选择chaos这个词是因为~~实在很难找到一个更合适的词来形容这儿了……
先把想法记下来。
解决的问题：
dawnh在之前的人肉traceback中提到了 另一种DSR结构。即：
（此VLAN划分是出于性能方面的考虑，不划分VLAN并不会导致整个系统不能用）。
这种做法保持了在外网网卡上直接绑一个未用公网IP之后，不需要绑定路由器MAC地址的优点，而在这种配置中，服务器直接连接网络的网卡上都不需要绑定公网IP地址。缺点是需要有一个能够在VLAN-Outgoing到Internet之间进行路由的路由设备，或能够直接控制到Internet那一跳的路由器（当然，这种情况，路由器本身甚至也可以不占用同网段IP，即，VLAN-Internet与VLAN-Outgoing合并、负载平衡设备公网网口绑VLAN-Outgoing上的内网IP，在路由器上配置指定的Internet地址段路由到VLAN-Outgoing网口）。
Read more...FreeBSD先前的vesa framebuffer驱动有个问题，就是滚屏的时候会比较慢。jkim大长辈于是改了一行代码。
好吧，我承认我之前一直以为是console驱动想要锁&Giant的问题。其实真正的原因是默认的pmap_mapdev并不做写合并，所以应该呼叫更低阶的pmap_mapdev_attr并传入PAT_WRITE_COMBINING参数。
现在VESA console的滚屏几乎和文本模式一样了。活到老学到老吧……
Read more...因为有人在我前一篇blog《使用DSR模式实现单IP服务冗余》里提了个问题，这里解释一下。
DSR比较常见的两种配置，一种是我之前文章中提到的禁止外网网卡ARP的方法，另一种是把虚拟IP绑定到lo0上。这两种方法各自有一些优缺点。一般来说，我喜欢用前一种方法。
实现DSR结构的关键是，通往Internet路由器的那个网络上，只有负载平衡设备在网络上宣示虚拟出来的那个IP的MAC地址，这样，当请求进来的时候，数据会发到负载平衡设备，而不是某一台服务器上。
禁止某块网卡上的ARP的时候，由于这块网卡完全忽略ARP（不仅是禁止发出ARP请求，同一广播域上的ARP广播也会忽略）。禁止网卡上的ARP，但将虚拟IP绑在网卡上的语义是这样：
而另一种方法，也就是网卡上绑与虚拟IP同网段的另一个IP（服务器之间不冲突），但将虚拟IP绑在lo0上的做法的语义则是这样：
第一种做法的优点是无需在与虚拟IP同网段的网络上再占用一个IP（第二种方法需要：这个IP必须和虚拟IP是同一个网段上的，以便让系统知道通往路由器的网卡是这一块）。很明显，DSR的时候你不会希望使用 RFC 1918 规定的的私有IP，除非这个服务是针对内部网络的。
第二种做法的优点是无需在服务器上维护路由器IP与MAC地址的对应表。这个特性可以减少维护的压力。例如，如果网络上只有一个路由器，而没有做VRRP或CARP的时候，在做路由器割接时，由于路由器的MAC地址变动，第一种做法会需要一次性修改全部服务器上的MAC绑定。当然，如果网络上的路由器是冗余的，这个优势可能就不那么明显了；另一方面，IPv4地址已经快用完了，所以，为了世界和平，还是建议大家用第一种做法。lo上绑定的IP地址掩码最好是/32（仅此IP）。
当然，两种做法，*nix系统都是支持的。FreeBSD支持，Linux也支持。
Read more...今天在 Matrix67 的 blog 上看到这么一道题：
一个人有两个小孩儿，其中有一个生于星期二的男孩儿。问另一个是男孩儿的概率是多少？
答案当然不是1/2或者1/4，因为我们已经知道了有一个是生于星期二的男孩，因此这是一个条件概率问题。
Read more...FreeBSD从8.0开始支持从ZFS引导系统，因此，可以使用ZFS的快照功能来实现快速部署。
新机器使用LiveFS启动，Fix it，CDROM。
kldload /dist/boot/kernel/nullfs.ko
mount_nullfs /dist/boot /boot
kldload tmpfs
kldload zfs
如果需要，此时用dd抹除硬盘内容，例如 dd if=/dev/zero of=/dev/da0 bs=1m count=1
gpart create -s gpt da0（重复此步直到所有硬盘皆包含GPT分区表）
gpart add -b 34 -s 128 -t freebsd-boot da0（实际上只有启动盘需要，不过64K空间对现代硬盘来说基本上可以忽略不计）
gpart add -b 162 -s 8388608 -t freebsd-swap da0（根据需要酌情配置）
gpart add -b 8388770 -t freebsd-zfs da0
cd /boot
gpart bootcode -b pmbr da0（建议所有盘有freebsd-boot分区的盘都做）
gpart bootcode -p gptzfsboot -i 1 da0（所有有freebsd-boot分区的盘都做）
glabel label swap0 /dev/da0p2（swap1,2,3,4,…类推）
glabel label vdsk0 /dev/da0p3（vdsk1…类推）
Read more...最近看到一个很有意思的攻击。记一笔。
