Linux – igreks開発日記

DKIMの複数ドメイン対応と作成者署名,第三者認証（CentOS7.2+Postfix+OpenDKIM）

Postfix, OpenDKIMはインストール済み、firewallも適切に設定済みであると仮定。

鍵ペアの作成

cd /etc/opendkim/keys/
mkdir example.com
cd example.com
opendkim-genkey -d example.com -s selector
chown opendkim:opendkim *
chmod 440 *.private

cd /etc/opendkim/keys/

mkdir example.com

cd example.com

opendkim-genkey -d example.com -s selector

chown opendkim:opendkim *

chmod 440 *.private

※複数のドメインを異なるキーペアで認証する場合は上記を繰り返し、必要数分キーペアを作成する。ドメインが異なればセレクタ名は同じでも大丈夫だが、混乱を避けるため変えてもよいと思う。

OpenDKIMの設定

1つのドメインしか扱わない場合

 :
# 認証するドメイン名
Domain example.com
 : 
# セレクタ名
Selector selector
 :
# 署名に使う秘密鍵の場所
KeyFile  /etc/opendkim/keys/selector.private
 :
# 署名に使う秘密鍵の場所(複数ある場合)
#KeyTable  /etc/opendkim/KeyTable
 : 
# 署名を行うドメイン+セレクタのペアを指定するファイル(複数ある場合)
#SigningTable refile:/etc/opendkim/SigningTable
 :

# 認証するドメイン名

Domain example.com

# セレクタ名

Selector selector

# 署名に使う秘密鍵の場所

KeyFile /etc/opendkim/keys/selector.private

# 署名に使う秘密鍵の場所(複数ある場合)

#KeyTable /etc/opendkim/KeyTable

# 署名を行うドメイン+セレクタのペアを指定するファイル(複数ある場合)

#SigningTable refile:/etc/opendkim/SigningTable

複数のドメインを扱うが、すべて同じキーペアを使う場合

 :
# 認証するドメイン名
Domain example.com, hoge.com, fuga.com
または 
Domain example.com, *
Domain * 
 : 
# セレクタ名
Selector selector
 :
# 署名に使う秘密鍵の場所
KeyFile  /etc/opendkim/keys/selector.private
 :
# 署名に使う秘密鍵の場所(複数ある場合)
#KeyTable  /etc/opendkim/KeyTable
 : 
# 署名を行うドメイン+セレクタのペアを指定するファイル(複数ある場合)
#SigningTable refile:/etc/opendkim/SigningTable
 :

# 認証するドメイン名

Domain example.com, hoge.com, fuga.com

または

Domain example.com, *

Domain *

# セレクタ名

Selector selector

# 署名に使う秘密鍵の場所

KeyFile /etc/opendkim/keys/selector.private

# 署名に使う秘密鍵の場所(複数ある場合)

#KeyTable /etc/opendkim/KeyTable

# 署名を行うドメイン+セレクタのペアを指定するファイル(複数ある場合)

#SigningTable refile:/etc/opendkim/SigningTable

複数のドメイン、複数のキーペアを扱う場合

 :
# 認証するドメイン名
#Domain example.com
 : 
# セレクタ名
#Selector selector
 :
# 署名に使う秘密鍵の場所
#KeyFile  /etc/opendkim/keys/selector.private
 :
# 署名に使う秘密鍵の場所(複数ある場合)
KeyTable  /etc/opendkim/KeyTable
 : 
# 署名を行うドメイン+セレクタのペアを指定するファイル(複数ある場合)
SigningTable refile:/etc/opendkim/SigningTable
 :

# 認証するドメイン名

#Domain example.com

# セレクタ名

#Selector selector

# 署名に使う秘密鍵の場所

#KeyFile /etc/opendkim/keys/selector.private

# 署名に使う秘密鍵の場所(複数ある場合)

KeyTable /etc/opendkim/KeyTable

# 署名を行うドメイン+セレクタのペアを指定するファイル(複数ある場合)

SigningTable refile:/etc/opendkim/SigningTable

# 作成者認証(例)################################

# ①FROMドメインが"example.com"の時は"selector"セレクタを使い、
# "example.com"の署名を使い認証する
*@example.com selector._domainkey.example.com

# ②FROMドメインが"hoge.com"の時は"selector"セレクタを使い、
# "hoge.com"の署名を使い認証する
*@hoge.com selector._domainkey.hoge.com

# ③FROMドメインが"hoge.com"の時は"selector_hoge"セレクタを使い、
# "hoge.com"の署名を使い認証する
*@hoge.com selector_hoge._domainkey.hoge.com 

# ④FROMドメインが上記以外の時は"selector"セレクタを使い
# "example.com"の署名を使い認証する(1番目と同じキーペアを使う)
*@* selector._domainkey.example.com


# 第三者認証(例)################################

# ⑤FROMドメインが"fuga.com"の時は"selector"セレクタを使い、
# "example.com"の署名を使い認証する
*@fuga.com selector._domainkey.example.com

# ⑥FROMドメインが"fuga.com"の時は"selector_fuga"セレクタを使い、
# "example.com"の署名を使い認証する
*@fuga.com selector_fuga._domainkey.example.com 

# ⑦FROMドメインが上記以外の時は"selector_common"セレクタを使い
# "dkim.example.com"の署名を使い認証する
*@* selector_common._domainkey.dkim.example.com

