自托管服务器

今天是周六，昨天晚上陈总跟我说tarsier要搬家到那个IDC的楼上，于是今天早上起来看，发现IP已经过去了，但是有一根网线没插，陈总自己的机器有4台没有起来，看来国内的IDC的服务水平还是有待提高啊。

继续检查发现我的IPv6 tunnel断掉了，在he.net的帐号管理里面找到了自己的IPv4地址，改掉，发现这次网关能连上了，但是IPv6网络还是不通。

无奈之下给页面下面那个邮件地址写了封邮件。与XO不同，HE不需要打电话，写邮件自动就创建ticket。那边看到我的ping6和traceroute6输出之后，很快就解决了问题。想想几周前一次一次地打电话去催另一家ISP/colo，差距真是太大了。

📜 历史文件已不具备现实意义

本文介绍的基于sendmail MSP队列的方案已经过时。对于绝大多数应用场景而言，sendmail仍然过于笨重；现时FreeBSD已内建了不带完整邮件队列能力的轻量级MTA——dma(8)，更推荐在各Jail中配置dma(8)，并通过在Link-Local IP上运行一个postfix实例来统一向所有Jail提供对外转信服务。

FreeBSD从4.0版本开始提供了非常强大的虚拟化工具——jail。对于许多应用来说，jail能够在确保应用程序之间的有效隔离的前提下，最大限度地发挥硬件性能（每个jail不会单独运行自己的内核），而在jail内部看来，则基本上与真正的服务器无异，且性能损失很小；通过内核提供的ABI模拟，jail能够提供FreeBSD早期版本，以及Linux 2.4.x或2.6.x的兼容能力。

许多传统的Unix应用程序假定系统中存在一个可用的MTA。FreeBSD中内建了sendmail，但在jail中配置sendmail会遇到一个比较麻烦的问题，即在jail中，127.0.0.1指代的是jail的IP地址而不是本地loopback设备。换言之，原本监听本地socket的MTA变成了监听jail对外的IP，这会是一个安全隐患。

说说这周发生的事情。

这周初步解决了困扰很久的ssh密码扫描蠕虫的问题。习惯上我是上来就禁止口令登录的，所以这种扫描（据蜘蛛说，这是一种叫做scanssh的虫子，不过我手头没有蜜罐资源，所以也就没有捕捉样本）没什么用，不过这种虫子讨厌的地方在于它能够花费几个小时的时间去穷举你的口令，而且是不同的帐号，这会产生几百KB的日志。

📜 历史文件已不具备现实意义

本文记录的是2006年通过自建私有CA为Postfix签发一年期证书及生成512/1024位DH参数的早期做法，相关流程与密码学参数均已过时（512/1024位DH参数早已不再安全）。现时已有Let’s Encrypt等免费CA服务，通过ACME自动签发并续期短期证书（亦可配合DANE TLSA）是当前的最佳实践。

以下内容为作弊条，仅供参考；只保证在FreeBSD下能用。

为Postfix配置TLS的关键是产生自己的CA证书，并签署一年一续的服务证书。注意一定要保管好前者的私钥！

第一步：创建自签名 CA

1
2
3
4
5
6
7

mkdir /usr/local/etc/ca
cd /usr/local/etc/ca
mkdir certs crl newcerts private
echo "01" > serial
cp /dev/null index.txt
cp /etc/ssl/openssl.cnf openssl.cnf
vi openssl.cnf

一直想做的一件事：跨越三网的MX和NS互备，我认为基本上可以应付个人网站任何常见规模的网络间断和服务器宕机导致的潜在丢信问题。

📓 注意

此文档属于备忘录性质，作者不对此备忘录的正确性、条理性、实用性、适用性承担任何责任。版权所有（c）2006 李鑫，保留所有权利。未经作者书面或PGP签名许可，禁止转载、修改、复制，或以其它未经授权的方式使用本文内容。

📜 历史文件已不具备现实意义

本文记录的是2006年通过portupgrade现场编译升级Postfix的早期做法，相关流程与工具均已过时。目前的最佳实践是使用二进制包（如pkg搭配自建Poudriere仓库）进行升级，并在变更前配合ZFS快照或Boot Environment实现快速回滚。

没啥技术含量，做个笔记而已。

相关日志如下：

1
2
3
4
5
6
7

Jan 11 22:19:02 tarsier postfix/postfix-script:
  stopping the Postfix mail system
Jan 11 22:19:02 tarsier postfix/master[92875]: terminating on signal 15
Jan 11 22:19:02 tarsier postfix/postfix-script:
  starting the Postfix mail system
Jan 11 22:19:02 tarsier postfix/master[70250]: daemon started --
  version 2.2.8, configuration /usr/local/etc/postfix

📜 历史文件已不具备现实意义

本文记录的是2005年底delphij.net邮件服务器所采用的早期反垃圾策略。文中涉及的部分RBL服务（如relays.ordb.org）早已失效或停运，现时本站已改用rspamd实现反垃圾邮件过滤。

对于所有进入的连接：

• 必须发送EHLO或HELO
• 拒绝无效EHLO
• 允许经过身份认证的用户绕过余下的测试
• 禁止特定EHLO名字
• 拒绝EHLO机器名非FQDN的情形
• 拒绝不可解析的EHLO名字
• 除上述禁止情况之外，进入下一流程

📜 历史文件已不具备现实意义

本文记录的是2005年启用的早期自托管服务器tarsier的硬件配置与服务规划。文中涉及的硬件平台早已过时并退役。

tarsier的配置如下：