NTP zaman ayarı ve Solaris 10

Solaris sunucularınızın harici bir NTP zaman sunucusundan bilgi alması ve saat yönetimi yapmasını istiyorsanız aşağıdaki adımları uygulayabilirsiniz.

1- SUNWntpr ve SUNWntpu paketleri sunucuya yüklenmelidir.

2- /etc/inet/ntp.client dosyası /etc/inet/ntp.conf olarak kopyalanır.

3- ntp.conf dosyası içine aşağıdaki satırlar eklenir.

server 0.europe.pool.ntp.org
server 1.europe.pool.ntp.orgserver 2.europe.pool.ntp.org

4- svcadm enable ntp komutu ile NTP servisi aktif hale getirilir.

5- ntpq -p komutu ile sunucunun saatinin durumu ve eşleme farkları izlenebilir.

Link : Solaris 11 belgeleri yayınlandı.

Dünden beri Mehmet Eroğlu’nun yeni kitabını okuyordum. Açıkçası uzun aradan sonra ME’den yeni bir kitap bana çok iyi gelmişti. Bayağı da ilerledim. Ama demin aşağıdaki haber geçti Facebook’tan. Solaris 11 belgeleri yayınlanmış.

Eh Oracle, bu bana yapılacak şey mi şimdi ? Hangisini okuyayım ben ? Patronuma söylesem de mesai saatlerini bir süreliğine okuma saatine mi çevirsem acaba ?

 

Solaris 11 hakkındaki tüm belgeler.

http://download.oracle.com/docs/cd/E23824_01/

“Nasıl yaparım ?” belgeleri

http://www.oracle.com/technetwork/systems/alltopics/index.html

Solaris 11 “Nasıl yaparım?” belgeleri

http://www.oracle.com/technetwork/systems/alltopics/s11collection-1356714.html

Solaris 10, başka syslog sunucusuna yönlendirmek

İster inanın , ister inanmayın ; Google’da Solaris 10 sunucusunun sysloglarını başka bir sunucuya yönlendirmeyle ilgili bilgi aradığınızda ilk 3-5 sayfada dişe dokunur bir bilgi gelmiyor.
Bu aslında Internet’in bize sağladığı mı diyelim yoksa başımıza sardığı mı ; ciddi bir üşengeçlik ve araştırmacı ruh zehirlemesi.

Bu bilgi zaten /etc/syslog.conf içinde duruyor. Ah Google…
Biraz daha işe yarar bilgi ekteki blogda var.

http://woss.name/2007/06/17/solaris-logging-to-a-separate-loghost-the-easy-way/

Örnek konfig aşağıda ;

user.debug                                              ifdef(`LOGHOST’, /var/log/syslog.user, @loghost)
kern.info                                               ifdef(`LOGHOST’, /var/log/syslog.kernel, @loghost)
daemon.info                                             ifdef(`LOGHOST’, /var/log/syslog.daemon, @loghost)
auth.info                                               ifdef(`LOGHOST’, /var/log/syslog.auth, @loghost)
cron.info                                               ifdef(`LOGHOST’, /var/log/syslog.cron, @loghost)
audit.info                                              ifdef(`LOGHOST’, /var/log/syslog.audit, @loghost)

Link : Solaris öldü mü ? Solaris 11 Ölü bir yatırım mı ?

http://medianetwork.oracle.com/video/player/1218920897001

 

Link : 11 Reasons Why Oracle Solaris 11 11/11 Isn’t Being Released on 11/11/11

http://blogs.oracle.com/solaris/entry/11_reasons_oracle_solaris_11

So here’s why we didn’t go with that date.  (Two of these are actually the real reasons.)