# 作成者認証(例)################################

# ①FROMドメインが"example.com"の時は"selector"セレクタを使い、

# "example.com"の署名を使い認証する

*@example.com selector._domainkey.example.com

# ②FROMドメインが"hoge.com"の時は"selector"セレクタを使い、

# "hoge.com"の署名を使い認証する

*@hoge.com selector._domainkey.hoge.com

# ③FROMドメインが"hoge.com"の時は"selector_hoge"セレクタを使い、

# "hoge.com"の署名を使い認証する

*@hoge.com selector_hoge._domainkey.hoge.com

# ④FROMドメインが上記以外の時は"selector"セレクタを使い

# "example.com"の署名を使い認証する(1番目と同じキーペアを使う)

*@* selector._domainkey.example.com

# 第三者認証(例)################################

# ⑤FROMドメインが"fuga.com"の時は"selector"セレクタを使い、

# "example.com"の署名を使い認証する

*@fuga.com selector._domainkey.example.com

# ⑥FROMドメインが"fuga.com"の時は"selector_fuga"セレクタを使い、

# "example.com"の署名を使い認証する

*@fuga.com selector_fuga._domainkey.example.com

# ⑦FROMドメインが上記以外の時は"selector_common"セレクタを使い

# "dkim.example.com"の署名を使い認証する

*@* selector_common._domainkey.dkim.example.com

※上から順に処理されるので、ワイルドカード(ex: *@*, *@*.example.com, *@sub.*)を使うとその下の行は無効になる。ドメインを明示的に指定する場合はワイルドカード行の上に書いておく。

# セレクタが"selector"、
# 署名ドメインが"example.com" の時使うキーペアを指定
selector._domainkey.example.com example.com:selector:/etc/opendkim/keys/example.com/selector.private

# セレクタが"selector"
# 署名ドメインが"hoge.com" の時使うキーペアを指定
selector._domainkey.hoge.com hoge.com:selector:/etc/opendkim/keys/hoge.com/selector.private

# セレクタが"selector_hoge"
# 署名ドメインが"hoge.com" の時使うキーペアを指定
selector_hoge._domainkey.hoge.com hoge.com:selector_hoge:/etc/opendkim/keys/hoge.com/selector_hoge.private

# セレクタが"selector"
# 署名ドメインが"fuga.com" の時使うキーペアを指定
selector._domainkey.fuga.com fuga.com:selector:/etc/opendkim/keys/fuga.com/selector.private

# セレクタが"selector_fuga"
# 署名ドメインが"fuga.com" の時使うキーペアを指定
selector_fuga._domainkey.fuga.com fuga.com:selector_fuga:/etc/opendkim/keys/fuga.com/selector_fuga.private

# セレクタが"selector_common"
# 署名ドメインが"dkim.example.com" の時使うキーペアを指定
selector_common._domainkey.dkim.example.com dkim.example.com:selector_common:/etc/opendkim/keys/dkim.example.com/selector_common.private

# セレクタが"selector"、

# 署名ドメインが"example.com" の時使うキーペアを指定

selector._domainkey.example.com example.com:selector:/etc/opendkim/keys/example.com/selector.private

# セレクタが"selector"

# 署名ドメインが"hoge.com" の時使うキーペアを指定

selector._domainkey.hoge.com hoge.com:selector:/etc/opendkim/keys/hoge.com/selector.private

# セレクタが"selector_hoge"

# 署名ドメインが"hoge.com" の時使うキーペアを指定

selector_hoge._domainkey.hoge.com hoge.com:selector_hoge:/etc/opendkim/keys/hoge.com/selector_hoge.private

# セレクタが"selector"

# 署名ドメインが"fuga.com" の時使うキーペアを指定

selector._domainkey.fuga.com fuga.com:selector:/etc/opendkim/keys/fuga.com/selector.private

# セレクタが"selector_fuga"

# 署名ドメインが"fuga.com" の時使うキーペアを指定

selector_fuga._domainkey.fuga.com fuga.com:selector_fuga:/etc/opendkim/keys/fuga.com/selector_fuga.private

# セレクタが"selector_common"

# 署名ドメインが"dkim.example.com" の時使うキーペアを指定

selector_common._domainkey.dkim.example.com dkim.example.com:selector_common:/etc/opendkim/keys/dkim.example.com/selector_common.private

キーペアの公開鍵を取得

# 例：セレクタが"selector" 署名ドメインが"example.com" の公開鍵
cat /etc/opendkim/keys/example.com/selector.txt
　　↓
selector._domainkey IN      TXT     ( "v=DKIM1; k=rsa; "
      "p=MIGfMA0GCS..." )  ; ----- DKIM key selector for example.com・

# 例：セレクタが"selector" 署名ドメインが"example.com" の公開鍵

cat /etc/opendkim/keys/example.com/selector.txt

　　↓

selector._domainkey IN TXT ( "v=DKIM1; k=rsa; "

"p=MIGfMA0GCS..." ) ; ----- DKIM key selector for example.com・

公開鍵をDNSに登録

①FROMドメインが“example.com”で“example.com”の署名を使い作成者認証する場合は、”example.com”のDNSサーバに公開鍵を登録。

項目	値
Name	selector._domainkey
Type	TXT
Value	“v=DKIM1; k=rsa; p=MIGfMA0GCS…”

ポリシーが登録されてなければポリシーも登録。

項目	値
Name	_policy._domainkey
Type	TXT
Value	“t=y; o=~”

項目	値
Name	_domainkey
Type	TXT
Value	“t=y; o=~”

②~③FROMドメインが”hoge.com”で“hoge.com”の署名を使い作成者認証する場合は、”hoge.com”のDNSサーバに公開鍵を登録。

④FROMドメインが”任意のドメイン”で“example.com”の署名を使い作成者認証する場合は、任意ドメインのDNSサーバに公開鍵を登録。

⑤~⑥FROMドメインが”fuga.com”で“example.com”の署名を使い第三者認証する場合は、“example.com”ドメインのDNSサーバに公開鍵を登録。

⑦FROMドメインが”任意のドメイン”で“dkim.example.com”の署名を使い第三者認証する場合は、“dkim.example.com”ドメインのDNSサーバに公開鍵を登録。

項目	値
Name	selector_common._domainkey.dkim
Type	TXT
Value	“v=DKIM1; k=rsa; p=MIGfMA0GCS…”

項目	値
Name	_policy._domainkey.dkim
Type	TXT
Value	“t=y; o=~”

項目	値
Name	_domainkey.dkim
Type	TXT
Value	“t=y; o=~”

レコード返却の確認

#dig selector._domainkey.ドメイン名 TXT @レコードを登録したDNSサーバ
dig selector._domainkey.example.com TXT @ns.example.com
　　↓
# ANSWERセクションに登録した値が返ってくればOK
;; ANSWER SECTION:
selector._domainkey.example.com. 360 IN TXT "v=DKIM1\; k=rsa\; p=MIGfMA0GCS..."

