小编Sve*_*ven的帖子

我应该打开/NAT 哪些端口以允许我使用远程桌面？

我知道那里有骗子，但在我的情况下我似乎无法解决这个问题。

我正在关注一篇关于使用 apache 将 nginx 设置为反向代理的文章。

我得到这个错误：

nginx: [emerg] "server" directive is not allowed here in 
       /etc/nginx/v.hosts/mydomain.com.conf:3
nginx: configuration file /etc/nginx/nginx.conf test failed

我的/etc/nginx/nginx.conf看起来像这样：

http {
    include       /etc/nginx/mime.types;
    default_type  application/octet-stream; 
    access_log  /var/log/nginx/access.log  main;  
    charset   utf-8;
    keepalive_timeout  65;
    server_tokens       off;
    tcp_nopush          on;
    tcp_nodelay         off;

    server {
          listen 80;
          server_name  _;          
          root   /usr/share/nginx/html;
          index  index.html index.htm;     
       }
    }
include  v.hosts/*.conf;

这/etc/nginx/v.hosts/mydomain.com.conf看起来像这样：

server {
      listen 80;
      server_name  mydomain.com;

       access_log  off;
       error_log off;

      location / {
        proxy_pass http://127.0.0.1:81;
        proxy_set_header        X-Real-IP …

我只是尝试在我的硬盘上运行测试，但它不想完成自测。结果如下：

smartctl --attributes --log=selftest /dev/sda
smartctl 6.2 2013-07-26 r3841 [x86_64-linux-3.13.0-32-generic] (local build)

=== START OF READ SMART DATA SECTION ===
SMART Attributes Data Structure revision number: 16
Vendor Specific SMART Attributes with Thresholds:
ID# ATTRIBUTE_NAME          FLAG     VALUE WORST THRESH TYPE      UPDATED  WHEN_FAILED RAW_VALUE
  1 Raw_Read_Error_Rate     0x002f   200   200   051    Pre-fail  Always       -       697
  3 Spin_Up_Time            0x0027   206   160   021    Pre-fail  Always       -       691
  4 Start_Stop_Count        0x0032   074   074   000    Old_age   Always       -       26734
  5 Reallocated_Sector_Ct   0x0033   200   200   140    Pre-fail …

在我们的团队中，我们有三位经验丰富的 Linux 系统管理员，他们必须管理几十台 Debian 服务器。以前我们都使用 SSH 公钥认证作为 root 工作。但是我们就该场景的最佳实践进行了讨论，但未能达成任何一致。

大家的SSH公钥放在~root/.ssh/authorized_keys2

• 优点：使用方便，SSH代理转发容易，开销小
• 缺点：缺少审计（你永远不知道哪个“根”做了更改），更容易发生事故

使用个性化帐户和sudo

这样我们就可以使用 SSH 公钥使用个性化帐户登录，并使用sudo以root权限执行单个任务。此外，我们可以给自己一个允许我们查看日志文件的“adm”组。

• 优点：良好的审计，sudo防止我们太容易做白痴的事情
• 缺点：SSH 代理转发中断，这很麻烦，因为非 root 用户几乎无法完成任何操作

使用多个 UID 0 用户

这是一位系统管理员提出的非常独特的建议。他建议在 /etc/passwd 中创建三个用户，所有用户的 UID 为 0，但登录名不同。他声称这实际上并没有被禁止，并且允许每个人都是 UID 0 但仍然能够进行审计。

• 优点：SSH 代理转发工作，审计可能工作（未经测试），没有sudo麻烦
• 缺点：感觉很脏 - 无法在任何地方找到它作为允许的方式记录

你有什么建议？

我们在公共数据中心租用了许多主机。数据中心不提供私有 VLAN；所有主机都会收到一个（或多个）公共 IPv4/IPv6 地址。主机配备非常现代的 CPU（Haswell 四核，3.4GHz）并具有 Gbit 上行链路。数据中心的不同区域（房间？楼层？建筑物？）与 - 据我所知 - Gbit 或 500Mbit 链路互连。我们的主机正在运行 debian wheezy。目前，我们运行的主机略高于 10 台，预计在不久的将来还会增长。