1. Whoa — we never thought of that!
2. We just couldn’t wait.
3. Friday — not a good day for a product launch.
4. Armistice Day/Remembrance Day/Veterans Day — not a good day for a product launch.
5. Sony Pictures begged us not to release on the same day as the new Adam Sandler movie.
6. We figured the launch parties would keep going for three days.
7. Dysnumeria.  (This does not appear to be an actual word.)
8. Hoping to ride the coattails of the commemorations of Louis the Bavarian‘s defeat of his cousin Frederick I of Austria at the Battle of Gamelsdorf in 1313.
9. “11″ is actually 9–in octal.  OK, that one’s exceptionally weak.
10. November 9 is Inventors’ Day!  (Which is held on this day because it’s the birthday of actress Hedy Lamarr, who invented frequency-hopping spread spectrum signalling in 1942.  I am not making this up.)
11. “No… that’s just what they’ll be expecting us to do.“

NFS automount problemi Solaris 10

Solaris 10 makinelerinde kullandığımız nfs disk bölümlerini /etc/vfstab içine yazmama rağmen bir türlü automount olmadığını görünce biraz araştırma yaptım ve aşağıdaki yazışmayı buldum.

İlginç bir bilgi olduğunu düşünerek yayınlıyorum.

http://www.opensolaris.org/jive/thread.jspa?threadID=25567

Özetle, nfs disk bölmesinin otomatik yüklenmesi için nfs SMF servisinin online durumda olması gerekiyor. Bendeki durumu kontrol ettiğimde gerçekten de disable durumda olduğunu gördüm.

Güvenli Apache kurulumu (1)

Solaris 10 sunucularımızda Apache 2.2.x sürümlerini çalıştırmak için hazırlık yapıyoruz. Elbette güvenli kurulumun üzerinde yine aynı şekilde güvenli modda çalışan uygulamalar istediğimiz için Apache web server’ın da güvenli kurulumuna dair araştırmalar yapmaya başladık.

Bu ilk kısımda Sun’ın bu konuda yayınlanmış belgelerini referans alarak Apache’nin kısıtlı yetkilerle kontrollü çalıştırılmasına dair bulduklarımı özetlemeye çalışacağım.

Apache’nin SMF servisi olarak nasıl çalıştırılacağını daha önceki bir yazımda açıklamıştım.

Apache SMF dönüşüm

SMF servisi olarak başlattıktan sonra servisin deamon veya root gibi kullanıcı hesapları yerine, kısıtlı yetkilere sahip webservd hesabıyla çalıştırılabilmesi için aşağıdaki komutların takip edilmesi yeterlidir.

# svccfg -s apache2
svc:/network/http:apache2> setprop start/user = astring: webservd
svc:/network/http:apache2> setprop start/group = astring: webservd

Apache servisinin minimum yetki seviyesinde çalıştırılması için gereken ayarlamalar yapılıyor.

svc:/network/http:apache2> setprop start/privileges = astring: basic,!proc_session,!proc_info,!file_link_any,net_privaddr
svc:/network/http:apache2> setprop start/limit_privileges = astring: :default
svc:/network/http:apache2> setprop start/use_profile = boolean: false
svc:/network/http:apache2> setprop start/supp_groups = astring: :default
svc:/network/http:apache2> setprop start/working_directory = astring:
:default
svc:/network/http:apache2> setprop start/project = astring: :default
svc:/network/http:apache2> setprop start/resource_pool = astring: :default
svc:/network/http:apache2> end

Bu noktada servisi yeniden enable etmek gerekiyor.

# svcadm -v enable -s apache2
svc:/network/http:apache2 enabled.

Eğer servis daha önceden çalıştırılmışsa /usr/local/apache2 dizininin sahipliği bin:bin olarak düzenlenmiştir. Bu durumda webservd hesabı log dosyalarını okuyamayacağı için aşağıdaki hata mesajını alabilirsiniz.

 

# cat /var/svc/log/application-web-apache2:default.log

[ Nov 13 14:46:31 Executing start method ("/usr/local/apache2/bin/apachectl start") ]
(13)Permission denied: httpd: could not open error log file /usr/local/apache2/logs/error_log.

