いる 中間証明書の設定⽅法が変わった 証明書ファイルに結合して指定するように変わ った SSL/TLS� を� (まだ)� 使っていないので影響なし
問題点� (2/2) denyhosts� がなくなる openssh� 6.7� で� libwrap� サポートが 無くなることもあって�
fail2ban� に移 ⾏ milter-manager� を使っている が� OS� の更新時の⼿順のドキュ メントがない
denyhosts� から� fail2ban� への移⾏� (1/2) aptitude� purge� denyhosts aptitude� install�
fail2ban /etc/hosts.deny� の� denyhosts� で追加された⾏を削 除
denyhosts� から� fail2ban� への移⾏� (2/2) /etc/hosts.allow� の「ALL:� 127.0.0.1� [::1]」に「sshd:� ALL」を追加
/etc/hosts.deny� の「ALL� EXCEPT� sshd:� ALL」を削除 /etc/hosts.deny� に「ALL:� ALL」を設定
ntp� 削除 systemd-timesyncd� に移⾏す るため削除
アップグレード� (1/2) /etc/apt/sources.list� と� /etc/ apt/sources.list.d/milter- manager.list� の� wheezy� を�
jessie� に変更 apt-get� update echo� $COLUMNS� $LINES� が� 80� 25� になるように端末をリサ イズ� (scriptreplay� を考慮して)
アップグレード� (2/2) script� -t� 2>~/upgrade- jessie1.time� -a� ~/upgrade- jessie1.script apt-get�
upgrade apt-get� dist-upgrade reboot
mailman 「古いキューファイルが存在し ます」で質問が出た 多少メールがロストしても大し た問題はないので「かまわずに 継続」で進んだ
設定ファイルのマージ 途中設定ファイルをどうするか 聞かれた時は全て既存のファイ ルを使用を選んだ
rkhunter.conf� (1/3) mv� rkhunter.conf.dpkg-dist� rkhunter.conf aptitude� install� unhide aptitude� purge�
unhide.rb 実際は後で� unhide� パッケージに変更 した
rkhunter.conf� (2/3) 反映しなかった変更: ALLOW̲SSH̲PROT̲V1=1 SCRIPTWHITELIST=/usr/bin/ unhide.rb unhide.rb� から� unhide� パッケージに
置き換えたため
rkhunter.conf� (3/3) 反映した変更: �������������������������������������������� ��������������� ������������������������ ������������������������������� �������������������������������
/etc/etckeeper/ etckeeper.conf mv� etckeeper/ etckeeper.conf.dpkg-dist� etckeeper/etckeeper.conf GIT̲COMMIT̲OPTIONS="-v"� を再設定
/etc/default/ spamassassin ENABLED=1� にするだけの変更 だった mv� /etc/default/ spamassassin{.dpkg-dist,} /lib/systemd/system/ spamassassin.service�
に移⾏ 済みなので� ENABLED� は影響な し
spamassassin/local.cf ������������������������������������� ������������������������������������������������������������������� ����������������������������������������������������������������������������������� ������������������ ����������������������������������������������������������������������� �� ���������������� �������������� �������������������������
������������������������ ���������������������������������������������������������������������� ������������������������������� ����������������� ������������������������������������������� ������������������������������������������������� � そのまま� rm� /etc/ spamassassin/local.cf.dpkg-
/etc/dokuwiki/local.php ���������������������������������������� ではなく ������������������������������� になっていたので、そのまま「rm� dokuwiki/local.php.ucf-dist」し た。
/etc/dokuwiki/ apache.conf 「order� allow,deny」と「Allow� from� ALL」を「Require� all� granted」に 「Deny� from�
all」を「Require� all� denied」に rm� dokuwiki/apache.conf.ucf- dist
/etc/milter-greylist/ greylist.conf mv� milter-greylist/ greylist.conf.dpkg-dist� milter- greylist/greylist.conf http://milter- manager.sourceforge.net/ reference/ja/install-to-
debian.html� の設定
apache2� の� sites rm� apache2/sites-enabled/ lilo.linux.or.jp mv� apache2/sites-available/ lilo.linux.or.jp{,.conf} a2ensite�
lilo.linux.or.jp.conf
apache2� のアクセス許可設 定 「Order� allow,deny」と「allow� from� all」を「Require� all� granted」に変更 「service�
apache2� reload」で 反映
apache2� の� conf dokuwiki.conf� は自動で� conf- available,conf-enabled� に移⾏ 済みだった rmdir�
/etc/apache2/conf.d
dokuwiki� の修正� (1/2) http://lilo.linux.or.jp/wiki/� で 「A� fatal� error� occured� during�
compilation� of� the� CSS� files.� If� you� recently� installed� a� new� plugin� or� template� it� might� be� broken� and� you� should� try� disabling� it� again.� [parse� error:� failed� at� `#line-height:� 1em;� `�� in� / lib/tpl/vector/static/css/ screen.css� at� line� 384]」
dokuwiki� の修正� (2/2) 「#line-height:� 1em;� /*� fix� MSIE� 6,� 7�
*/」と古いサポート 切れの� IE� 向け記述だったので削 除 同様の修正をいくつか
ntp� 設定� (1/3) timedatectl� set-ntp� true
ntp� 設定� (2/3) /etc/systemd/ timesyncd.conf� の� Servers� 設 定 Servers=ntp1.sakura.ad.jp
systemctl� restart� systemd- timesyncd� で反映
ntp� 設定� (3/3) systemctl� status� systemd- timesyncd� や� timedatectl� で確
認
掃除� (1/2) apt-get� autoremove aptitude� purge� '~c' aptitude� search� '~i!~Odebian!
~Omilter'� でもうインストールで きない古いパッケージ⼀覧
掃除� (2/2) aptitude� purge� '~i!~Odebian! ~Omilter' ここで「rkhunter� が� unhide.rb� |�
unhide� を推奨」と出たので� unhide.rb� から� unhide� に移⾏ 削除後に「Invalid� SCRIPTWHITELIST� configuration� option:� Non-existent� pathname:� / usr/bin/unhide.rb」と出たのでコメ ントアウト
mailman� のエラー対応� (1/4) 昨⽇さとうさんの指摘で気付い た lilo� ML� のメールが流れない状態 になっていた
mailman� のエラー対応� (2/4) 根本的な原因は� Debian� の� UTF-8� 対応 ����������������������������������������� ��������������������������������������������������
������������������������������������������������������������������ ������������������������������������������������������������������ ������������������������������������������������������������������� ���������������������� ���������������������������������������������������������������� ������������������������������������������������������������������� ������������������������������������������������������������������ ������������������������������������������������������������������ ���������������������� �������������������������������������������������������������������
mailman� のエラー対応� (3/4) Web� の設定画⾯から⽂字化けし ていた� description� と� info� を修
正
mailman� のエラー対応� (4/4) /var/lib/mailman/qfiles/ shunt/� に� qrunner� でエラーに なったメールがたまっていた /var/lib/mailman/bin/
unshunt� コマンドを実⾏すると 流れた
⼆要素認証導⼊ aptitude� install� libpam- google-authenticator /etc/pam.d/sshd� と� /etc/ssh/ sshd̲config� 設定
対象ユーザーで� google- authenticator� コマンド実⾏
/etc/pam.d/sshd http://blog.n-z.jp/ blog/2016-04-18-libpam- google-authenticator.html� 参照 ���������������������������������������������������������������� ������������������������������������������������������������������ ��������������������������������������� ������������������������������������������������������������� �����������������������
�������������������������� ��������������������������� ������������������������������� ���������������������
ssh/sshd̲config� (1/3) ChallengeResponseAuthentic ation� yes AuthenticationMethods� publickey,keyboard- interactive