#dig selector._domainkey.ドメイン名 TXT @レコードを登録したDNSサーバ

dig selector._domainkey.example.com TXT @ns.example.com

　　↓

# ANSWERセクションに登録した値が返ってくればOK

;; ANSWER SECTION:

selector._domainkey.example.com. 360 IN TXT "v=DKIM1\; k=rsa\; p=MIGfMA0GCS..."

Postfixの設定

# 末尾に以下を追記
smtpd_milters = inet:127.0.0.1:8891
non_smtpd_milters = $smtpd_milters
milter_default_action = accept

# 末尾に以下を追記

smtpd_milters = inet:127.0.0.1:8891

non_smtpd_milters = $smtpd_milters

milter_default_action = accept

サービス再起動

service opendkim restart
service postfix restart

1 2	service opendkim restart service postfix restart

確認

Gmailが一番わかりやすいので、Gmailでテスト

echo "DKIM test." | mail -s "DKIM test" -r someone@example.com user@gmail.com

1	echo "DKIM test." \| mail -s "DKIM test" -r someone@example.com user@gmail.com

受信したメールで、DKIMがPassで、ヘッダが以下のようになってればOK。

作成者認証の場合

DKIMSignature:	（～略～） d=example.com; s=selector; b=xdIeG4cUHIBhU0nix2V5tK9Z （～略～）
From:	<someone@example.com>

第三者認証の場合

DKIMSignature:	（～略～） d=example.com; s=selector; b=xdIeG4cUHIBhU0nix2V5tK9Z （～略～）
From:	<someone@hoge.com>

参考サイト）

UTF-8のCSVファイルを文字化けなくエクセルで開く

エクセルの仕様なのか、何も考えずにUTF-8のファイルエクセルで開くと、標準文字コードで開くため、だいたいの確率で文字化けします。

ちなみにShift JISであれば、問題なく開けます。

対策としては、適当なテキストエディタなどで開いて、UTF-8(BOM付き)で一度保存すれば、次からはエクセルでも文字化けせず問題なく開くことが出来ます。

このことから、コンテンツの最初にBOMをつけてやれば、ダウンロード後すぐにエクセルで文字化けなく開くことが出来ます。

動的出力するCSVファイルであれば、対策は簡単です。以下はPerlでの例です。

# このファイルはUTF-8で作成

# CSVのコンテンツ作成
my $csv = "aaa, bbb,ccc, あいうえお, 아이우에오";

# 先頭にBOMを追加
$csv = "\xEF\xBB\xBF" .$csv;

# 出力
print <<EOM;
Content-Type: application/octet-stream
Content-Disposition: attachment; filename=hoge.csv

$csv
EOM

# このファイルはUTF-8で作成

# CSVのコンテンツ作成

my $csv = "aaa, bbb,ccc, あいうえお, 아이우에오";

# 先頭にBOMを追加

$csv = "\xEF\xBB\xBF" .$csv;

# 出力

print <<EOM;

Content-Type: application/octet-stream

Content-Disposition: attachment; filename=hoge.csv

$csv

EOM

たったこれだけです。

なお、他サイトなどで、BOMは”0xFE 0xFF”などと紹介しているところがありますが、”0xFE 0xFF”はUTF-16のBEエイディアンのBOMであり、UTF-8のBOMは”0xEF 0xBB 0xBF”ですのでご注意ください。

テキストエディタだと”0xFE 0xFF”をつけてもちゃんと解釈してくれることがありますが、エクセルの場合は”0xEF 0xBB 0xBF”を付けないとダメ見たいです。

参考サイト）

Postfixのメールログで特定のキューIDを抽出する

あるメール配信で配信エラーになった場合に、相手先からどのようなエラーコードとバナーが返却されているかを調べるときに便利。

ちなみに、postfixのログは、一行ごとに、

日付 時刻 ホスト名  postfix/プロセス名[プロセスID]: キューID: 処理・・・

1	日付時刻ホスト名 postfix/プロセス名[プロセスID]: キューID: 処理・・・

といった構造で書かれる。同じキューIDのログを調べれば、一通のメールの一連の動きを追うことが出来る。

直近の”to@hoge.com”宛てのメールのキューIDを取得するシェルスクリプト

#!/bin/bash

# メールログの場所
MAILLOG_PATH='/var/log/maillog'
# 宛て先でgrepして、sedでキューIDを抽出
qid=`cat "$MAILLOG_PATH" | grep -Eo "\[[0-9]+\]\: [A-Z0-9]+\:.*?to=<to\@hoge\.com>" | tail -1 | sed -r "s/^\[[0-9]+\]\: ([A-Z0-9]+)\:.*?$/\1/"`
# 抽出したキューIDで再検索
logs=`cat "$MAILLOG_PATH" | grep $qid`

echo $logs

#!/bin/bash

# メールログの場所

MAILLOG_PATH='/var/log/maillog'

# 宛て先でgrepして、sedでキューIDを抽出

qid=`cat "$MAILLOG_PATH" | grep -Eo "\[[0-9]+\]\: [A-Z0-9]+\:.*?to=<to\@hoge\.com>" | tail -1 | sed -r "s/^\[[0-9]+\]\: ([A-Z0-9]+)\:.*?$/\1/"`

