Modernizacja sieci wewnętrznej CA 22.03.2018

Ten wątek odnosi się do: https://craftapple.pl/forum/threads/włamanie-21-03-2018.12536/

Wczorajsze zniszczenie serwerów przy użyciu WorldEdita spowodowało ostateczne uszkodzenie jednego z dysków maszyny node3. Jeszcze przed tą sytuacją zauważyliśmy problem z wykorzystaniem WorldEdita, na serwerze testowym, na którym przygotowujemy różne budowle (ok. 1 tydzień temu), nie mogliśmy wkleić areny PvP o której dyskusja toczyła się wcześniej, była ona ucinana w połowie, a serwer wywalał. Była to sytuacja dość dziwna, bo nie było to aż tak duże zadanie, z którym wcześniej WorldEdit by sobie nie radził. Jeden dysk serwera node3 już wtedy wykazywał niepokojące objawy, właśnie to skutkowało problemami z wklejaniem w WorldEdicie, oczywiście nie miałem pojęcia co do cholery odwala WE, i dlaczego stawia focha i nie chce wkleić głupiej areny. Wczoraj pewne osoby uzyskały dostęp do uprawnień, do których nie powinny mieć dostępu, zniszczyli co najmniej serwer survival przy użyciu WorldEdita, wykonywali dość duże operacje, właśnie wtedy dysk nie wytrzymał dalej i wyzionął ducha.

hmm dziwne, mam wrażenie że miałem o tym deja vu wcześniej (o awarii dysku).

Dysk został wymieniony, zainstalujemy system na nowo, jednak musimy przeprowadzić pewną modernizację.
Panel którego wcześniej używaliśmy do zarządzania odszedł z maszyną node2, która została usunięta wcześniej z sieci, do tej pory został jedynie daemon panelu na obu maszynach 3 i 4, który zarządzał restartami i działaniem serwerów. Musimy zainstalować coś nowego, do zarządzania serwerami MC, potem będziemy przywracać serwery z kopii.

Serwery będą działać najpóźniej od poniedziałku.

 

Znalazłem zgubę na zniszczonych partycjach nie ma to jak raid https://scr.hu/GXKZ6r
Są pliki więc będzie można przeanalizować logi, przy okazji nie straciłem serwera "budowa", bo tego kopi nie mieliśmy

 

Wykonano testy obciążeniowe serwera node3.
###################
CPU stress test passed
memtester memtest passed
smartctl SMART state: OK
network passed
----> 909Mbits/sec
OVH Internal Network ->|<- node3.craftapple.pl ---> 21.53Mb/s Gracz na LTE <--- 6.14Mb/s
243Mbits/sec <----
###################

Spoiler: SMART

smartctl 6.6 2016-05-31 r4324 [x86_64-linux-4.9.77-mod-std-ipv6-64-rescue] (local build)
Copyright (C) 2002-16, Bruce Allen, Christian Franke, www.smartmontools.org

=== START OF INFORMATION SECTION ===
Device Model: SAMSUNG MZ7LM480HMHQ-00005
Serial Number: S2UJNX0J700155
LU WWN Device Id: 5 002538 c406ca0ba
Firmware Version: GXT5204Q
User Capacity: 480,103,981,056 bytes [480 GB]
Sector Size: 512 bytes logical/physical
Rotation Rate: Solid State Device
Form Factor: 2.5 inches
Device is: Not in smartctl database [for details use: -P showall]
ATA Version is: ACS-2, ATA8-ACS T13/1699-D revision 4c
SATA Version is: SATA 3.1, 6.0 Gb/s (current: 6.0 Gb/s)
Local Time is: Fri Mar 23 06:09:33 2018 CET
SMART support is: Available - device has SMART capability.
SMART support is: Enabled

=== START OF READ SMART DATA SECTION ===
SMART overall-health self-assessment test result: PASSED

General SMART Values:
Offline data collection status: (0x02) Offline data collection activity
was completed without error.
Auto Offline Data Collection: Disabled.
Self-test execution status: ( 0) The previous self-test routine completed
without error or no self-test has ever
been run.
Total time to complete Offline
data collection: ( 2100) seconds.
Offline data collection
capabilities: (0x53) SMART execute Offline immediate.
Auto Offline data collection on/off support.
Suspend Offline collection upon new
command.
No Offline surface scan supported.
Self-test supported.
No Conveyance Self-test supported.
Selective Self-test supported.
SMART capabilities: (0x0003) Saves SMART data before entering
power-saving mode.
Supports SMART auto save timer.
Error logging capability: (0x01) Error logging supported.
General Purpose Logging supported.
Short self-test routine
recommended polling time: ( 2) minutes.
Extended self-test routine
recommended polling time: ( 35) minutes.
SCT capabilities: (0x003d) SCT Status supported.
SCT Error Recovery Control supported.
SCT Feature Control supported.
SCT Data Table supported.