ssh/sshd̲config� (2/3) 設定変更後、「service� ssh� restart」すると� sshd� が起動し ていなかった LV=-c� journalctl�
-u� ssh.service� で調査 AuthenticationMethods� is� not� supported� with� SSH� protocol� 1
ssh/sshd̲config� (3/3) 「Protocol� 2,1」を「Protocol� 2」に変更 rkhunter.conf� の 「ALLOW̲SSH̲PROT̲V1=1」 はこれが関係していた
TLS� 導⼊ letsencrypt� の証明書導⼊ 事前準備 JLA� (linux.or.jp� の管理組織)� に確認 letsencrypt�
用メールアドレス作成 各種サービスに設定
letsencrypt� パッケージイ ンストール backports� を有効に deb� http://ftp.jp.debian.org/ debian� jessie-backports� main
インストール apt� install� -t� jessie-backports� letsencrypt バージョン� 0.5.0-1~bpo8+1� が ⼊った
letsencrypt� の証明書発⾏ 重要やアカウントの復旧用メールア ドレス設定� (初回のみ)
letsencrypt� の証明書発⾏ Terms� of� Service� に同意� (初回のみ)
letsencrypt� の証明書発⾏ 証明書発⾏完了
postfix� 設定� (変更前) �������������������������������������������������������� ��������������������������������������������������������� ����������������� ����������������������������������������������������������������������� ���������������������������������������������������������������������
postfix� 設定� (変更後) �������������������������������������������������������������������������� ����������������������������������������������������������������������� ��������������������������������������������� ��������������������������������������������� ����������������������������������� ����������������� �����������������������������������������������������������������������
���������������������������������������������������������������������
postfix� 設定 snakeoil� から� letsencrypt� の証 明書に変更 SSLv2,� SSLv3� を禁⽌
service� postfix� reload� で設定 反映 nc� localhost� 25� で� EHLO� localhost� で動作確認� (STARTTLS� が含まれる)
apache2� 設定� (1/2) /etc/apache2/sites- available/� の� default-ssl.conf� などを元に設定作成 a2ensite� lilo.linux.or.jp̲ssl.conf�
で有効 に
apache2� 設定� (2/2) a2enmod� ssl� で� SSL� を有効に service� apache2�
restart� で反 映 ufw� allow� 443/tcp� でポート開 放 https://lilo.linux.or.jp/� で表⽰確 認
mailman� 設定変更 /etc/mailman/mm̲cfg.py� の� DEFAULT̲URL̲PATTERN� を 変更 'http://%s/cgi-bin/mailman/'� を 'https://%s/cgi-bin/mailman/'�
に変 更
自動更新設定� (1/2) /etc/cron.daily/local- letsencrypt� に以下のスクリプト を設置 ��������� �������������������������������������� �������������������������� �������������������������������
�� ����������������������������������������������� ���������������������������������� ������������������ ���������� �� ���������������������������� ����������������������������������� �� ������������������ ����������������������
自動更新設定� (2/2) スクリプトについて 基本部分は� https://letsencrypt.org/ getting-started/� 由来 ログの保存回数� (⽇数)� の�
90� は� letsencrypt� の証明書の有効期限から savelog� コマンドは� debianutils� パッ ケージ由来 失敗した時以外でも差分があればメー ルが⾶ぶ
まとめ� (1/3) wheezy� から� jessie� へのアップ グレードしました。 apache� の移⾏で少しの間� Web�
が⾒ えない時間が発⽣しました。 dokuwiki� も雑に対処しました。 mailman� で問題が起きました。 他は大きな問題はなさそうでした。
まとめ� (2/3) ⼆要素認証を導⼊しました。 今は� google-authenticator� コマンド を実⾏して� ~/.google̲authenticator� が存在する ユーザーだけ
移⾏期間として1ヶ⽉くらい余裕を⾒ て、6⽉になったら� ~/.google̲authenticator� の存在チ ェックを外す予定
まとめ� (3/3) letsencrypt� の証明書を導⼊ postfix� (SMTP� over� TLS)� と� apache2�
(https)� の設定 mailman� の設定も変更 cron� で自動更新の設定