# 抽出したキューIDで再検索

logs=`cat "$MAILLOG_PATH" | grep $qid`

echo $logs

結果

May  8 19:**:** *** postfix/pickup[32062]: D361640567: uid=48 from=<from@fuga.com>
May  8 19:**:** *** postfix/cleanup[32321]: D361640567: message-id=<20180508******.D361640567@fuga.com>
May  8 19:**:** *** postfix/qmgr[1849]: D361640567: from=<from@fuga.com>, size=1098, nrcpt=1 (queue active)
May  8 19:**:** *** postfix/smtp[32324]: D361640567: to=<to@hoge.com>, relay=***.***.com[***.**.**.**]:25, delay=0.2, delays=0.06/0/0.03/0.12, dsn=5.0.0, status=bounced (host ***.***.com[***.**.**.**] said: 550 Invalid recipient: <to@hoge.com> (in reply to RCPT TO command))
May  8 19:**:** *** postfix/bounce[32332]: D361640567: sender non-delivery notification: 1145640568
May  8 19:**:** *** postfix/qmgr[1849]: D361640567: removed

May 8 19:**:** *** postfix/pickup[32062]: D361640567: uid=48 from=<from@fuga.com>

May 8 19:**:** *** postfix/cleanup[32321]: D361640567: message-id=<20180508******.D361640567@fuga.com>

May 8 19:**:** *** postfix/qmgr[1849]: D361640567: from=<from@fuga.com>, size=1098, nrcpt=1 (queue active)

May 8 19:**:** *** postfix/smtp[32324]: D361640567: to=<to@hoge.com>, relay=***.***.com[***.**.**.**]:25, delay=0.2, delays=0.06/0/0.03/0.12, dsn=5.0.0, status=bounced (host ***.***.com[***.**.**.**] said: 550 Invalid recipient: <to@hoge.com> (in reply to RCPT TO command))

May 8 19:**:** *** postfix/bounce[32332]: D361640567: sender non-delivery notification: 1145640568

May 8 19:**:** *** postfix/qmgr[1849]: D361640567: removed

ちなみに上記は「said: 550 Invalid recipient: <to@hoge.com>」と返ってきているので、メールを送ったこのユーザ(to@hoge.com>)は存在しなかったということになる。

ちなみに理想としては、エンベロープFROMに、宛て先と送信するたびの履歴番号など、特定の情報を仕込んでおくと、時系列で探しやすい。

sendmail使うなら、

echo -e "To: to@hoge.com\nFrom: from@fuga.com\nSubject: Hello world.\n\nHello world." | /usr/sbin/sendmail -t -f to=hoge.com-001@fuga.com

1	echo -e "To: to@hoge.com\nFrom: from@fuga.com\nSubject: Hello world.\n\nHello world." \| /usr/sbin/sendmail -t -f to=hoge.com-001@fuga.com

とかしておくとよい。(この場合「to=hoge.com-001@fuga.com」がエンベロープFROM)

そうしておけば、何回も同じ宛先に送っている場合でも、下記のように目的のキューIDを探しやすくなる。

　：
# 宛て先でgrepして、sedでキューIDを抽出
qid=`cat "$MAILLOG_PATH" | grep -Eo "\[[0-9]+\]\: [A-Z0-9]+\:.*?from=<to=hoge\.com\-001\@" | head -1 | sed -r "s/^\[[0-9]+\]\: ([A-Z0-9]+)\:.*?$/\1/"`
　：

　：

# 宛て先でgrepして、sedでキューIDを抽出

qid=`cat "$MAILLOG_PATH" | grep -Eo "\[[0-9]+\]\: [A-Z0-9]+\:.*?from=<to=hoge\.com\-001\@" | head -1 | sed -r "s/^\[[0-9]+\]\: ([A-Z0-9]+)\:.*?$/\1/"`

　：

なおヘッダーFROMをいくらいじっても、基本的にはメールログには記録されない。（ログレベルを上げればできるかも。この辺は調べてない。）

参考サイト）

サブドメインで公開していたバーチャルホストをaliasを使ってメインサイトの配下に配置する

例えば、

www.hoge.com →サービスのメインサイト
help.hoge.com →サービスのヘルプサイト（バーチャルホスト）

のような形で運用していたものを、ファイル構成などを変更せず、

www.hoge.com
www.hoge.com/help

のように、メインサイト配下に内包して見せたい場合。主にSEO対策。

まず、help.hoge.comのapache設定ファイル（httpd.confなど）の内容をコピーしておく。

※今回はPlesk9下のバーチャルホストで動いているので、httpd.includeの内容をコピーしておく。

# cd /var/www/vhosts/hoge.com/conf
# cat ./httpd.include

    :
# 以下の部分をとりあえずズラッとコピーしておく
<VirtualHost ***.***.***.***:80>
        ServerName   help.hoge.com:80
        SuexecUserGroup         *** psacln
        ServerAdmin  "***@***.**"
        DocumentRoot /var/www/vhosts/hoge.com/subdomains/help/httpdocs
        CustomLog  /var/www/vhosts/hoge.com/statistics/logs/access_log plesklog
        ErrorLog  /var/www/vhosts/hoge.com/statistics/logs/error_log
        ScriptAlias  /cgi-bin/ /var/www/vhosts/hoge.com/subdomains/help/cgi-bin/
        <IfModule mod_ssl.c>
                SSLEngine off
        </IfModule>
        <Directory  /var/www/vhosts/hoge.com/subdomains/help/httpdocs>
        <IfModule mod_perl.c>
        <Files ~ (\.pl$)>
                SetHandler perl-script
                PerlHandler ModPerl::Registry
                Options ExecCGI
                allow from all
                PerlSendHeader On
        </Files>
        </IfModule>
        <IfModule sapi_apache2.c>
                php_admin_flag engine on
                php_admin_flag safe_mode off
                php_admin_value open_basedir "/var/www/vhosts/hoge.com/subdomains/help/httpdocs:/tmp"
        </IfModule>
        <IfModule mod_php5.c>
                php_admin_flag engine on
                php_admin_flag safe_mode off
                php_admin_value open_basedir "/var/www/vhosts/hoge.com/subdomains/help/httpdocs:/tmp"
        </IfModule>
                Options -Includes +ExecCGI
        </Directory>
</VirtualHost>
      :

