Заметки Александра Чернышева: заметки с тегом centos

OpenVPN 2.5 MD5 support

Александр Чернышев — Thu, 07 Apr 2022 17:49:45 +0300

systemctl edit openvpn-client@

[Service]
Environment="OPENSSL_ENABLE_MD5_VERIFY=1 NSS_HASH_ALG_SUPPORT=+MD5"

MTProto Proxy на CentOS7

Александр Чернышев — Tue, 10 Jul 2018 19:38:59 +0300

Решил попробовать использовать вместо 3proxy вышедшей не так давно MTProto Proxy, собрал пакет для 7 CentOS. Из зависимостей требует zlib, openssl и curl. В процессе установки автоматически генерируется секретный ключ авторизации, загружаются список серверов и ключ для доступа.
Установка сводится к следующим действиям

yum localinstall mtproto-proxy-20824f5-1.el7.x86_64.rpm
systemctl enable mtproto-proxy
systemctl start mtproto-proxy
firewall-cmd --permanent --zone=external --add-service=mtproto-proxy

По умолчанию сервер запускается на порту 8443. Если это необходимо изменить, то основные настройки вынесены в /etc/sysconfig/mtproto-proxy. Так же придется отредактировать и /etc/firewalld/services/mtproto-proxy.xml.

Теперь для подключения, в приложении, необходимо перейти по ссылке.

https://t.me/proxy?server=<SERVER_IP>&port=<PORT>&secret=<SECRET_KEY>

где:

SERVER_IP - ip адрес сервера mtproto-proxy
PORT - порт на котором запущен mtproto-proxy
SECRET_KEY - секретный ключ, который был создан в процессе установки

Для страждущих паранойей src.rpm пакет, для самостоятельной сборки, можно скачать здесь.

Настройка SOCKS5 прокси на CentOS7

Александр Чернышев — Fri, 20 Apr 2018 21:45:37 +0300

В свете последних событий, понадобился SOCKS5 прокси с авторизацией.
Поискав в интернете остановил свой выбор на 3proxy от z3APA3A, как наиболее легковесном, функциональном и активно развивающемся, последний релиз которого состоялся 18.04.2018.
К сожалению актуальной версии пакета в репозиториях CentOS не нашлось, поэтому пришлось переписать spec-файл для текущей версии 0.8.12.

Для начала необходимо скачать 3proxy, после чего можно приступать к его установки.

yum localinstall 3proxy-0.8.12-1.el7.centos.x86_64.rpm

Так как меня интересует именно SOCKS-прокси, то конфигурационный файл будет иметь следующий вид. Если нужен дополнительный функционал, то можно почитать 3proxy.cfg.example или wiki проекта на github.com

vim /etc/3proxy/3proxy.cfg

daemon
setgid 99
setuid 99

nscache 65536
nserver 127.0.0.1

timeouts 1 5 30 60 180 1800 15 60

external 0.0.0.0
internal 0.0.0.0

config /etc/3proxy/3proxy.cfg
monitor /etc/3proxy/3proxy.cfg
monitor /etc/3proxy/counters
monitor /etc/3proxy/passwd
monitor /etc/3proxy/bandlimiters

log /var/log/3proxy/3proxy.log
logformat "L%o %d %H:%M:%S      %U | %C | %R:%r | %O | %I | %n"
archiver gz /bin/gzip %F
rotate 7

users $/etc/3proxy/passwd

include /etc/3proxy/counters
include /etc/3proxy/bandlimiters

auth strong
flush
socks -p81080

Теперь добавляем пользователей, для этого выполним скрипт add3proxyuser.sh

/etc/3proxy/add3proxyuser.sh username password day_limit bandwidth

где:
username — имя пользователя
password — пароль
day_limit — лимит трафика в Мегабайтах в день
bandwidth — полоса пропускания в битах в секунду

Для примера заведем пользователя с логином и паролем admin, лимитом трафика в 100 Мегабайт в день и полосой пропускания в 1 Мегабит.

