SysAdmin

如何：重建根 zpool

这篇和较早的 线上重做 FreeBSD GPT 引导分区 情况有些类似，但略有不同。

前段时间 Andriy Gapon 为 Samsung 860 / 870 SSD 增加了一个 quirk。 Samsung 的 SSD 内部使用的是 8K 或 16K 的存储页，但为了和业界标准兼容， 它的控制器为 4K 扇区做了优化。

备份小故事一则

原载于 Telegram 频道。

今天来讲个关于备份的小故事。

以前有个同事之前在某使用UNIX的传统行业干了多年，他们的系统可用性要求不算高，但数据非常重要， 所以备份自然也是必不可少的。为了确保备份的安全性， 他们还雇了一家专门的保全公司定期把备份磁带从办公室拿走到该保全公司的仓库。

从 gmirror 迁移到 graid

谷奥 的服务器硬盘坏了，而且托管商很奇怪地用了 gmirror 而不是 BIOS 直接支持的 graid（我厂 Alexander Motin 实现的与 BIOS 兼容的软件 RAID，支持 Intel、Adaptec、JMicron、nVidia、Promise和SiL等多家厂商的软RAID格式），所以趁这个机会给它换掉。记一下迁移的过程。

FreeBSD.org 这次的入侵事件

我回国之前， FreeBSD 安全团队内部正在准备一项重要的安全公告，不过这次不是由于 FreeBSD 的代码本身，而是由于 FreeBSD 项目集群中的一部分受到了入侵。这份公告后来于 11 月 17 日正式 发表。

备份和代码审计

这次回北京之前的周末，FreeBSD安全团队发表了内部通知，发现 FreeBSD.org 有些机器被入侵，最近终于做了全面披露了。目前，基本的代码审计和攻击检查已经做完，部分机器还在重装的过程中。

对 FreeBSD 这样的开源项目来说，在基础设施遭到攻击之后，首先必须被怀疑的便是有可能有人在代码库中植入了新的后门。由于代码量十分巨大，逐行审计是非常不现实的。由于 FreeBSD 在 BSD 时代即采用了版本控制系统（最早 BSD 时代是 SCCS，FreeBSD早期是CVS，现在是 subversion），因此，每一行代码的来源，包括作者、具体的修改时间，以及为什么那样修改等等，都可以很容易地查找到。

在线将 zpool 转换为 GELI 加密卷的尝试

今天尝试了一下将 zpool 在线转换为 geli 加密卷，失败。这里记一笔。

想法是：将 zpool （RAIDZ）中的一块盘 offline，建立 GELI 卷，然后用新建的 GELI 卷来替换拿下来的盘。

远程升级 FreeBSD 系统备忘

📜 历史文件已不具备现实意义

目前（2020）的最佳实践是使用 etcupdate 和 package。本文内容已过时。

最近两次失败记录的教训。

首先是联编 world 和 kernel (make buildworld buildkernel)，这个没啥可说的。假定 / 是 UFS（即，可使用 nextboot），且配置了 watchdog，则操作步骤为：

用 fcgiwrap 来跑 Movable Type

我的 blog 在之前一直是用 Apache HTTPD 来作为 CGI 引擎来跑 Movable Type。在迁移到北美之前，使用两个域名/IP来分别运行静态页面 (lighttpd) 和 CGI 内容。后来因为全面转向 nginx，在迁移过程中改成了使用一个域名、使用 nginx 在前面跑静态页，并作为反向代理来连接后端的 Apache 1.3.x 实例（先前是 Apache 2.2.x，由于这个实例只用来跑 CGI，所以采用了较低版本的 Apache 以节省资源）。

unbound之DNSSEC缓存服务器作弊条

DNSSEC 是一种验证域名信息真实性的协议扩展。个人之前一直觉得这事相当的蛋疼：DNS协议本身是不安全的，而DNSSEC无非是增加了数字签名验证，而这验证还依赖于相当复杂的密钥更新和分发机制，这一切都给它的推广带来了困难。

跨ISP冗余实在是太重要了

鸡蛋不能放在同一个篮子里，特别是 DNS 服务器这样的鸡蛋……在没拿到AS之前，至少也应该做到跨ISP冗余才好。

• 下一页 →