# cd /var/www/vhosts/hoge.com/conf

# cat ./httpd.include

# 以下の部分をとりあえずズラッとコピーしておく

ServerName help.hoge.com:80

SuexecUserGroup *** psacln

ServerAdmin "***@***.**"

DocumentRoot /var/www/vhosts/hoge.com/subdomains/help/httpdocs

CustomLog /var/www/vhosts/hoge.com/statistics/logs/access_log plesklog

ErrorLog /var/www/vhosts/hoge.com/statistics/logs/error_log

ScriptAlias /cgi-bin/ /var/www/vhosts/hoge.com/subdomains/help/cgi-bin/

SSLEngine off

</IfModule>

SetHandler perl-script

PerlHandler ModPerl::Registry

Options ExecCGI

allow from all

PerlSendHeader On

</Files>

</IfModule>

php_admin_flag engine on

php_admin_flag safe_mode off

php_admin_value open_basedir "/var/www/vhosts/hoge.com/subdomains/help/httpdocs:/tmp"

</IfModule>

php_admin_flag engine on

php_admin_flag safe_mode off

php_admin_value open_basedir "/var/www/vhosts/hoge.com/subdomains/help/httpdocs:/tmp"

</IfModule>

Options -Includes +ExecCGI

</Directory>

</VirtualHost>

次に、alias用のapache設定ファイルを作成する。Plesk9配下で動いている場合は、confの下にvhost.confという名前で作成する必要がある。

# cd /var/www/vhosts/hoge.com/conf
# vi vhost.conf

#先ほどコピーした内容をペーストし、不要な部分をコメントアウトする

# ↓ すでにhttpd.includeのVirttualHostディレクティブが効いているのでここでは不要
#<VirtualHost ***.***.***.***:80>
        # ↓この辺もすでに効いているので不要
        #ServerName   help.hoge.com:80
        #SuexecUserGroup         *** psacln
        #ServerAdmin  "***@***.**"
        #DocumentRoot /var/www/vhosts/hoge.com/subdomains/help/httpdocs
        #CustomLog  /var/www/vhosts/hoge.com/statistics/logs/access_log plesklog
        #ErrorLog  /var/www/vhosts/hoge.com/statistics/logs/error_log
        #ScriptAlias  /cgi-bin/ /var/www/vhosts/hoge.com/subdomains/help/cgi-bin/
        #<IfModule mod_ssl.c>
        #        SSLEngine off
        #</IfModule>

        # ↓ここにalias設定を追記 ######
        # /help でアクセスがあったら、今まで動かしていたhelpディレクトリの内容を表示
        Alias /help /var/www/vhosts/hoge.com/subdomains/help/httpdocs
        ############################

        # ↓以下はalias展開後の動きに関係してくるので必要
        <Directory  /var/www/vhosts/hoge.com/subdomains/help/httpdocs>
        <IfModule mod_perl.c>
        <Files ~ (\.pl$)>
                SetHandler perl-script
                PerlHandler ModPerl::Registry
                Options ExecCGI
                allow from all
                PerlSendHeader On
        </Files>
        </IfModule>
        <IfModule sapi_apache2.c>
                php_admin_flag engine on
                php_admin_flag safe_mode off
                php_admin_value open_basedir "/var/www/vhosts/hoge.com/subdomains/help/httpdocs:/tmp"
        </IfModule>
        <IfModule mod_php5.c>
                php_admin_flag engine on
                php_admin_flag safe_mode off
                php_admin_value open_basedir "/var/www/vhosts/hoge.com/subdomains/help/httpdocs:/tmp"
        </IfModule>
                Options -Includes +ExecCGI
        </Directory>

#</VirtualHost>

# cd /var/www/vhosts/hoge.com/conf

# vi vhost.conf

#先ほどコピーした内容をペーストし、不要な部分をコメントアウトする

# ↓ すでにhttpd.includeのVirttualHostディレクティブが効いているのでここでは不要

#<VirtualHost ***.***.***.***:80>

# ↓この辺もすでに効いているので不要

#ServerName help.hoge.com:80

#SuexecUserGroup *** psacln

#ServerAdmin "***@***.**"

#DocumentRoot /var/www/vhosts/hoge.com/subdomains/help/httpdocs

#CustomLog /var/www/vhosts/hoge.com/statistics/logs/access_log plesklog

#ErrorLog /var/www/vhosts/hoge.com/statistics/logs/error_log

#ScriptAlias /cgi-bin/ /var/www/vhosts/hoge.com/subdomains/help/cgi-bin/

#<IfModule mod_ssl.c>

# SSLEngine off

#</IfModule>

# ↓ここにalias設定を追記 ######

# /help でアクセスがあったら、今まで動かしていたhelpディレクトリの内容を表示

Alias /help /var/www/vhosts/hoge.com/subdomains/help/httpdocs

############################

# ↓以下はalias展開後の動きに関係してくるので必要

SetHandler perl-script

PerlHandler ModPerl::Registry

Options ExecCGI

allow from all

PerlSendHeader On

</Files>

</IfModule>

php_admin_flag engine on

php_admin_flag safe_mode off

php_admin_value open_basedir "/var/www/vhosts/hoge.com/subdomains/help/httpdocs:/tmp"

</IfModule>

php_admin_flag engine on

php_admin_flag safe_mode off

php_admin_value open_basedir "/var/www/vhosts/hoge.com/subdomains/help/httpdocs:/tmp"