/etc/3proxy/add3proxyuser.sh admin admin 100 1048576

Теперь в файле, /etc/3proxy/passwd, появилась запись с логином и MD5-хешем пароля

admin:CR:$1$10216$EvIj9vLnQi/zydUXJXYa60

Активируем и запускаем сервис

systemctl enable 3proxy
systemctl start 3proxy

Добавляем правило в Firewall разрешающее внешнее подключение к прокси

firewall-cmd --permanent --zone=external --add-port=81080/tcp

Теперь можно применять настройки прокси перейдя по ссылке следующего содержания:

https://t.me/socks?server=my.server.org&port=81080&user=admin&pass=admin

Для страждущих паранойей src.rpm пакет, для самостоятельной сборки, можно скачать здесь.

HTTP/2.0 в Nginx на CentOS 7

Александр Чернышев — Wed, 12 Jul 2017 12:03:18 +0300

UPD
Вышло обновление openssl-1.0.2k и даное руководство больше не актуально.
_____________________________________________________________________

Решил включить HTTP/2.0 в Nginx. В процессе тестирование, при прохождении теста выяснилось, что не активно ALPN (Application-Layer Protocol Negotiation).

Для полноценной работы HTTP/2.0, Nginx должен быть собран с OpenSSL версии не ниже чем 1.0.2. В репах CentOS есть только OpenSSL версии 1.0.1.
Решить эту проблему можно двумя способами: собрать Nginx с флагом —with-openssl или собрать OpenSSL 1.0.2 для CentOS.
Первый вариант у меня не взлетел, сборка пакета завершалась неудачно, поэтому я остановился на втором варианте.
В интернет нашел сайт, где автор предлагает пачтить сорцы OpenSSL, но недавно в CentOS прилетело обновление glibc-2.17.

rpm -qa | grep glibc
glibc-common-2.17-157.el7_3.4.x86_64
glibc-2.17-157.el7_3.4.x86_64
glibc-devel-2.17-157.el7_3.4.x86_64
glibc-headers-2.17-157.el7_3.4.x86_64

readelf -s /usr/lib64/libc.so.6 | grep secure_getenv

614: 0000000000038950    27 FUNC    WEAK   DEFAULT   12 __libc_secure_getenv@@GLIBC_PRIVATE
857: 0000000000038950    27 FUNC    WEAK   DEFAULT   12 __secure_getenv@GLIBC_2.2.5
1715: 0000000000038950    27 FUNC    WEAK   DEFAULT   12 secure_getenv@@GLIBC_2.17
5228: 0000000000038950    27 FUNC    LOCAL  DEFAULT   12 __GI___libc_secure_getenv
6506: 0000000000038950    27 FUNC    WEAK   DEFAULT   12 __secure_getenv@GLIBC_2.2
6529: 0000000000038950    27 FUNC    WEAK   DEFAULT   12 secure_getenv
6918: 0000000000038950    27 FUNC    WEAK   DEFAULT   12 __libc_secure_getenv

Так что ничего патчить не нужно, а просто собираем openssl из FC23. Дополнительно потребуется пересобрать еще один пакет из FC23 crypto-policies.

yum install epel-release && yum update && yum install mock

mkdir -p ~/rpmbuild/{SPECS,SOURCES,SRPMS}

wget http://nginx.org/packages/centos/7/SRPMS/nginx-1.12.1-1.el7.ngx.src.rpm

rpm -ivh ~/nginx-1.12.1-1.el7.ngx.src.rpm

grep 'Requires: openssl >= 1.0.1' -P -R -I -l ~/rpmbuild/SPECS/nginx.spec | xargs sed -i 's/Requires: openssl >= 1.0.1/Requires: openssl >= 1.0.2/g'

grep 'BuildRequires: openssl-devel >= 1.0.1' -P -R -I -l ~/rpmbuild/SPECS/nginx.spec | xargs sed -i 's/BuildRequires: openssl-devel >= 1.0.1/BuildRequires: openssl-devel >= 1.0.2/g'

grep 'define main_release 1' -P -R -I -l  ~/rpmbuild/SPECS/nginx.spec | xargs sed -i 's/define main_release 1/define main_release 2/g'

grep '%changelog' -P -R -I -l  /root/rpmbuild/SPECS/nginx.spec | xargs sed -i 's/%changelog/%changelog\n* Wed Jul 12 2017 Aleksandr Chernyshev <mail@aschernyshev.ru>\n- 1.12.1 \n- Rebuild with openssl-1.0.2d\n/g'