SMART Attributes Data Structure revision number: 1
Vendor Specific SMART Attributes with Thresholds:
ID# ATTRIBUTE_NAME FLAG VALUE WORST THRESH TYPE UPDATED WHEN_FAILED RAW_VALUE
5 Reallocated_Sector_Ct 0x0033 100 100 010 Pre-fail Always - 0
9 Power_On_Hours 0x0032 099 099 000 Old_age Always - 8
12 Power_Cycle_Count 0x0032 099 099 000 Old_age Always - 8
177 Wear_Leveling_Count 0x0013 100 099 005 Pre-fail Always - 0
179 Used_Rsvd_Blk_Cnt_Tot 0x0013 100 100 010 Pre-fail Always - 0
180 Unused_Rsvd_Blk_Cnt_Tot 0x0013 100 100 010 Pre-fail Always - 1632
181 Program_Fail_Cnt_Total 0x0032 100 100 010 Old_age Always - 0
182 Erase_Fail_Count_Total 0x0032 100 100 010 Old_age Always - 0
183 Runtime_Bad_Block 0x0013 100 100 010 Pre-fail Always - 0
184 End-to-End_Error 0x0033 100 100 097 Pre-fail Always - 0
187 Reported_Uncorrect 0x0032 100 100 000 Old_age Always - 0
190 Airflow_Temperature_Cel 0x0032 068 065 000 Old_age Always - 32
194 Temperature_Celsius 0x0022 068 065 000 Old_age Always - 32 (Min/Max 19/35)
195 Hardware_ECC_Recovered 0x001a 200 200 000 Old_age Always - 0
197 Current_Pending_Sector 0x0032 100 100 000 Old_age Always - 0
199 UDMA_CRC_Error_Count 0x003e 100 100 000 Old_age Always - 0
202 Unknown_SSD_Attribute 0x0033 100 100 010 Pre-fail Always - 0
235 Unknown_Attribute 0x0012 099 099 000 Old_age Always - 5
241 Total_LBAs_Written 0x0032 100 100 000 Old_age Always - 0
242 Total_LBAs_Read 0x0032 099 099 000 Old_age Always - 5685
243 Unknown_Attribute 0x0032 100 100 000 Old_age Always - 0
244 Unknown_Attribute 0x0032 100 100 000 Old_age Always - 0
245 Unknown_Attribute 0x0032 100 100 000 Old_age Always - 65535
246 Unknown_Attribute 0x0032 100 100 000 Old_age Always - 65535
247 Unknown_Attribute 0x0032 100 100 000 Old_age Always - 65535
251 Unknown_Attribute 0x0032 100 100 000 Old_age Always - 613376

SMART Error Log Version: 1
No Errors Logged

SMART Self-test log structure revision number 1
No self-tests have been logged. [To run self-tests, use: smartctl -t]

SMART Selective self-test log data structure revision number 1
SPAN MIN_LBA MAX_LBA CURRENT_TEST_STATUS
1 0 0 Not_testing
2 0 0 Not_testing
3 0 0 Not_testing
4 0 0 Not_testing
5 0 0 Not_testing
255 0 65535 Read_scanning was completed without error
Selective self-test flags (0x0):
After scanning selected spans, do NOT read-scan remainder of disk.
If Selective self-test is pending on power-up, resume after 0 minute delay.