针对 SYN Flood 攻击（特点是攻击者发出大量 SYN 请求，但并不完成 TCP 握手），目前操作系统会采用 SYNcookie 予以反制。FreeBSD上的实现是在系统资源充足的时候采用标准的握手机制，而当发现存在可能的攻击（即可用的 TCP 状态资源不足时）应用 SYNcookie；SYNcookie是将TCP状态建立推迟到三次握手 之后，具体做法是将服务器本地的一个秘密数据与来源/目的IP、端口编码来形成序号来发出SYN+ACK，并在收到对方回应ACK时验证这个序号的真实性。
这种方法实际上是用计算来换内存资源，即增加了两步计算操作来避免在握手完成之前消耗 TCP 状态资源。
SYN Flood提供了两个优势：
新的攻击方法在攻击者一方也使用了类似SYN cookie的方法，即，它能够实际完成TCP握手，从而击败 SYN cookie（当然，由于完成了三次握手，伪造源IP就不太容易了），方法是将本机和服务器的端口/IP编码进序号。
这次公开的攻击方法还有很多非常聪明的做法，在改TCP实现之前，防守一方能够采取的缓解方法不太多（限制IP、推迟服务启动时间等）。
Read more...FreeBSD支持以DSR（Direct Server Return，即服务器直接将流量通过路由器返回，而不经过负载平衡设备；俗称"单臂模式"）模式提供服务。为了改善服务的可用性，可以使用这种方法来配置服务器。这种方法非常适合于大并发、大流量的环境。
首先，需要对服务可能产生的负载、流量进行估计，并据此设计网络的结构。DSR结构极大地降低了负载平衡设备成为瓶颈的可能，但仍对它们有一些要求，因此，设计者需要考虑下面一些问题：
DSR结构对服务器有这样一些要求：
在FreeBSD上，这可以通过在 rc.conf 中的网卡配置中增加"-arp"参数，并配置 static_arp （9.0和更高版本，我会在稍后将其MFC）来实现。
在负载平衡设备上，在实现DSR结构时，这些设备扮演的角色是 路由器，而不是 NAT 网关。也就是说，它们的作用是将来自客户端的访问 IP 包直接 路由 到服务器的内网地址（说明：此时，这些内网 IP 地址会被当作"下一跳"；负载平衡设备查找本地 ARP 表并将数据包在2层上直接传递给对应的服务器；而服务器看到的数据包的目的地址仍是提供服务的那个公网IP）。
FreeBSD pf规则举例：pass in on em0 route-to { em1 内网IP1, em1 内网IP2, em1 内网IP3 } round-robin proto tcp from any to 公网IP port http keep state (sloppy)
其中，(sloppy)需要比较新版本的pf。目前的 FreeBSD 版本并不支持这一用法。可以使用 这个 补丁。这个选项表示pf应使用较为宽松的状态机；如果不需要状态（DNS协议通常不需要保持完整的会话，因为通常不会有很大的请求包）则不需要keep state和(sloppy)配置。
Read more...一般来说DNS和MX都需要做冗余。前者的冗余和容灾要求要高于后者。
DNS的冗余通常需要做到跨ISP，甚至跨大洲。由于安全和性能方面的理由，提供权威DNS解析的服务器都不应同时作为缓存DNS服务器；此外，实践上权威DNS服务器应该是受保护的管理服务器的slave，而不应直接在权威DNS服务器上操作（读、写分开），这样可以有效减少由于修改操作所导致的downtime。
MX的冗余可以是跨网段，也可以是跨ISP甚至跨大洲的。如果条件不具备，甚至可以在同一网段，但这会增加网络设备或机房故障所导致的downtime风险。不同的MX在会话阶段的过滤策略应该是一致的。
Read more...前一段时间commit了来自XFree86 -> NetBSD -> OpenBSD的x86emu，这是一个大约9千行C代码的x86实模式CPU模拟器。
由于 amd64/EM64T “long mode” 不支持先前 x86 保护模式中的 “vm86” 扩展（虚拟实模式环境），因此，这个模拟器使得 FreeBSD 能够在 amd64（EM64T） 平台上支持 vesa、dpms 等功能了。
这些改动同样适用于 RELENG_6、RELENG_7、RELENG_8（前两个可能需要略微做一点点改动）。具体的changeset包括：
r197009 - 导入原版（OpenBSD 4.6）x86emu
r197019 - 对x86emu进行一些修改使其适用于 FreeBSD 编译环境，连接到build上。(需要说明的是，x86emu是跨平台的)。
r197021 - MFC时需要：建立目录。
r197022 - 把vesa和dpms代码复制到新位置。(注：svn无法有效地在一次commit中表达把文件挪到新的位置，并进行修改这样的操作。为了便于在 diff -c 时能够看到改动，将这个mv操作拆成了cp和rm）
r197025 - 对vesa、dpms代码进行修改，不再使用vm86而改为使用x86emu。删除原先位置的 vesa 和 dpms。
r197042 - bz@ 补齐了我在 197025 中忘记删除的一个文件。
r197081 - 告诉 make delete-old 需要删除的文件。
r197085 和 r197109 - 启动时可通过 hint 配置直接进入高分辨率模式。
还有一些小问题需要修正，不过大体上是做完了。其中，x86emu的代码经过OpenBSD和NetBSD两拨人的修整已经很清晰易读（主要是译码和执行单元两部分）。
Read more...