/usr/bin/mock -r epel-7-x86_64 --spec=~/rpmbuild/SPECS/nginx.spec --sources=~/rpmbuild/SOURCES/ --resultdir=~/rpmbuild/SRPMS/ --no-clean --buildsrpm

wget https://aschernyshev.ru/repository/rhel/7/noarch/crypto-policies-20150518-3.gitffe885e.el7.centos.noarch.rpm
wget https://aschernyshev.ru/repository/rhel/7/x86_64/openssl-libs-1.0.2d-2.el7.centos.x86_64.rpm
wget https://aschernyshev.ru/repository/rhel/7/x86_64/openssl-1.0.2d-2.el7.centos.x86_64.rpm
wget https://aschernyshev.ru/repository/rhel/7/x86_64/openssl-devel-1.0.2d-2.el7.centos.x86_64.rpm

/usr/bin/mock -r epel-7-x86_64 --init
/usr/bin/mock -r epel-7-x86_64 --install ~/crypto-policies-20150518-3.gitffe885e.el7.centos.noarch.rpm
/usr/bin/mock -r epel-7-x86_64 --install ~/openssl-libs-1.0.2d-2.el7.centos.x86_64.rpm
/usr/bin/mock -r epel-7-x86_64 --install ~/openssl-1.0.2d-2.el7.centos.x86_64.rpm
/usr/bin/mock -r epel-7-x86_64 --install ~/openssl-devel-1.0.2d-2.el7.centos.x86_64.rpm
/usr/bin/mock -r epel-7-x86_64 --no-clean ~/rpmbuild/SRPMS/nginx-1.12.1-2.el7.centos.ngx.src.rpm

Устанавливаем получившиеся crypto-policies, openssl, openssl-libs , nginx.

Сборка пакетов без лишнего мусора в CentOS

Александр Чернышев — Fri, 17 Feb 2017 16:49:11 +0300

В процессе сборки rpm-пакетов, при разрешения зависимостей, в систему устанавливается большое количество приложений. Чтобы не засорять host-систему rpm-пакеты можно собирать в chroot. Для этих целей в CentOS существует отличные приложения mock, которое значительно упрощает этот процесс.

Для начала необходимо подключить репозиторий EPEL и установить mock

yum install epel-release -y && yum update && yum install mock -y

Далле создадим отдельного пользователя из под которого будет производится сборка пакетов

useradd mockbuild
usermod -a -G mock mockbuild

Сменим текущего пользователя на mockbuild

su mockbuild

Далее перейдем в домашний каталог пользователя mockbuild и создадим дерево каталогов

cd ~/
mkdir -p rpmbuild/{SPECS,SOURCES,SRPMS}

Конфигурации для сборки под разные дистрибутивы и архитектуры хранятся в /etc/mock/

ls -alhrt /etc/mock/

Первоначально необходимо создать chroot окружение, для этого выполним

mock -r epel-7-x86_64 --init

Если в процессе сборки вдруг что-то пошло не так, то отчистить chroot можно выполнив

mock -r epel-7-x86_64 --clean

В самом простом случае, если уже есть готовый src.rpm для сборки rpm-пакет необходимо выполнить

/usr/bin/mock -r epel-7-x86_64 --no-clean --rebuild ~/rpmbuild/SRPMS/package.src.rpm

Если в пакет требуется внести изменения, то для начала необходимо распаковать src.rpm

rpm -ivh package.src.rpm

После чего отредактировать необходимые файлы и заново собрать src.rpm

/usr/bin/mock -r epel-7-x86_64 --spec=~/rpmbuild/SPECS/package.spec --sources=~/rpmbuild/SOURCES/ --resultdir=~/rpmbuild/SRPMS/ --no-clean --buildsrpm

И после этого уже собрать rpm-пакет

/usr/bin/mock -r epel-7-x86_64 --no-clean --rebuild ~/rpmbuild/SRPMS/package.src.rpm

Процесс сборки rpm-пакета с зависимостями которых нет в репозитариях, будет выглядеть следующим образом.