Spoiler: memtest

######################
# Test on thread 1
######################
memtester version 4.3.0 (64-bit)
Copyright (C) 2001-2012 Charles Cazabon.
Licensed under the GNU General Public License version 2 (only).

pagesize is 4096
pagesizemask is 0xfffffffffffff000
want 7828MB (8208252928 bytes)
got 7828MB (8208252928 bytes), trying mlock ...locked.
Loop 1/1:
Stuck Address : ok
Random Value : ok
Compare XOR : ok
Compare SUB : ok
Compare MUL : ok
Compare DIV : ok
Compare OR : ok
Compare AND : ok
Sequential Increment: ok
Solid Bits : ok
Block Sequential : ok
Checkerboard : ok
Bit Spread : ok
Bit Flip : ok
Walking Ones : ok
Walking Zeroes : ok
8-bit Writes : ok
16-bit Writes : ok

Done.


######################
# Test on thread 2
######################
memtester version 4.3.0 (64-bit)
Copyright (C) 2001-2012 Charles Cazabon.
Licensed under the GNU General Public License version 2 (only).

pagesize is 4096
pagesizemask is 0xfffffffffffff000
want 7828MB (8208252928 bytes)
got 7828MB (8208252928 bytes), trying mlock ...locked.
Loop 1/1:
Stuck Address : ok
Random Value : ok
Compare XOR : ok
Compare SUB : ok
Compare MUL : ok
Compare DIV : ok
Compare OR : ok
Compare AND : ok
Sequential Increment: ok
Solid Bits : ok
Block Sequential : ok
Checkerboard : ok
Bit Spread : ok
Bit Flip : ok
Walking Ones : ok
Walking Zeroes : ok
8-bit Writes : ok
16-bit Writes : ok

Done.


######################
# Test on thread 3
######################
memtester version 4.3.0 (64-bit)
Copyright (C) 2001-2012 Charles Cazabon.
Licensed under the GNU General Public License version 2 (only).

pagesize is 4096
pagesizemask is 0xfffffffffffff000
want 7828MB (8208252928 bytes)
got 7828MB (8208252928 bytes), trying mlock ...locked.
Loop 1/1:
Stuck Address : ok
Random Value : ok
Compare XOR : ok
Compare SUB : ok
Compare MUL : ok
Compare DIV : ok
Compare OR : ok
Compare AND : ok
Sequential Increment: ok
Solid Bits : ok
Block Sequential : ok
Checkerboard : ok
Bit Spread : ok
Bit Flip : ok
Walking Ones : ok
Walking Zeroes : ok
8-bit Writes : ok
16-bit Writes : ok

Done.


######################
# Test on thread 4
######################
memtester version 4.3.0 (64-bit)
Copyright (C) 2001-2012 Charles Cazabon.
Licensed under the GNU General Public License version 2 (only).

pagesize is 4096
pagesizemask is 0xfffffffffffff000
want 7828MB (8208252928 bytes)
got 7828MB (8208252928 bytes), trying mlock ...locked.
Loop 1/1:
Stuck Address : ok
Random Value : ok
Compare XOR : ok
Compare SUB : ok
Compare MUL : ok
Compare DIV : ok
Compare OR : ok
Compare AND : ok
Sequential Increment: ok
Solid Bits : ok
Block Sequential : ok
Checkerboard : ok
Bit Spread : ok
Bit Flip : ok
Walking Ones : ok
Walking Zeroes : ok
8-bit Writes : ok
16-bit Writes : ok

Done.


######################
# Test on thread 5
######################
memtester version 4.3.0 (64-bit)
Copyright (C) 2001-2012 Charles Cazabon.
Licensed under the GNU General Public License version 2 (only).

pagesize is 4096
pagesizemask is 0xfffffffffffff000
want 7828MB (8208252928 bytes)
got 7828MB (8208252928 bytes), trying mlock ...locked.
Loop 1/1:
Stuck Address : ok
Random Value : ok
Compare XOR : ok
Compare SUB : ok
Compare MUL : ok
Compare DIV : ok
Compare OR : ok
Compare AND : ok
Sequential Increment: ok
Solid Bits : ok
Block Sequential : ok
Checkerboard : ok
Bit Spread : ok
Bit Flip : ok
Walking Ones : ok
Walking Zeroes : ok
8-bit Writes : ok
16-bit Writes : ok

Done.


