nabeの雑記帳

SHA-2で、SSL鍵を生成したときのメモ。

$ openssl genrsa -des3 -out mydom.key.crypt 2048 -sha256
$ openssl rsa -in mydom.key.crypt -out mydom.key
$ openssl req -new -sha256 -key mydom.key -out mydom.csr

メモ代わり。

HOST="192.168.0.1"
PORT="80"

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A PREROUTING  -i eth0 -p tcp --dport "100$PORT" -j DNAT --to $HOST:$PORT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -A FORWARD -p tcp --dport $PORT -d $HOST -j ACCEPT
iptables -A FORWARD -p tcp --sport $PORT -s $HOST -j ACCEPT

参考

記述が散らばってきたのと、さすがに古くなった部分があるのでまとめメモ。

• キーボード環境の設定
• コンソールとGRUB画面の設定
• fbterm
• 固定IP
• rpcbindとeximを止める
• rootとwheel
• firewallの導入
• hosts.allow/deny
• sshdのパスワード認証とrootログインを禁止
• localeの変更
• tmpfsの設定変更
• ntp設定
• PostgreSQLのリポジトリ追加
• PostgreSQLの設定
  • 後から変更
  • autovacuumの設定
• GNU parted
• コンソール日本語入力
• その他
• 雑多メモ

キーボード環境の設定

apt-get install console-setup
dpkg-reconfigure locales

コンソールとGRUB画面の設定

高解像度すぎて使いにくいのでほどほどに。

# vi /etc/default/grub
GRUB_CMDLINE_LINUX_DEFAULT=""
GRUB_CMDLINE_LINUX="video=800x600-16"
GRUB_GFXMODE=800x600
GRUB_GFXPAYLOAD_LINUX=keep
# update-grub

ついでに「mitigations=off」してMeltdown対策などをオフにすると、古いIntel CPUでは（セキュリティを犠牲にして）パフォーマンスが向上するらしい。

# vi /etc/default/grub
GRUB_CMDLINE_LINUX="video=800x600-16 mitigations=off"

fbterm

# apt-get install fbterm unifont
# usermod -aG video <user id>
# vi ~/.fbtermrc
font-names=unifont
font-size=16

このままだとアンチエイリアスが掛からないので設定する。（設定済の場合は不要）

# vi ~/.font.conf
<?xml version="1.0"?>
<!DOCTYPE fontconfig SYSTEM "fonts.dtd">
<fontconfig>
<match target="font">
	<edit name="antialias" mode="assign">
		<bool>true</bool>
	</edit>
</match>
</fontconfig>

固定IP

# vi /etc/network/interfaces
auto eth0
iface eth0 inet static
	address 192.168.1.20
	netmask 255.255.255.0
	gateway 192.168.1.1
#	mtu 9000

rpcbindとeximを止める

# apt-get remove --purge rpcbind nfs-common
# apt-get remove --purge exim4 exim4-base exim4-config exim4-daemon-light

rootとwheel

# vi /etc/pam.d/su
auth       required   pam_wheel.so group=adm
# gpasswd -a USER adm

firewallの導入

# touch /etc/network/if-pre-up.d/iptables
# ln -s /etc/network/if-pre-up.d/iptables /etc/
# chmod +x /etc/network/if-pre-up.d/iptables
# vi /etc/iptables

設定詳細はこちらの記事。

hosts.allow/deny

ALL : my_hostname
ALL : localhost
sshd : .jp

sshdのパスワード認証とrootログインを禁止

# vi /etc/ssh/sshd_config
PasswordAuthentication no
PermitRootLogin no
# /etc/rc.d/ssh restart

鍵認証設定後に。

localeの変更

# dpkg-reconfigure locales

tmpfsの設定変更

デフォルトだと実メモリの半分以上をtmpfsに割り当てられてしまいます。実使用分しかメモリを消費しないとはいえ気持ち悪いです。

/etc/default/tmpfsを書き換えればいろいろ設定できるはずと思ったら、Debian jessieは「sysvinit」ではなくなってるらしく/etc/default/tmpfsに設定しても意味がない。

/etc/systemd 以下に書くのが正解なようですが、どう書けばいいかの情報がないのでしばらく保留……。

ntp設定

server   ntp.example.jp iburst
# IPv6
server   -6 ntp.example.jp iburst

状態確認

ntpq -p

PostgreSQLのリポジトリ追加

PostgreSQLの最新版が使えなかったり、アップグレードごとにメジャーバージョンが入れ替わって（古いバージョンのメンテが終わって）毎度DB移行が面倒なので。

# vi /etc/apt/sources.list
deb http://apt.postgresql.org/pub/repos/apt/ wheezy-pgdg main
# apt-get install gnupg
# wget --quiet -O - https://www.postgresql.org/media/keys/ACCC4CF8.asc | apt-key add -

PostgreSQLの設定

いつも /var/lib/postgresql ではなく /home/postgres にDBファイルを置くのだけども、ファイル移動したりシンボリックリンクしたりスマートじゃない方法で解決してました。

postgresql-commonだけ先に入れて、データディレクトリを変更。

# apt-get install postgresql-common
# vi /etc/postgresql-common/createcluster.conf
data_directory = '/home/postgres/%v/%c'

その後、任意のpostgresqlを導入。

後から変更

デフォルトDBの削除。

# pg_dropcluster --stop 9.4 main
# rm -rf /var/lib/postgresql

データディレクトリを変更してDB作成。

# vi /etc/postgresql-common/createcluster.conf
data_directory = '/home/postgres/%v/%c'
# pg_createcluster 9.4 main --options

pg_cluster系コマンドで複数のDBの起動などもできるらしい。

autovacuumの設定

デフォルトではオートvacuumが3worker×1分ごとに動作しようとし（必ず動作するわけではない）、そのたびにHDDにfsyncしてしまいます。ほとんど使用しないDBには無駄なディスク負荷なので、postgresql.conf の設定を変更しました。

autovacuum_max_workers = 1
autovacuum_naptime = 1d

GNU parted

# parted /dev/sdb
GNU Parted 3.2
Using /dev/sdb
Welcome to GNU Parted! Type 'help' to view a list of commands.
(parted) mklabel gpt
(parted) unit gb
(parted) print free
(parted) mkpart primary ext4 0 100%
(parted) print

コンソール日本語入力

# apt-get install uim-fep uim-anthy
# vi /usr/share/uim/generic-key-custom.scm
(define-custom 'generic-on-key '("zenkaku-hankaku" "<Control> ")
(define-custom 'generic-off-key '("zenkaku-hankaku" "<Control> ")

あとは「uim-fep」コマンドで起動。「CTRL+SPACE」でon/off。

その他

• postfixとdovecotの導入
• 細かなセキュリティ設定
• mailコマンド : apt-get install bsd-mailx
• SpeedyCGIのインストール（外部）

雑多メモ

特定のポートを使用中のプロセスを調べる。

# lsof -i:111
# netstat -ap

特定のファイルを含むパッケージを調べる。

$ dpkg -S [filename]

UUIDの確認。

# blkid /dev/sda1
# ls -l /dev/disk/by-uuid/

ia32-libsの代替。

# apt-get install lib32z1

開発環境一式。

# apt-get install build-essential

sshログイン時のメッセージ表示はpam.d/sshdで制御できる。

session    optional     pam_motd.so motd=/run/motd.dynamic noupdate
session    optional     pam_motd.so

バージョンの確認。

# lsb_release -a
No LSB modules are available.
Distributor ID: Debian
Description:    Debian GNU/Linux 8.1 (jessie)
Release:        8.1
Codename:       jessie