
Autor: dentaku
Site Reliability Engineer, Internet-Ureinwohner, Infrastrukturbetreiber, halb 23-Nerd halb 42-Nerd, links, gesichtsblind.
Schreibt mit "obwaltendem selbstironischem Blick auf alles Expertentum" (Süddeutsche Zeitung)
Most Recent Mugshot

Most Recent Mugshot

Most Recent Mugshot

Womit heizen die denn da?
Entspannung von der Arbyte
Most Recent Mugshot

[321 Blog!] Von Masse und Gewicht
(Kopie, Original mit Diskussion auf 321 Blog!):
Jedes mal, wenn jemand ein Gewicht in Kilogramm angibt, dann sträuben sich irgendwo einem Physiker die Nackenhaare. Kilogramm ist die Einheit für Masse, Gewicht ist nur die Kraft, mit der diese Masse aufgrund der Gravitation zu einer anderen Masse hingezogen wird (bis auf den nächstgelegenen Planeten kann man dabei meist alle Gegenstände vernachlässigen).
Interessanterweise messen die meisten handelsüblichen Waagen eigentlich auch die Gewichtskraft — entweder über die Dehnung einer Feder oder die elektrische Widerstandsänderung eines Kristalls unter Druck (Druck wiederum ist die Kraft auf eine Fläche, die Fläche ist dem Konstrukteur bekannt und kann rausgerechnet werden) oder etwas, das irgendwie eine Kombination daraus ist. Nur die Balkenwaage vergleicht direkt zwei Massen miteinander, käme also auf jedem Planeten zum selben Wiegeergebnis.
Aber auch wenn man auf unserem Planeten bleibt, dann ist die Erdanziehungskraft nicht überall gleich. Randall Munroe hat das vor kurzem in seinem xkcd-Comic thematisiert:
Ein halbes Prozent ist gar nicht so wenig. Hier bei uns in der mehr-als-100kg-Klasse kann das schon mal 500g ausmachen. So krass wie bei Jans Hotelwaage solte der Unterschied aber nicht ausfallen…
So, Schluss mit der Philosophie, weiter mit Sport.
Most Recent Mugshot

(hilft den Nebenhöhlen und sieht cool aus)
Most Recent Mugshot

Most Recent Mugshot

Most Recent Mugshot

Firnis (oder: Das muss schneller gehen!)
Vor einiger Zeit (oh, ist ja auch schon wieder ein Jahr her) hat mich bei Martin Thielecke ein Artikel aufgeschreckt. Seitdem steht Webserver-Tuning auf meiner ToDo-Liste (die ist geduldig). Nachdem auch Google sagt, dass meine Webseite langsam ist:
(ok, die scheinen das auch nur mal im letzten Mai gemessen zu haben), musste da jetzt echt mal was passieren. Das soll hier also alles ein wenig schneller (und belastbarer) werden. Als ersten Schritt habe ich nach etwas Einleserei vor meinen Apache jetzt einen Varnish-Cache gestellt. Der läuft im Moment noch mit Standardeinstellungen, was ein paar Nachteile hat:
- Die Cache-Hit-Rate ist eigentlich miserabel: WordPress liefert seine Seiten mit minimaler Lebenszeit aus und setzt auch sehr gern Cookies. Beides verhindert bei normaler Konfiguration eine Zwischenspeicherung im Cache. Varnish lässt sich aber sehr fein einstellen, da sollte sich noch einiges machen lassen.
- Die Apache-Accesslogs sehen eher eigenartig aus: alle Anfragen kommen im Moment von 127.0.0.1, aber auch das sollte mit Konfiguration wieder in den Griff zu bekommen sein.
- https ist noch nicht beschleunigt, weil Varnish kein TLS spricht. Da habe ich schon ein wenig herumexperimentiert mit Pound, aber damit kommt die Information, dass über https zugegriffen wird, nicht bei WordPress an, so dass alle ausgegebenen Links (auch die zu StyleSheets und Bildern des Themes) wieder auf die unverschlüsselte Variante zeigen. Da weder Varnish noch Pound die Links im Vorübergehen umschreiben können, muss ich mir da was anderes einfallen lassen (ich lese gerade ein wenig über nginx, damit könnte das gehen).
Wenn ich eine gangbare Konfiguration gebastelt habe, dann schreibe ich mal eine Anleitung (wenn Euch hier umgekehrt irgendwas auffällt, das nicht richtig funktioniert, dann beschwert Euch).
Most Recent Mugshot

Most Recent Mugshot

Die in Teil 1 schon erwähnte Sicherheitsrichtlinie schreibt auch vor, dass VPN-Zugänge logisch nicht an Maschinen sondern nur an Personen gebunden sein dürfen. Bisher hatten wir OpenVPN mit X.509-Zertifikaten zur Zugangsbeschränkung benutzt. Die Zertifikate lassen sich zwar mit einem Passwort verschlüsseln, das kann aber vom Besitzer des Zertifikats leicht geändert werden. Eine echte Zweifaktorauthentifizierung geht anders.
Da trifft es sich gut, dass OpenVPN auch nach Benutzername und Passwort fragen kann. Die können direkt hinterlegt sein, mit einem entsprechenden Plugin kann man aber PAM mitbenutzen:
plugin /usr/lib/openvpn/openvpn-auth-pam.so login
Auf client-Seite muss die bestehende Konfigurationsdatei durch eine Zeile ergänzt werden, damit der Benutzer nach dem übermittelnden Passwort gefragt wird:
auth-user-pass
PAM hatten wir ja in Teil 1 schon an Active Directory angebunden, was wir hier jetzt problemlos mitbenutzen können. Fertig.
Einschränkung: da der OpenVPN-Endpunkt oft ein Rechner ist, auf dem sich die so „entstandenen“ Benutzer gar nicht interaktiv anmelden sollen, empfiehlt sich die Einrichtung einer restricted Shell und die entsprechende Anpassung der smb.conf:
template shell = /bin/rbash template homedir = /home/restricted
(und wenn man schon dabei ist, dann sollte man dort auch alle Services entfernen).
Most Recent Mugshot

Most Recent Mugshot

Most Recent Mugshot

