Commentaires sur : Installer un serveur OVH avec Debian Lenny « nue »

Par : Kaze

Kaze — Fri, 07 Aug 2009 18:57:16 +0000

Sur les serveurs OVH que je loue, un lien symbolique de /home/mysql vers /var/lib/mysql existe : les bases sont alors stockées sur la plus grosse partition à dispo.

Idem pour /home/logs vers /var/log.

Pas très académique, mais ça fonctionne.

Par : Ludo

Ludo — Fri, 07 Aug 2009 03:34:23 +0000

Quand au coup de zèle suite au ping, j’ai eu pareil
Dans le ticket, le gars affirmait que mon serveur était down (alors que SSH/HTTP/SMTP/… étaient dispos).

Ils sont pas très doués, c’est tout.

Par : Ludo

Ludo — Fri, 07 Aug 2009 03:32:47 +0000

Le reboot en rescue c’est du PXE, et ça ne monte pas tes disques. Donc que tu ais la clé ou pas, ça change rien.

Par : Yoann

Yoann — Thu, 06 Aug 2009 21:30:43 +0000

Pour l’accès ssh en root, il est egalement possible de mettre la valeur de PermitRootLogin à without-password dans le fichier /etc/ssh/sshd_config.

Cela a pour effet de n’authoriser les connexions SSH en root uniquement si l’authentification est faite par clefs, et de refuser les connexions SSH en root au authentification par login/password.

Par : Ploum

Ploum — Thu, 06 Aug 2009 07:16:10 +0000

En fait, j’avais le noyau normal installé depuis longtemps et sans problème. J’ai juste grub-install /dev/md1 et reboot. Aucun problème.

Par : michauko

michauko — Thu, 06 Aug 2009 06:22:40 +0000

T’as fait les 2 manips somme toute ?
- lilo => grub
ET passage Ã un noyau « normal » ?

ou juste lilo => grub ?

Par : Ploum

Ploum — Wed, 05 Aug 2009 13:06:53 +0000

Je viens de sauter le pas suite à la lecture de http://forum.kimsufi.com/showthread.php?t=2492

Un simple grub-install – reboot plus tard et je suis sur le kernel par défaut, c’est vraiment plus rassurant.

Par : michauko

michauko — Wed, 05 Aug 2009 12:29:46 +0000

Oui, ce qui est sÃ»r, c’est que le aptitude install linux-image-2.6-686 a foirÃ©. Je n’ai pas du tout cherchÃ©, malheureusement.
Et maintenant, comme tout le monde, la machine est dÃ©jÃ plus ou moins en service…

Quant Ã cumuler le changement de kernel + passage Ã grub, euh… faut vraiment avoir du temps devant soi pour les reboot en mode rescue et les rÃ©installations

J’aime pas grsec non plus

Par : Ploum

Ploum — Wed, 05 Aug 2009 12:15:45 +0000

Personnellement, j’aimerais passer sur le noyau Debian ou Ubuntu plutôt que le noyau OVH (surtout que je n’aime pas grsec). Mais je n’ai encore jamais eu le courage de tester. En théorie, il faudrait fair un boot-once : grub va booter une fois sur l’autre noyau et revenir au défaut par après, de cette manière tu prends pas vraiment de risque. Mais j’aimerais d’abord avoir des retours d’expérience à ce sujet.

Par : michauko

michauko — Wed, 05 Aug 2009 06:02:45 +0000

Oui c’est clair. Encore que je me demande dans quelle mesure ils peuvent/doivent t’apporter du support.
Maintenant je crois me rappeler que j’avais aussi vu ce type d’accÃ¨s sur ma dedibox ; y’a quelques annÃ©es

Par : jean-Philippe

jean-Philippe — Wed, 05 Aug 2009 02:26:19 +0000

@michauko:
le coup de la clef ssh sous root je pense que c’est la majorite des hebergeurs qui font ca, et quand tu vois certaines configs je les blame pas.
Ceci dit tu peux tres bien la supprimer:
http://guides.ovh.com/InstallClefOVH (voir la partie desactivation de la clef)