</IfModule>

Options -Includes +ExecCGI

</Directory>

#</VirtualHost>

参考にしたサイト）

SSL用にもこの設定ファイルをコピーしておく。Pleskの場合SSL用のファイル名は、vhost_ssl.confにする必要がある。内容はとりあえず同じでOK。

# cp vhost.conf vhost_ssl.conf

1	# cp vhost.conf vhost_ssl.conf

作成した設定ファイルをapacheに読み込んでもらうようにする。

# /usr/local/psa/admin/sbin/websrvmng --reconfigure-vhost --vhost-name=hoge.com

1	# /usr/local/psa/admin/sbin/websrvmng --reconfigure-vhost --vhost-name=hoge.com

参考にしたサイト）：https://ex-cloud.jp/support/question/g-437

ヘルプサイトがワードプレスやCMSを使用している場合、.htaccessでリダイレクト設定（SEF 設定）を行っている場合があるので、静的URLでも動くよう修正する。

# cd /var/www/vhosts/hoge.com/subdomains/help/httpdocs
# vi .htaccess

  :
# 旧URLを自動転送するため以下を追加
# ※「help.hoge.com」へのアクセスは「www.hoge.com/help」へリダイレクト
RewriteCond %{HTTP_HOST} ^help\.hoge\.com$
RewriteRule ^(.*)$ https://www.hoge.com/help/$1 [R=301,L]
  :
# 常時SSLにする場合は下記を追加
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://www.hoge.com/help/$1 [R=301,L]
  :
# ▼SEF設定部分 #####
# ※SEF=存在しないファイル,ディレクトリはindex.phpで対処
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
RewriteCond %{REQUEST_URI} !^/index\.php
RewriteCond %{REQUEST_URI} (/[^.]*|\.(php|html?|feed|pdf|raw))$ [NC]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
# パスを合わせるため以下を修正（Baseが www.hoge.com/ になるため）
#RewriteRule .* index.php [L]
RewriteRule .* /help/index.php [L]
# ▲SEF設定部分 #####

# cd /var/www/vhosts/hoge.com/subdomains/help/httpdocs

# vi .htaccess

# 旧URLを自動転送するため以下を追加

# ※「help.hoge.com」へのアクセスは「www.hoge.com/help」へリダイレクト

RewriteCond %{HTTP_HOST} ^help\.hoge\.com$

RewriteRule ^(.*)$ https://www.hoge.com/help/$1 [R=301,L]

# 常時SSLにする場合は下記を追加

RewriteCond %{HTTPS} off

RewriteRule ^(.*)$ https://www.hoge.com/help/$1 [R=301,L]

# ▼SEF設定部分 #####

# ※SEF=存在しないファイル,ディレクトリはindex.phpで対処

RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]

RewriteCond %{REQUEST_URI} !^/index\.php

RewriteCond %{REQUEST_URI} (/[^.]*|\.(php|html?|feed|pdf|raw))$ [NC]

RewriteCond %{REQUEST_FILENAME} !-f

RewriteCond %{REQUEST_FILENAME} !-d

# パスを合わせるため以下を修正（Baseが www.hoge.com/ になるため）

#RewriteRule .* index.php [L]

RewriteRule .* /help/index.php [L]

# ▲SEF設定部分 #####

参考にしたサイト）

最後にWEBサーバをリロード

# service httpd configtest
# service httpd reload

1 2	# service httpd configtest # service httpd reload

後はGoogleにインデックス登録してもらえるように、Search Console からsitemap.xmlなどを送信しておけばよいでしょう。

phpmyadminで大きなサイズのファイルをインポートする

.sqlファイルをインポートするときなど、制限があるとアップロードが途中で止まってしまう。

エラー：「アップロードしようとしたファイルが大きすぎるようです。…」など。

解決法としては、

エクスポート時にファイルを圧縮しておく。
Bigdumpを利用する。
sshで接続し、SCP転送する。

などがあるが、VPSやクラウド環境などの場合は、php.iniを編集した方が早いかも。

vi /etc/php.ini

;; 以下の3個所の値をアップロードするファイルのサイズより大きくする。
 :
memory_limit = 32M
 :
post_max_size = 32M
 :
upload_max_filesize = 32M
 :

;; 正し、memory_limit ≧ post_max_size ≧ upload_max_filesizeにする必要があります。

vi /etc/php.ini

;; 以下の3個所の値をアップロードするファイルのサイズより大きくする。

memory_limit = 32M

post_max_size = 32M

upload_max_filesize = 32M

;; 正し、memory_limit ≧ post_max_size ≧ upload_max_filesizeにする必要があります。

編集後、このままだと反映されないので、WEBサーバを再起動する必要があります。

# RedHat系6まで
service httpd restart

1 2	# RedHat系6まで service httpd restart

以上。

参考サイト）

CentOS5環境に yum を使って sysstat を導入する

CentOS5はEOL（End of Life）で yum を使っての更新が出来ません。
例えば「yum install -y sysstat」というコマンドがエラーとなってしまいます。
yum での更新が必要な場合、古いリポジトリを参照するようにレポジトリ定義ファイルの設定を変えます。

修正したレポジトリ定義ファイルは下記。
/etc/yum.repos.d/CentOS-Base.repo

修正内容は下記。

[base]
name=CentOS-$releasever - Base
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=os
baseurl=http://vault.centos.org/5.5/os/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-5

#released updates 
[updates]
name=CentOS-$releasever - Updates
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=updates
baseurl=http://vault.centos.org/5.5/updates/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-5

#packages used/produced in the build but not released
[addons]
name=CentOS-$releasever - Addons
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=addons
baseurl=http://vault.centos.org/5.5/addons/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-5

#additional packages that may be useful
[extras]
name=CentOS-$releasever - Extras
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=extras
baseurl=http://vault.centos.org/5.5/extras/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-5

#additional packages that extend functionality of existing packages
[centosplus]
name=CentOS-$releasever - Plus
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=centosplus
baseurl=http://vault.centos.org/5.5/centosplus/$basearch/
gpgcheck=1
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-5