/usr/bin/mock -r epel-7-x86_64 --init
/usr/bin/mock -r epel-7-x86_64 --install ~/rpm/package-1.el7.centos.x86_64.rpm
/usr/bin/mock -r epel-7-x86_64 --install ~/rpm/package-2.el7.centos.x86_64.rpm
/usr/bin/mock -r epel-7-x86_64 --install ~/rpm/package-3.el7.centos.x86_64.rpm
/usr/bin/mock -r epel-7-x86_64 --no-clean ~/main.el7.centos.src.rpm

Более подробную информацию можно найти на странице документации mock.

FFmpeg CentOS7

Александр Чернышев — Mon, 13 Feb 2017 22:17:33 +0300

Оформил rpm-пакет FFmpeg для CentOS7.

Исполняемые файлы взяты здесь.

Прозрачное проксирование в I2P и TOR.

Александр Чернышев — Thu, 24 Nov 2016 14:47:40 +0300

Заметка написана по мотивам статьи «Прозрачное проксирование в I2P и TOR».

_LANNET_ — локальная подсеть
_WANETH_ — внешний интерфейс
_LANETH_ — внутренний интерфейс

DNSMasq

vi /etc/dnsmasq.conf

log-queries
log-facility=/var/log/dnsmasq.log
listen-address= 0.0.0.0
interface=_LANETH_
except-interface=_WANETH_
domain-needed 
bogus-priv  
strict-order 
no-resolv
server=77.88.8.88
server=8.8.8.8
address=/.onion/10.10.99.99
address=/.i2p/10.10.99.99

systemctl enable dnsmasq.service
systemctl start dnsmasq.service

Tor

vi /etc/tor/torrc

SocksPort 9050
SocksListenAddress 127.0.0.1
ExcludeNodes {ru}, {ua}, {by}
VirtualAddrNetworkIPv4 10.192.0.0/10
AutomapHostsOnResolve 1

systemctl enable tor.service
systemctl start tor.service

i2pd

vi /etc/i2pd/subscriptions.txt

http://inr.i2p/export/alive-hosts.txt
http://stats.i2p/cgi-bin/newhosts.txt
http://i2p-projekt.i2p/hosts.txt
http://i2host.i2p/cgi-bin/i2hostetag
http://no.i2p/export/alive-hosts.txt
http://rus.i2p/hosts.txt
http://udhdrtrcetjm5sxzskjyr5ztpeszydbh4dpl3pl4utgqqw2v4jna.b32.i2p/hosts.tx

vi /etc/i2pd/

[IRC]
type = client
address = 127.0.0.1
port = 6668
destination = irc.postman.i2p
destinationport = 6667
keys = irc-keys.dat

systemctl enable i2pd.service
systemctl start i2pd.service

TinyProxy

vim /etc/tinyproxy.conf

User nobody
Group nogroup
Port 8888
Listen _LANNET_
Timeout 200
ErrorFile 404 "/usr/share/tinyproxy/404.html"
ErrorFile 400 "/usr/share/tinyproxy/400.html"
ErrorFile 503 "/usr/share/tinyproxy/503.html"
ErrorFile 403 "/usr/share/tinyproxy/403.html"
ErrorFile 408 "/usr/share/tinyproxy/408.html"
DefaultErrorFile "/usr/share/tinyproxy/default.html"
StatFile "/usr/share/tinyproxy/stats.html"
Logfile "/var/log/tinyproxy/tinyproxy.log"
LogLevel Info
PidFile "/var/run/tinyproxy/tinyproxy.pid"
upstream 127.0.0.1:8123
upstream 127.0.0.1:4444 ".i2p"
upstream 127.0.0.1:8124 ".onion"
MaxClients 100
MinSpareServers 5
MaxSpareServers 20
StartServers 10
MaxRequestsPerChild 0
Allow 127.0.0.1
Allow 192.168.0.0/16
ViaProxyName "tinyproxy"
ConnectPort 443
ConnectPort 563

systemctl enable tinyproxy.service
systemctl start tinyproxy.service

Polipo

vim /etc/polipo/wan.conf

##################
# https://www.irif.fr/~jch/software/polipo/polipo.html#
##################