Par : michauko

michauko — Tue, 04 Aug 2009 20:00:10 +0000

Ce qui me gêne, c’est que la clef SSH doit être la même pour toutes les machines, sinon ça doit être un peu le bordel à gérer de leur côté => c’est moyen moins quand même.
Pour RTM, il finira par gicler quand je constaterai que je ne vais jamais voir les graphes et autres du genre car je surveille déjà tout ça via un parc de nagios, cacti et ntop

Je modifie l’article rapport à 2/3 conneries que j’ai donc écrites

Par : Skunnyk

Skunnyk — Tue, 04 Aug 2009 19:41:26 +0000

« Pours les autres, c’est plus dur, vu que c’est toujours en cours d’utilisation.’
Mais si, mais si, sinon on serait bien embarrasé dans certains cas sur un serveur en prod
=> # mount -o remount /

Par : Ludo

Ludo — Tue, 04 Aug 2009 19:03:33 +0000

Concernant les kernels, ce sont des versions optimisées pour les kimsufis.
OVH tient à jour ses kernel dans un coin de leur FTP, mais c’est aux admin de répercuter les MAJ.
Suivre le guide pour les majs, rien de bien compliqué : http://guides.ovh.com/kernelinstall

Voilà un petit script shell qui nous débarrasse des trojans (appelés ça comme vous voulez) placés par OVH, et qui fait un backup des fichiers concernés (au cas ou…) :

#!/bin/bash

# not OVH spyware
if [ ! -d '/usr/local/rtm' ] && [ `grep -c '/usr/local/rtm/' '/etc/crontab'` -eq 0 ] ; then
echo ‘Error : no OVH spyware installed’
exit 0
fi

# backup directory
RTM_BAK=’/root/rtm_bak.’$RANDOM’/’
mkdir $RTM_BAK

# remove softs
if [ -d '/usr/local/rtm' ]; then
mv ‘/usr/local/rtm’ $RTM_BAK’/rtm’
fi

# delete ssh keys
cp ‘/root/.ssh/authorized_keys2′ $RTM_BAK’/authorized_keys2′
> ‘/root/.ssh/authorized_keys2′

# stop cron
# */1 * * * * root /usr/local/rtm/bin/rtm 20 > /dev/null 2> /dev/null
cp ‘/etc/crontab’ $RTM_BAK’/crontab’
sed -i ‘/\/usr\/local\/rtm\//d’ ‘/etc/crontab’

Et sin on tenait tant au monitoring de son serveur, on installe MRTG et puis basta

Par : michauko

michauko — Tue, 04 Aug 2009 18:51:10 +0000

Tir groupé :
- oui le coup de la clé dans le compte root. J’avais zappé. quel con. J’ai pas vérifie la tout de suite mais ca doit être ça en effet. Besoin de vacances
- de la a avoir rebooté pour ça ça m’étonnerait, et surtout ils aurait dit pkoi. la ça semblait clair : excès de zèle… Je suppose que ladite clef vient avec l’installation standard qui n’est pas tout a fait « nue » non plus
- pour RTM oui c’est ce quiest dit. De toute manière je laisse, jajoute simplement mes outils : rkhunter etc…

Enfin globalement, pour ‘linstant j’en suis content. Le coup du rebooté, en début de vie, c’est encore marrant:)

Par : Xate

Xate — Tue, 04 Aug 2009 18:14:46 +0000

Pour l’accès d’OVH, est ce que, par le plus grand des hasards, tu n’aurais pas une clef qui te serait inconnue dans /root/.ssh/authorized_keys ?

Par : Jean-Sébastien H.

Jean-Sébastien H. — Tue, 04 Aug 2009 17:51:32 +0000

Oubli : http://guides.ovh.net/InstallClefOVH

PS : RTM est plutôt pas mal, ca permet de voir tout un tas de choses via le manager, notamment et théoriquement ca doit pouvoir detecter les backdoor et certaines défaillances hard

Par : Jean-Sébastien H.

Jean-Sébastien H. — Tue, 04 Aug 2009 17:49:56 +0000

OVH n’a pas de compte sur ta machine, par contre il demande que tu installes leur clé SSH.

D’ailleurs c’est peut être pour ca qu’ils ont redémarré ton serveur.