[base]

name=CentOS-$releasever - Base

#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=os

baseurl=http://vault.centos.org/5.5/os/$basearch/

gpgcheck=1

gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-5

#released updates

[updates]

name=CentOS-$releasever - Updates

#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=updates

baseurl=http://vault.centos.org/5.5/updates/$basearch/

gpgcheck=1

gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-5

#packages used/produced in the build but not released

[addons]

name=CentOS-$releasever - Addons

#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=addons

baseurl=http://vault.centos.org/5.5/addons/$basearch/

gpgcheck=1

gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-5

#additional packages that may be useful

[extras]

name=CentOS-$releasever - Extras

#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=extras

baseurl=http://vault.centos.org/5.5/extras/$basearch/

gpgcheck=1

gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-5

#additional packages that extend functionality of existing packages

[centosplus]

name=CentOS-$releasever - Plus

#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=centosplus

baseurl=http://vault.centos.org/5.5/centosplus/$basearch/

gpgcheck=1

enabled=0

gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-5

ところが、この修正だけでは sysstat を拾ってきてくれませんでした。
エラーの内容は下記の通り。

Loaded plugins: fastestmirror
Loading mirror speeds from cached hostfile
Could not retrieve mirrorlist http://apt.sw.be/redhat/el5/en/mirrors-rpmforge error was
[Errno 14] HTTP Error 404: Not Found
Error: Cannot find a valid baseurl for repo: rpmforge

Loaded plugins: fastestmirror

Loading mirror speeds from cached hostfile

Could not retrieve mirrorlist http://apt.sw.be/redhat/el5/en/mirrors-rpmforge error was

[Errno 14] HTTP Error 404: Not Found

Error: Cannot find a valid baseurl for repo: rpmforge

なぜかRepoForgeに向いてしまっているので、その設定を無効化します。
修正するファイルは下記。
/etc/yum.repos.d/rpmforge.repo
修正内容は
enabled を 1 から 0に変更するだけです。

ここまでの変更で、yum を使った更新作業が可能になりました。

参考資料

特定の名前のファイルを再帰的に削除する

ファイル検索でよく使われるfindと併用するといいらしい。

$ find path -name filename -exec rm -fr {} \;

1	$ find path -name filename -exec rm -fr {} \;

WindowsのローカルからLinuxのリモートにSCPしたときに、余計な「desktop.ini」が一緒にアップされちゃったときとか。

$ find /home/user -name desktop.ini -exec rm -fr {} \;

1	$ find /home/user -name desktop.ini -exec rm -fr {} \;

sshd_configによる接続制限

接続元のIP制限を行うとき、一番お手軽なのはやはりTcpWrapperによる制限。

しかしこれだとTCPレベルで一括制限され、ユーザ別の判定はできないので、ユーザ別やグループ別に制限したいときはsshdで制限するのがよろしいかと。

１．sshd_configを編集

# vi /etc/ssh/sshd_config
---------------
#ユーザ名がhogeのみ許可、その他は拒否
AllowUsers　hoge
# ユーザ名がhogeとfugaのみ許可、その他は拒否
AllowUsers　hoge fuga
# ユーザ名がhogeで、ホストが192.168.1.2の場合のみ許可、その他は拒否
AllowUsers　hoge@192.168.1.2
# ホストが192.168.1.2の場合のみ許可、その他は拒否
AllowUsers　*@192.168.1.2
# グループ名がigreksのユーザのみ許可、その他は拒否
AllowGroups　igreks
---------------

# vi /etc/ssh/sshd_config

---------------

#ユーザ名がhogeのみ許可、その他は拒否

AllowUsers　hoge

# ユーザ名がhogeとfugaのみ許可、その他は拒否

AllowUsers　hoge fuga

# ユーザ名がhogeで、ホストが192.168.1.2の場合のみ許可、その他は拒否

AllowUsers　hoge@192.168.1.2

# ホストが192.168.1.2の場合のみ許可、その他は拒否

AllowUsers　*@192.168.1.2

# グループ名がigreksのユーザのみ許可、その他は拒否

AllowGroups　igreks

---------------

２．sshd再起動

# service sshd restart

1	# service sshd restart

以上。

参考URL）

TcpWrapperによるSSHのIP制限

・環境はCentOS5.5および7.2

1．設定ファイルバックアップ

# cp /etc/hosts.deny /etc/hosts.deny.origin
# cp /etc/hosts.allow /etc/hosts.allow.origin

1 2	# cp /etc/hosts.deny /etc/hosts.deny.origin # cp /etc/hosts.allow /etc/hosts.allow.origin

2．許可する接続元を指定

“hosts.allow”に許可する接続元を指定。”hosts.deny”で全接続を拒否。

# vi /etc/hosts.allow
-----
+ sshd : 123.123.123.123
+ sshd : 123.123.0.0/16
+ sshd : 123.123.0.0/255.255.0.0
+ sshd : 192.168.1.0/255.255.255.0
-----

# vi /etc/hosts.allow

-----

+ sshd : 123.123.123.123

+ sshd : 123.123.0.0/16

+ sshd : 123.123.0.0/255.255.0.0

+ sshd : 192.168.1.0/255.255.255.0

-----

# vi /etc/hosts.deny
-----
+ sshd : all
-----

# vi /etc/hosts.deny

-----

+ sshd : all

-----

3．許可されていない接続元から接続できないことを確認

$ ssh user@example.jp
ssh_exchange_identification: Connection closed by remote host

1 2	$ ssh user@example.jp ssh_exchange_identification: Connection closed by remote host

OK.