displayName = WAN
proxyPort = 8123
allowedClients = 127.0.0.1, _LANNET_
dnsQueryIPv6 = false
pidFile = /var/run/polipo/polipo_wan.pid
#######
censoredHeaders = from, accept-language
censorReferer = maybe
disableVia = true
####### Cache #######
diskCacheRoot = "/var/cache/polipo/wan_cache/"
maxDiskCacheEntrySize = 524288
diskCacheDirectoryPermissions = 0700
diskCacheFilePermissions = 0600
relaxTransparency = maybe
dontCacheCookies = true
dontCacheRedirects = true
diskCacheUnlinkTime = 7d
diskCacheTruncateTime = 3d
diskCacheTruncateSize = 1MB
######## Memory ########
chunkHighMark = 50331648
objectHighMark = 16384
######## WEB Interface ########
disableLocalInterface = true
#disableConfiguration = false
#disableIndexing = false
#disableServersList = false
######## Log ########
logSyslog = true
logFile = "/var/log/polipo/wan.log"

vim /etc/polipo/tor.conf

##################
# https://www.irif.fr/~jch/software/polipo/polipo.html#
##################

displayName = TOR
proxyPort = 8124
allowedClients = 127.0.0.1, _LANNET_
dnsQueryIPv6 = false
pidFile = /var/run/polipo/polipo_tor.pid
####### SOCKS #######
socksParentProxy = "127.0.0.1:9050"
socksProxyType=socks5
#######
censoredHeaders = from, accept-language
censorReferer = maybe
disableVia = true
####### Cache #######
diskCacheRoot = "/var/cache/polipo/tor_cache/"
diskCacheDirectoryPermissions = 0700
diskCacheFilePermissions = 0600
relaxTransparency = maybe
dontCacheCookies = true
dontCacheRedirects = true
diskCacheUnlinkTime = 7d
diskCacheTruncateTime = 3d
diskCacheTruncateSize = 1MB
######## Memory ########
chunkHighMark = 50331648
objectHighMark = 16384
######## WEB Interface ########
disableLocalInterface = true
#disableConfiguration = false
#disableIndexing = false
#disableServersList = false
######## Log ########
logSyslog = true
logFile = "/var/log/polipo/tor.log"

vi /etc/systemd/system/polipo@.service

[Unit]
Description=Polipo Proxy Server
After=network.target

[Service]
User=proxy
Group=proxy
Type=simple
Restart=always
PIDFile=/var/run/polipo/polipo_%i.pid
PermissionsStartOnly=true
ExecStartPre=/bin/mkdir -p /var/cache/polipo/%i_cache
ExecStartPre=/bin/chown proxy:proxy /var/cache/polipo/%i_cache -R
ExecStartPre=/bin/chmod 700 /var/cache/polipo/%i_cache -R
ExecStart=/usr/bin/polipo -c /etc/polipo/%i.conf
ExecReload=/bin/kill -USR1 $MAINPID


[Install]
WantedBy=multi-user.target

vi /etc/tmpfiles.d/polipo.conf

d /run/polipo 0755 proxy proxy -

Скрипт для очистки кеша

vi /usr/local/polipo/polipo_trimcache.sh

#!/bin/bash

export PATH="$PATH:/usr/sbin:/usr/bin:/usr/local/sbin:/usr/local/bin"
SN="$(basename "$0")"

function print_help() {
    printf "\n"
    printf "Использование: %s options...\n" "$SN"
    printf "Параметры:\n"
    printf "  -n         Имя копии Polipo.\n"
    printf "  -h         Справка.\n"
    printf "\n"
}

# Если скрипт запущен без аргументов, открываем справку.
if [[ $# = 0 ]]; then
    print_help && exit 1
fi
while getopts ":n:h" opt ;
do
    case $opt in
        n) NAME=$OPTARG;
            ;;
        h) print_help
            exit 1
            ;;
        *) printf "Неправильный параметр\n";
           printf "Для вызова справки запустите %s -h\n" "$SN";
            exit 1
            ;;
        esac
done

if [[ "$NAME" == "" ]] ;  then
 printf "\n"
 printf "Параметры запуска не указаны.\n"
 printf "Для справки наберите: %s -h\n" "$SN"
 printf "\n"
 exit 1
fi