Bu durumda klasör sahipliğini webservd hesap ve grubuna devretmek gerekiyor.

chown -R webservd:webservd /usr/local/apache2/

Daha sonra sunucuyu yeniden başlattığınızda httpd servisinin yalnızda bu kullanıcı hesabıyla çalıştığını kontrol etmelisiniz.

ps -ef|grep http|grep -v grep

webservd   714   459   0 15:12:56 ?           0:00 /usr/local/apache2/bin/httpd -k start

ppriv -S 714

714:    /usr/local/apache2/bin/httpd -k start

flags = <none>

E: net_privaddr,proc_exec,proc_fork

I: net_privaddr,proc_exec,proc_fork

P: net_privaddr,proc_exec,proc_fork

L: all

Vmware Tools 4.0 ve Solaris 10

Vsphere 4.0′a geçtiğimizden bu yana sanal Solaris 10 sunucularının vmware tools paketlerini değiştirmek için fırsat kolluyordum. Geçen hafta sonu bir kaç makinede bu işlemi yapıp yeni VM tools’u yükledikten sonra servisin kendiliğinden kapandığını farkettim. Makine açılışında servis açılıyor ancak daha sonra kapanıyordu. Bu konuyla ilgili küçük bir araştırmadan sonra UTF-8 locale ile ilgili aşağıdaki paketin yüklenmesi gerektiğini öğrendim. Paket yüklendikten sonra sunucular sorunsuz olarak VM tools’u çalıştırmaya başladılar.

VMware Tools does not start on a Solaris guest

http://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=1014683

 

 

Solaris 10 güvenli kurulum (1)

Güvenli bir Solaris 10 kurulumu hazırlamaya çalışıyorum. Olabildiğince az servis ve uygulama yüklü olması tercihim. Gereken her türlü ortamda minimum saldırı yüzeyine sahip, kullanışlı bir işletim sistemi. Üzerinde bayağı zamandır çalışıyorum ve bu konuda bir yordam hazırladığımı söyleyebilirim.

Temel paket olarak Core Networking (SUNWcreq) paketini kullandım. Aşağıda gerekli olduğunu düşündüğüm ve  ek olarak yüklediğim paketler bulunuyor.

• Automated Security Enhancment Tools (SUNWast)
• Audit Service Implementation (SUNWaudit)
• Basic Audit Reporting Tools (SUNWbart)
• Documentation Tools (SUNWdoc )
• Freeware other utilities (SUNWCfwutil)
• Freeware shells (SUNWCfwshl)
• On-line manual pages (SUNWman)
• Secure Shell (SUNWCssh)

Daha sonra sıra yamalamaya geldi. PCA (Patch check advanced) scriptini kullanarak sunucumun yamalarını yükledim. Bu yükleme için yalnızca Perl’e ve wget’e ihtiyaç duyuluyor. Perl mevcut kurulumda gelmekte. wget ise

• GNU wget (SUNWCwget)
• Bağımlılık  – Common GNU package (gcmn)

paketlerinin yüklenmesiyle hazır hale geliyor. PCA’nın aktif hale gelmesi için sunucunuzu doğrudan HTTPS ile Internet’e çıkabilir hale getirmek gerekli.  Çalıştığında 60′a yakın yama buluyor ancak bende bunlardan yalnızca 20′sini yükledi.

http://www.par.univie.ac.at/solaris/pca/intro.html

Bu işlemler bittikten sonra da sunucuya Solaris Security Toolkit (SUNWjass) ile bazı ilave düzenlemeler yaptım. SUNWjass’ı http://www.sun.com/software/security/jass/ sayfasından indirebilirsiniz. Araç hakkında detaylı bilgiye bu blogdan ulaşmak mümkün.