######################
# Test on thread 6
######################
memtester version 4.3.0 (64-bit)
Copyright (C) 2001-2012 Charles Cazabon.
Licensed under the GNU General Public License version 2 (only).

pagesize is 4096
pagesizemask is 0xfffffffffffff000
want 7828MB (8208252928 bytes)
got 7828MB (8208252928 bytes), trying mlock ...locked.
Loop 1/1:
Stuck Address : ok
Random Value : ok
Compare XOR : ok
Compare SUB : ok
Compare MUL : ok
Compare DIV : ok
Compare OR : ok
Compare AND : ok
Sequential Increment: ok
Solid Bits : ok
Block Sequential : ok
Checkerboard : ok
Bit Spread : ok
Bit Flip : ok
Walking Ones : ok
Walking Zeroes : ok
8-bit Writes : ok
16-bit Writes : ok

Done.


######################
# Test on thread 7
######################
memtester version 4.3.0 (64-bit)
Copyright (C) 2001-2012 Charles Cazabon.
Licensed under the GNU General Public License version 2 (only).

pagesize is 4096
pagesizemask is 0xfffffffffffff000
want 7828MB (8208252928 bytes)
got 7828MB (8208252928 bytes), trying mlock ...locked.
Loop 1/1:
Stuck Address : ok
Random Value : ok
Compare XOR : ok
Compare SUB : ok
Compare MUL : ok
Compare DIV : ok
Compare OR : ok
Compare AND : ok
Sequential Increment: ok
Solid Bits : ok
Block Sequential : ok
Checkerboard : ok
Bit Spread : ok
Bit Flip : ok
Walking Ones : ok
Walking Zeroes : ok
8-bit Writes : ok
16-bit Writes : ok

Done.


######################
# Test on thread 8
######################
memtester version 4.3.0 (64-bit)
Copyright (C) 2001-2012 Charles Cazabon.
Licensed under the GNU General Public License version 2 (only).

pagesize is 4096
pagesizemask is 0xfffffffffffff000
want 7828MB (8208252928 bytes)
got 7828MB (8208252928 bytes), trying mlock ...locked.
Loop 1/1:
Stuck Address : ok
Random Value : ok
Compare XOR : ok
Compare SUB : ok
Compare MUL : ok
Compare DIV : ok
Compare OR : ok
Compare AND : ok
Sequential Increment: ok
Solid Bits : ok
Block Sequential : ok
Checkerboard : ok
Bit Spread : ok
Bit Flip : ok
Walking Ones : ok
Walking Zeroes : ok
8-bit Writes : ok
16-bit Writes : ok

Done.

 

Dziś już nie ruszymy, jutro mnie nie będzie (dopiero wieczorem).
W międzyczasie żebyście się nie nudzili, możecie skorzystać z promocji -100% na F1 2015 wartej €34 Klucz steam
Wystarczy wejść na https://www.humblebundle.com/store/f1-2015
- Zarejestrować się
- Połączyć konto ze steam
- Zakupić grę za €0 -100%
- Odebrać maila
- Kliknąć w mailu Download Now
- Odebrać klucz steam lub kliknąć przy nim Redeem (tak jest prościej)

 

Serwery ruszą najprędzej w poniedziałek wieczorem, jutro mam zajęty dzień jak dziś, chociaż wracam trochę wcześniej - może coś zrobię. Do poniedziałku 20:00-22:00 powinno być ok.

 

Wybraliśmy nowe rozwiązanie do obsługi sieci wewnętrznej. AMP, inaczej McMyAdmin3.
Daemony "Scales" zarządzające serwerami zostaną usunięte. Nowe rozwiązanie jest bardziej kompleksowe i proste w obsłudze i aktualizacjach, w przeciwieństwie do PufferPanelu, do którego chyba raczej już nie wrócimy.

Rozważamy wdrożenie wirtualizacji dla poszczególnych trybów.

 

Trwa instalacja systemu debian 9 dla maszyny node3, wraz z jądrem obsługującym wirtualizację. Przeprowadzimy testy i zobaczymy jak to będzie działać, wirtualizacja daje możliwość wydzielenia ścisłej przestrzeni na maszynie dla poszczególnej instancji Minecraft. Dzięki takiemu rozwiązaniu, możemy ograniczyć wpływ np. starego creative na resztę serwerów, ograniczając mu znacznie użycie procesora, pamięci czy I/O, gdyż nikt tam nie gra.

 

Moglibyśmy już dużo zrobić, niestety musimy czekać na odpowiedź dotyczącą zapytania licencyjnego. Stoimy.

