lilo.linux.or.jp1 を 1wheezy1 から 1 jessie1 にあげた話 Kazuhiro1NISHIYAMA LILO& 東海道らぐオフラインミーティング

(1)

lilo.linux.or.jp

�

を

�wheezy�から�

jessie

�にあげた話

Kazuhiro

_�NISHIYAMA

LILO&東海道らぐオフラインミーティング 2016-05-01

(2)

lilo.linux.or.jp

�とは?

主な用途:

LILO_{�の�Web�サーバー�}

(apache)

(3)

環境

さくらの_�VPS

(4)

アップグレード前

リリースノートを読む https://www.debian.org/releases/ jessie/amd64/release-notes/ch-upgrading.ja.html その他情報収集

(5)

問題点

�(1/2)

apache_{�2.2�から�2.4�への変更} がネック allow_{�や�deny�の設定⽅法が変わって} いる中間証明書の設定⽅法が変わった証明書ファイルに結合して指定するように変わった SSL/TLS_{�を�(まだ)�使っていないので影響なし}

(6)

問題点

�(2/2)

denyhosts_{�がなくなる} openssh_{�6.7�で�libwrap�サポートが} 無くなることもあって_{�fail2ban�に移} ⾏ milter-manager_{�を使っている} が_{�OS�の更新時の⼿順のドキュ} メントがない

(7)

denyhosts

�から�fail2ban�

への移⾏

_�(1/2)

aptitude_{�purge�denyhosts} aptitude_{�install�fail2ban} /etc/hosts.deny_�の� denyhosts_{�で追加された⾏を削} 除

(8)

denyhosts

�から�fail2ban�

への移⾏

_�(2/2)

/etc/hosts.allow_{�の「ALL:�} 127.0.0.1_{�[::1]」に「sshd:�} ALL」を追加 /etc/hosts.deny_{�の「ALL�} EXCEPT_{�sshd:�ALL」を削除} /etc/hosts.deny_{�に「ALL:�} ALL」を設定

(9)

ntp

�削除

systemd-timesyncd_{�に移⾏す}

(10)

アップグレード

�(1/2)

/etc/apt/sources.list_{�と�/etc/} apt/sources.list.d/milter-manager.list_{�の�wheezy�を�} jessie_�に変更 apt-get_�update echo_{�$COLUMNS�$LINES�が�} 80_{�25�になるように端末をリサ} イズ_{�(scriptreplay�を考慮して)}

(11)

アップグレード

�(2/2)

script �-t�2>~/upgrade-jessie1.time �-a�~/upgrade-jessie1.script apt-get_�upgrade apt-get_{�dist-upgrade} reboot

(12)

mailman

「古いキューファイルが存在します」で質問が出た多少メールがロストしても大した問題はないので「かまわずに継続」で進んだ

(13)

設定ファイルのマージ

途中設定ファイルをどうするか聞かれた時は全て既存のファイルを使用を選んだ

(14)

rkhunter.conf

�(1/3)

mv_{�rkhunter.conf.dpkg-dist�} rkhunter.conf aptitude_{�install�unhide} aptitude_{�purge�unhide.rb} 実際は後で_{�unhide�パッケージに変更} した

(15)

rkhunter.conf

�(2/3)

反映しなかった変更: ALLOW̲SSH̲PROT̲V1=1 SCRIPTWHITELIST=/usr/bin/ unhide.rb unhide.rb_{�から�unhide�パッケージに} 置き換えたため

(16)

rkhunter.conf

�(3/3)

反映した変更: ��

(17)

/etc/etckeeper/

etckeeper.conf

mv_{�etckeeper/} etckeeper.conf.dpkg-dist_� etckeeper/etckeeper.conf GIT̲COMMIT̲OPTIONS="-v"_� を再設定

(18)

/etc/default/

spamassassin

ENABLED=1_{�にするだけの変更} だった mv_{�/etc/default/} spamassassin{.dpkg-dist,} /lib/systemd/system/ spamassassin.service_�に移⾏済みなので_{�ENABLED�は影響な} し

(19)

spamassassin/local.cf

�� そのまま_{�rm�/etc/} spamassassin/local.cf.dpkg-dist

(20)