CONFIG_FILE=/etc/polipo/$NAME.conf
FORBIDDEN_FILE=/etc/polipo/forbidden
PIDFILE=/var/run/polipo/polipo_$NAME.pid
RUNAS=proxy

if [ ! -x /usr/bin/polipo ]; then
  exit 0
fi

if [ ! -f "$FORBIDDEN_FILE" ]; then
  FORBIDDEN_FILE=/dev/null
fi

if [ -f "$PIDFILE" ]; then
  # Instruct polipo to to flush its in-memory cache to disk (signal USR1)
  kill -USR1 "$(cat "$PIDFILE")"
  # Allow some time for polipo to perform the requested flush
  sleep 2
  # Since f17, the following su command prints "...killed." to stdout ???
  runuser -s /bin/sh -c \
    "nice polipo -x -c $CONFIG_FILE forbiddenFile=$FORBIDDEN_FILE > /dev/null" \
    $RUNAS 2> /dev/null
  # Instruct polipo to to discard its in-memory cache (signal USR2)
  kill -USR2 "$(cat "$PIDFILE")"
fi

exit 0

vi /etc/systemd/system/polipo_trimcache@.service

Создаем сервис для очистки кеша

[Unit]
Description=Polipo trim cache on %I
After=network-online.target

[Service]
Type=oneshot
ExecStart=/usr/lib/polipo/polipo_trimcache.sh -n %i

Создаем таймер

vi /etc/systemd/system/polipo_trimcache@.timer

[Unit]
Description=Polipo trim cache timer on %I

[Timer]
OnCalendar=*-*-* 00:00:00
Persistent=true

[Install]
WantedBy=timers.target

Активируем и запускаем сервисы

systemctl enable polipo@wan
systemctl enable polipo_trimcache@wan.timer
systemctl start polipo@wan
systemctl sart polipo_trimcache@wan.timer
systemctl enable polipo@tor
systemctl enable polipo_trimcache@tor.timer
systemctl start polipo@tor
systemctl sart polipo_trimcache@tor.timer

MiniDLNA CentOS7

Александр Чернышев — Wed, 23 Nov 2016 12:27:26 +0300

Оформил пакет MiniDLNA 1.1.5 для CentOS7.
За основу использована официальная, статическая сборка с SourceForge.
Установка производится по стандартным путям, в пакет включен юнит для systemd и пресет для firewalld.

minidlna-1.1.5-1.el7.centos.x86_64.rpm

Запуск скриптов при изменении состояния интерфейса в CentOS

Александр Чернышев — Wed, 12 Oct 2016 10:34:46 +0300

В некоторых случаях может понадобится запускать определенный сценарий при изменении состояния интерфейса (UP/DOWN). В Debian это, реализовано «из коробки». Такую возможность можно реализовать и в CentOS, для этого необходимо в sbin создать скрипты: ifup-pre-local, ifup-local, ifdown-pre-local, ifdown-local.

Перед поднятием интерфейса

vim /sbin/ifup-pre-local

#!/bin/bash
#
PREUP="/etc/sysconfig/network-scripts/pre-up-${1:6}"
if [ -x $PREUP ]; then
exec $PREUP
fi

После поднятия интерфейса

vim /sbin/ifup-local

#!/bin/bash
#
POSTUP="/etc/sysconfig/network-scripts/post-up-${1:6}"
if [ -x $POSTUP ]; then
exec $POSTUP
fi

Перед отключение интерфейса

vim /sbin/ifdown-pre-local

#!/bin/bash
#
PREDOWN="/etc/sysconfig/network-scripts/pre-down-$1"
if [ -x $PREDOWN ]; then
exec $PREDOWN
fi

После отключение интерфейса

vim /sbin/ifdown-local

#!/bin/bash
#
POSTDOWN="/etc/sysconfig/network-scripts/post-down-$1"
if [ -x $POSTDOWN ]; then
exec $POSTDOWN
fi

Делаем их исполняемыми

chmod +x /sbin/ifup-local
chmod +x /sbin/ifdown-local

chmod +x /sbin/ifup-pre-local
chmod +x /sbin/ifdown-pre-local

Создаем файлы сценариев, которые необходимо выполнять.

vim /etc/sysconfig/network-scripts/pre-up-<if_name>
vim /etc/sysconfig/network-scripts/pre-down-<if_name>
vim /etc/sysconfig/network-scripts/post-up-<if_name>
vim /etc/sysconfig/network-scripts/post-down-<if_name>

chmod +x /etc/sysconfig/network-scripts/pre-*
chmod +x /etc/sysconfig/network-scripts/post-*