参考URL）

SSHのIPアクセス制限　まとめ

http://qiita.com/wwwaltz/items/db774fda77cb2d6c6922

社内用プロキシサーバの作成

複数のサーバを運用している場合、それぞれのサーバにどこからでも接続できる状態だと、セキュリティやスタッフ管理の面でよろしくないので、プロキシサーバを使用してセキュリティを高める。

1.プロキシ用サーバ作成

まずプロキシ用のバーチャルサーバを立ち上げ、NICや必要なIP（最低限グローバルとローカル1つずつ）を割り当てる。
やり方については各ベンダーでマニュアルなど用意していると思うので割愛する。

なおスペックについては、SSHトンネルするだけなので、最低限のリソースでOKかと思う。
今回はCentOS7.2 Xen 64bitを使用した。

2.ユーザ作成

弊社の場合は某社のクラウドなので最初はVPN接続してログインユーザ作成

# useradd suzuki
# passwd suzuki

# exit;

# useradd suzuki

# passwd suzuki

# exit;

ちなみにAWSであればec2-userなどで最初からログインできるので上記は不要

3．rootログイン禁止

使いやすいPuttyやPoderosaなどのSSHクライアントで接続

・sshのrootログイン禁止

# cp /etc/ssh/sshd_config /etc/ssh/sshd_config.origin
# vi /etc/ssh/sshd_config
----
+ PermitRootLogin no
----

# cp /etc/ssh/sshd_config /etc/ssh/sshd_config.origin

# vi /etc/ssh/sshd_config

----

+ PermitRootLogin no

----

4. ファイアウォールの設定

今回はポート10022（ssh用）だけを許可する。

やり方はこちらを参照。

5. sshのポート番号変更

攻撃回避のためssh用のポートを22から10022に変更する。

やり方はこちらを参照。

6. 不要サービスの停止

・必要最低限のサービスだけで動かしたいので不要なものは停止する。

# systemctl disable crond.service
# systemctl disable atd.service
# systemctl disable auditd.service
# systemctl disable postfix.service
# systemctl disable rngd.service
# systemctl disable wpa_supplicant.service

# systemctl disable crond.service

# systemctl disable atd.service

# systemctl disable auditd.service

# systemctl disable postfix.service

# systemctl disable rngd.service

# systemctl disable wpa_supplicant.service

判断はこちらとほぼ同じ
違いはcron停止、firewalld残し。

・SELinuxも無効に

# vi /etc/sysconfig/selinux
----
+ SELINUX=disabled
----

# vi /etc/sysconfig/selinux

----

+ SELINUX=disabled

----

7. スタティックルーティングの設定

弊社の場合ローカルネットワークのセグメントがもう1つあり、そちらのセグメント（172.18.0.0/16）にも接続できるようにするためスタティックルーティングの設定を行う。

・ローカルネットワークのデフォルトルーティング設定ファイルを無効化（デバイス名をeth1とした場合）

# mv /etc/sysconfig/network-scripts/route-eth1 /etc/sysconfig/network-scripts/route-eth1.origin
# mv /etc/sysconfig/network-scripts/rule-eth1 /etc/sysconfig/network-scripts/rule-eth1.origin

1 2	# mv /etc/sysconfig/network-scripts/route-eth1 /etc/sysconfig/network-scripts/route-eth1.origin # mv /etc/sysconfig/network-scripts/rule-eth1 /etc/sysconfig/network-scripts/rule-eth1.origin

⇒ No such file or directoryとなっても、もともと無いのでそのままでOK

・別セグメント（172.18.0.0/16）へのルート設定追加

# echo "172.18.0.0/16 via 172.16.255.254 dev eth1" >> /etc/sysconfig/network-scripts/route-eth1

1	# echo "172.18.0.0/16 via 172.16.255.254 dev eth1" >> /etc/sysconfig/network-scripts/route-eth1

・ネットワーク再起動

# systemctl restart network.service

1	# systemctl restart network.service

（service network restartでも一応いける）

ちなみにCentOS7から採用されたnmcliで行うときは、

# nmcli connection modify eth1(またはeno1) +ipv4.routes "172.18.0.0/16 172.16.255.254"
# nmcli connection reload

1 2	# nmcli connection modify eth1(またはeno1) +ipv4.routes "172.18.0.0/16 172.16.255.254" # nmcli connection reload

のようなコマンドを打つが、ベンダーの仕様の関係なのか、eth1もeno1もnmcliでは認識されていなかった。
ただNetworkManagerは動いてるのでipコマンドは通る。昔の名前(eth**)でデバイス名が認識されていた。
やり方あるのかもしれんがネットワークは疎通してるのでまあいいか。

nmtuiで行う方法もあるらしいが、TUI画面は起動したがなぜかうまく動かなかった、、、。

・ルート確認

ip route
　　：
172.16.0.0/16 dev eth1 proto kernel scope link src 172.16.2.33 
172.18.0.0/16 via 172.16.255.254 dev eth1 
　　：

ip route

　　：

172.16.0.0/16 dev eth1 proto kernel scope link src 172.16.2.33

172.18.0.0/16 via 172.16.255.254 dev eth1

　　：

ちなみにベンダー側のコンソールでネットワークの再構築を行うとどうなるか。
→案の定スタティックルーティングの設定が初期化された
→ネットワーク再構築をしたら、再度スタティックルートの設定を行う必要あり。

・疎通確認

$ ssh user@172.18.***.***
The authenticity of host '172.18.***.*** (172.18.***.***)' can't be established.
RSA key fingerprint is 57:fe:50:d9:58:0d:cb:a0:c2:75:09:dc:22:07:32:45.
Are you sure you want to continue connecting (yes/no)?

$ ssh user@172.18.***.***

The authenticity of host '172.18.***.*** (172.18.***.***)' can't be established.

RSA key fingerprint is 57:fe:50:d9:58:0d:cb:a0:c2:75:09:dc:22:07:32:45.

Are you sure you want to continue connecting (yes/no)?

OK。

以上で基本的なプロキシ構成は完了。

プロキシを使用するスタッフ数分、useraddしてユーザを作成し、それぞれ接続して使用する。
あとは必要に応じて鍵認証にしたり、IP制限したり、トンネルするときのやり方を社内で決めてあげればOK。

スタッフが辞めた場合は、userdelしてそのスタッフ用のユーザを削除してやればOK。

参考URL）