/etc/dokuwiki/local.php

��_{��} ではなく �� になっていたので、そのまま「rm_� dokuwiki/local.php.ucf-dist」した。

(21)

/etc/dokuwiki/

apache.conf

「order_{�allow,deny」と「Allow�} from_{�ALL」を「Require�all�} granted」に「Deny_{�from�all」を「Require�} all_{�denied」に} rm �dokuwiki/apache.conf.ucf-dist

(22)

/etc/milter-greylist/

greylist.conf

mv_{�milter-greylist/} greylist.conf.dpkg-dist �milter-greylist/greylist.conf http://milter-manager.sourceforge.net/ reference/ja/install-to-debian.html_�の設定

(23)

apache2

�の�sites

rm_{�apache2/sites-enabled/} lilo.linux.or.jp mv_{�apache2/sites-available/} lilo.linux.or.jp{,.conf} a2ensite_{�lilo.linux.or.jp.conf}

(24)

apache2

�のアクセス許可設

定

「Order_{�allow,deny」と「allow�} from_{�all」を「Require�all�} granted」に変更「service_{�apache2�reload」で} 反映

(25)

apache2

�の�conf

dokuwiki.conf

�は自動で�conf-available,conf-enabled_�に移⾏

済みだった

(26)

dokuwiki

�の修正�(1/2)

http://lilo.linux.or.jp/wiki/_�で「A_{�fatal�error�occured�} during_{�compilation�of�the�} CSS_{�ﬁles.�If�you�recently�} installed_{�a�new�plugin�or�} template_{�it�might�be�broken�} and_{�you�should�try�disabling�} it�again.�[parse�error:�failed� at_{�`#line-height:�1em;�`��in�/} lib/tpl/vector/static/css/ screen.css_{�at�line�384]」}

(27)

dokuwiki

�の修正�(2/2)

「#line-height:_{�1em;�/*�ﬁx�} MSIE_{�6,�7�*/」と古いサポート} 切れの_{�IE�向け記述だったので削} 除同様の修正をいくつか

(28)

ntp

�設定�(1/3)

(29)

ntp

�設定�(2/3)

/etc/systemd/ timesyncd.conf_{�の�Servers�設} 定 Servers=ntp1.sakura.ad.jp systemctl �restart�systemd-timesyncd_�で反映

(30)

ntp

�設定�(3/3)

systemctl

�status�systemd-timesyncd_{�や�timedatectl�で確}

(31)

掃除

�(1/2)

apt-get_{�autoremove} aptitude_{�purge�'~c'} aptitude_{�search�'~i!~Odebian!} ~Omilter'_{�でもうインストールで} きない古いパッケージ⼀覧

(32)

掃除

�(2/2)

aptitude_{�purge�'~i!~Odebian!} ~Omilter' ここで「rkhunter_{�が�unhide.rb�|�} unhide_{�を推奨」と出たので�} unhide.rb_{�から�unhide�に移⾏} 削除後に「Invalid_� SCRIPTWHITELIST_{�conﬁguration�} option:_{�Non-existent�pathname:�/} usr/bin/unhide.rb」と出たのでコメントアウト

(33)

mailman

�のエラー対応�

(1/4)

昨⽇さとうさんの指摘で気付いた lilo_{�ML�のメールが流れない状態} になっていた

(34)

mailman

�のエラー対応�

(2/4)

根本的な原因は_{�Debian�の�UTF-8�} 対応 ��

(35)

mailman

�のエラー対応�

(3/4)

Web_{�の設定画⾯から⽂字化けし}

ていた_{�description�と�info�を修}

(36)

mailman

�のエラー対応�

(4/4)

/var/lib/mailman/qﬁles/ shunt/_{�に�qrunner�でエラーに} なったメールがたまっていた /var/lib/mailman/bin/ unshunt_{�コマンドを実⾏すると} 流れた

(37)

⼆要素認証導⼊

aptitude �install�libpam-google-authenticator /etc/pam.d/sshd_{�と�/etc/ssh/} sshd̲conﬁg_�設定対象ユーザーで �google-authenticator_{�コマンド実⾏}

(38)