 

Przykro mi ale straciliśmy czas na testowanie rozwiązań, które nie zostały opisane wyczerpująco na stronie producenta, a jedynie poprzez zapewnienia na supporcie. CA nie ruszy dziś. AMP okazał się być wtopą, nie widziałem dziwniejszego rozwiązania do serwerów gier.
Nie polecam firmy cubecoders.com

 

Użyjemy starego schematu z nowym panelem pterodactyl, przeróbką pufferpanela, ale działa i ma wirtualizację. Musimy dokupić małego vps pod sam panel.

 

Wszystko po stronie sieci już działa, rozpakowaliśmy backupy, ale nie utworzyliśmy jeszcze serwerów. Musimy na coś zaczekać, zaczniemy od lobby dla testu.

Niestety po przywróceniu działania będziecie musieli jeszcze trochę poczekać, ponieważ będziemy sprawdzać gdzie są potencjalne luki, i naprawiać je ewentualnie. Zaostrzymy też dostęp do uprawnień dla administracji.

 

Skończyliśmy wszelkie aktualizacje, zmieniliśmy hasła do baz i wprowadzimy za chwilę restrykcje połączenia, jedynie nasza wewnętrzna sieć uzyska dostęp do baz. Zablokowaliśmy Chiny, Włochy i kilka innych nieznaczących Państw.
Gracze z polski (czyli większość), jeśli korzystacie z jakiegoś proxy lub vpn, serwer może (ale nie musi) odrzucić połączenie. W takim wypadku - support. Restrykcja nie obejmuje już zarejestrowanych graczy.

Następnie musimy zablokować pewne komendy, i wprowadzić dodatkowe restrykcje na ich używanie przez administracje, jeszcze nie mam określonego pomysłu. Kopie zapasowe również nie działają, musimy przywrócić ich tworzenie, nie ma też auto restartów i zaplanowanych zadań, to też jest w kolejce do zrobienia.

 

Aktualizacja AuthMe (logowanie) zmieniła metodę przechowywania haseł na SHA256, nie wiem co się stało z poprzednią, ale sklep nowo zalogowanych na serwerze już nie przyjmie. Musimy to też sprawdzić.

 

Niestety używana przez nas metoda MD5 nie jest już dostępna, zapewne przez to, że nie była bezpieczna, a pozyskane hashe dało się odszyfrować.

Każdy gracz, który zaloguje się po aktualizacji otrzyma nowy hash hasła SHA256, na mnie to zadziałało. Sklep współpracuje jedynie z MD5, musimy czekać na programistę, który zaktualizuje logowanie w sklepie. Przykro mi ale szansa na uruchomienie dziś spadła.

Istnieje także szansa, że gracze, którzy zalogują się po aktualizacji będą mieć problemy z hasłem (gdyby coś nie działało), oczywiście w moim przypadku nic się nie wydarzyło, zalogowałem się a hash się zaktualizował do nowego.

ZALECAM dodanie adresu e-mail do konta na serwerze, należy to zrobić TERAZ logując się do sklepu, pod adresem:
https://craftapple.pl/sklep/modules/cms/authorization.php
Logowanie odbywa się nickiem i hasłem, którym logujecie się na lobby. Następnie należy przejść do zakładki "Mój Profil", i dodać adres e-mail.

 

Nie będziemy czekać na aktualizację sklepu, przywrócę poprzednią wersję AuthMe na ten czas. Już zaczynam, niedługo wpuszczę graczy!

 

Robię ostatnie rzeczy, wirtualizacja serwerów spowodowała, że są zamknięte w kontenerze, który ma określony adres IP i port, sklep nie może przekazywać zakupów. Zmieniam hasła, i dodaje dodatkowe porty do dozwolonych. Jeszcze chwila.

 

Za chwilę zniosę whiteliste, nie działa tylko skywars, kontener nie chce bootować.

 

Na razie można grać, pewnie będą jeszcze przerwy.

 

Zatrzymałem wszystkie serwery, zerkając na konsolę zauważyłem podejrzaną aktywność. Muszę sprawdzić co się dzieje.

 

Fałszywy alarm, po prostu ktoś kliknął na AppleCoina (słonecznik), konsola wykonała polecenie /eco give a mi w głowie włączył się alarm.