我正在寻找一种方法来让所有主机安全且保密地相互通信。第 3 层很好，第 2 层还可以（但不是必需的）。由于我无法访问 VLAN，因此它必须是某种类型的 VPN。

对我来说重要的是：

1. 高吞吐量，理想情况下接近线速
2. 分散的网状架构 - 这是为了确保吞吐量不会被中心元素（例如 VPN 集中器）减慢
3. CPU 占用空间并不大（考虑到 AESNI 和 GCM 密码套件，我希望这不是一个荒谬的要求）
4. 操作简便；设置不太复杂；网络可以增长而不会失去已建立的连接

我们目前正在使用tinc。它滴答作响 [2] 和 [4]，但我只达到了 960Mbit/s 线速的大约 600Mbit/s（单工），并且我完全失去了一个核心。此外，tinc 1.1 - 目前正在开发中 - 还不是多线程的，所以我坚持单核性能。

传统的 IPSec 是不可能的，因为它需要一个中心元素，或要配置的 sh*tload 隧道（以实现 [2]）。带有机会性加密的 IPsec 将是一个解决方案，但我不确定它是否曾经将其转化为稳定的生产代码。

我今天偶然发现了tcpcrypt。除了缺少身份验证，它看起来像我想要的。用户空间的实现听起来很慢，但所有其他 VPN 也是如此。他们谈到内核实现。我还没有尝试过，我对它的行为很感兴趣 [1] 和 [3]。

还有哪些其他选择？不在AWS 上的人们在做什么？

附加信息

我对 GCM 感兴趣，希望它能减少 CPU 占用空间。请参阅 …

使用此配置：

server {
    listen 8080;
    location / {
        if ($http_cookie ~* "mycookie") {
            proxy_set_header X-Request $request;
            proxy_pass http://localhost:8081;
        }
    }
}

重新加载 nginx 服务时出现此错误：

Reloading nginx configuration: nginx: [emerg] "proxy_set_header" directive is not allowed here in /etc/nginx/conf.d/check_cookie.conf:5
nginx: configuration file /etc/nginx/nginx.conf test failed

此配置工作正常，但它不符合我的要求：

server {
    listen 8080;
    location / {
        proxy_set_header X-Request $request;
        if ($http_cookie ~* "mycookie") {
            proxy_pass http://localhost:8081;
        }
    }
}

为什么我不能将proxy_set_header指令放在 if 子句中？

我想知道 Linux 服务器发行版的市场份额。CentOS 仍然是最好的吗？
我应该去哪里找一些可靠的文件。- 并稳定保持。

你知道好的网站吗？

在 PostgreSQL 上设置一个 100 TB 的数据库（实际上大约 90 TB）而不在多个节点之间进行数据分片是否现实？是否有任何关于类似设置的成功案例/示例？

在 Linux 服务器上，我需要从一组用户中删除 root 权限。但是这些用户有正当理由能够使用“查找”实用程序根据文件名、修改日期和其他元数据搜索文件。

在服务器上，文件名不敏感，但文件内容可能敏感。

我想使用 sudo 来允许用户搜索服务器上任何地方的文件。“find”实用程序很棒，但它会产生各种副作用，例如使用“-exec”生成任意命令。

我可以find在我的限制下工作吗？

我正在维护一个 mac 和 linux 的异构网络，所以我决定创建一个小 perl 脚本来统一跨机器的安装策略。

实际上，我已经有一个可以工作的 perl 脚本，但是，密码似乎是我不喜欢的命令行的一部分：

 mount_smbfs -d 755 -f 755 //username_here:password_here@myserver.com/cifs_share

尝试阅读 mount_smbfs 和 nsmb.conf 的手册页，但我仍然对如何前进感到困惑。

我的机器是雪豹，豹和狮子机器。