/etc/pam.d/sshd

http://blog.n-z.jp/ blog/2016-04-18-libpam-google-authenticator.html_�参照 ��

(39)

ssh/sshd̲conﬁg

�(1/3)

ChallengeResponseAuthentic ation_�yes AuthenticationMethods_� publickey,keyboard-interactive

(40)

ssh/sshd̲conﬁg

�(2/3)

設定変更後、「service_�ssh� restart」すると_{�sshd�が起動し} ていなかった LV=-c_{�journalctl�-u�} ssh.service_�で調査 AuthenticationMethods_{�is�not�} supported_{�with�SSH�protocol�1}

(41)

ssh/sshd̲conﬁg

�(3/3)

「Protocol_{�2,1」を「Protocol�} 2」に変更 rkhunter.conf_�の「ALLOW̲SSH̲PROT̲V1=1」はこれが関係していた

(42)

TLS

�導⼊

letsencrypt_{�の証明書導⼊} 事前準備 JLA_{�(linux.or.jp�の管理組織)�に確認} letsencrypt_{�用メールアドレス作成} 各種サービスに設定

(43)

letsencrypt

�パッケージイ

ンストール

backports_{�を有効に} deb_{�http://ftp.jp.debian.org/} debian_{�jessie-backports�main} インストール apt_{�install�-t�jessie-backports�} letsencrypt バージョン_{�0.5.0-1~bpo8+1�が} ⼊った

(44)

letsencrypt

�の証明書発⾏

重要やアカウントの復旧用メールア

(45)

letsencrypt

�の証明書発⾏

(46)

letsencrypt

�の証明書発⾏

(47)

postﬁx

�設定�(変更前)

��

(48)

postﬁx

�設定�(変更後)

��

(49)

postﬁx

�設定

snakeoil_{�から�letsencrypt�の証} 明書に変更 SSLv2,_{�SSLv3�を禁⽌} service_{�postﬁx�reload�で設定} 反映 nc_{�localhost�25�で�EHLO�} localhost_{�で動作確認�} (STARTTLS_{�が含まれる)}

(50)

apache2

�設定�(1/2)

/etc/apache2/sites-available/_{�の�default-ssl.conf�} などを元に設定作成 a2ensite_� lilo.linux.or.jp̲ssl.conf_�で有効に

(51)

apache2

�設定�(2/2)

a2enmod_{�ssl�で�SSL�を有効に} service_{�apache2�restart�で反} 映 ufw_{�allow�443/tcp�でポート開} 放 https://lilo.linux.or.jp/_{�で表⽰確} 認

(52)

mailman

�設定変更

/etc/mailman/mm̲cfg.py_�の� DEFAULT̲URL̲PATTERN_�を変更 'http://%s/cgi-bin/mailman/'_�を 'https://%s/cgi-bin/mailman/'_�に変更

(53)

自動更新設定

�(1/2)

/etc/cron.daily/local-letsencrypt_{�に以下のスクリプト} を設置 ��

(54)

自動更新設定

�(2/2)

スクリプトについて基本部分は_{�https://letsencrypt.org/} getting-started/_�由来ログの保存回数_{�(⽇数)�の�90�は�} letsencrypt_{�の証明書の有効期限から} savelog_{�コマンドは�debianutils�パッ} ケージ由来失敗した時以外でも差分があればメールが⾶ぶ

(55)

まとめ

�(1/3)

wheezy_{�から�jessie�へのアップ} グレードしました。 apache_{�の移⾏で少しの間�Web�が⾒} えない時間が発⽣しました。 dokuwiki_{�も雑に対処しました。} mailman_{�で問題が起きました。} 他は大きな問題はなさそうでした。

(56)

まとめ

�(2/3)

⼆要素認証を導⼊しました。今は_{�google-authenticator�コマンド} を実⾏して_� ~/.google̲authenticator_{�が存在する} ユーザーだけ移⾏期間として１ヶ⽉くらい余裕を⾒て、6⽉になったら_� ~/.google̲authenticator_{�の存在チ} ェックを外す予定

(57)

まとめ

�(3/3)

letsencrypt_{�の証明書を導⼊} postﬁx_{�(SMTP�over�TLS)�と�} apache2_{�(https)�の設定} mailman_{�の設定も変更} cron_{�で自動更新の設定}