SUNWjass çalıştırıldığında /etc/hosts.deny dosyasına ALL kaydını ekliyor. Dolayısıyla başta ayarları özelleştirmezseniz bir sonraki açılışta sunucuya SSH bağlantısı yapamayacaksınız anlamına geliyor. Bu nedenle uygulamadan önce test sistemlerinde çalıştırmak ve özelleşmiş ayarlarla prod sistemlerine geçmek en doğrusu.

 

BackupExec 12.5 ve Solaris 10 yedekleme sorunu

Yedekleme yazılımımızı BrightStore’dan Symantec BackupExec 12.5′a geçirdiğimizden bu yana enteresan sorunlarla karşılaşıyoruz. Geniş bir platform ve farklı sistemlerin olduğu bir ortamda böyle bir değişikliğin sancısız olmayacağının farkındaydık ama bu kadar da enteresan şeyler göreceğimizi açıkçası pek sanmıyordum.

Anlatmaya çalıştığım sorunumuz şu : Solaris 10 U7 sunucularda BackupExec agent’ını yükleyerek çalıştırdıktan sonra BE’nin yönetim konsolunda normal olarak sunucuyu görmemiz gerekir. Ancak farklı yöntemler denememize rağmen bir türlü sunucuyu BE’ye tanıtmayı başaramadık.

Agent’ın debug modunu açtığımızda da hep aynı mesajı alıyorduk ;

NrdsAdvertiserThread: EnumSelfDLE for file system 22 returned -1(0xFFFFFFFF) and 0 DLEs

Symantec’le yaptığımız yazışmalar ve açılan “case” sonucunda bize, ipe sapa gelmeyen aşağıdaki açıklamayı gönderdiler.

http://seer.entsupport.symantec.com/docs/316840.htm

Özetle, Solaris’teki NIC cihaz adının ortasında (başı ve sonu değil) rakam bulunuyorsa BE 12.5 sunucusu bu agentı tanımıyor, agent kendisini BE’ye tanıtamıyor gibi garip bir durum vardı. (Ör : e1000g0 çalışmıyor, fge0 çalışıyor).

Tabi bu durumu önceleri biraz gülerek ama zaman ilerledikçe ve işler aksadıkça kızarak ve sonrasında da ciddi öfke patlamaları şeklinde karşılamaya başladık. İşin kötü yanı , NIC device name’ler henüz Solaris 10′da değiştirilemiyor. Ortamımızda tüm Solaris sunucuları Vmware ESX 3.5 üzerinde çalışıyor ve ESX hostlarda yalnızca e1000g sürücüsünü kullanan Ethernet kartları tanımlı. Dolayısıyla kartları değiştirerek de “device name”leri değiştirme imkanımız yok.

Cihaz ismini değiştirme seçeneği yalnızca Open Solaris ‘de dladm rename-link komutu ile desteklenmekte.

http://www.sun.com/bigadmin/sundocs/articles/vnamingsol.jsp

http://www.opensolaris.org/os/project/clearview/docs/vnameoverview.pdf

Ama en sonunda biraz (itiraf ediyorum birazdan daha fazla ) kastırınca ve Sun Microsystems Türkiye’den de küçük bir destek alarak sorunumuzu çözdük.

Yaptığımız işlem basitçe Solaris ve BE’yi kandırmak. Mevcut ismi değiştiremeyince biz de içinde tek NIC’in bulunduğu bir Link aggregation yaratarak BE’nin muhatap olduğu NIC’in seveceği türden (!) bir isminin olmasını sağladık. Aşağıda bu işlemi nasıl yaptığımızı gösteren komutlar bulunuyor.

# ifconfig e1000g0 down unplumb (bu komutu kullanmadan dladm çalıştırılırsa ‘cihaz kullanılıyor’ hatası veriyor)
# dladm create-aggr -d e1000g0 1
# ifconfig aggr1 plumb up
# mv /etc/hostname.e1000g0 /etc/hostname.aggr1

Not : Sun Microsystems Türkiye’den Serkan Berk’e yardımları için bu vesileyle teşekkür ediyoruz.