Dodanie certyfikatu
/usr/local/share/ca-certificates/Usunięcie
Logujemy się do ESXi przez ssh.
Wyświetlamy listę wirtualnych maszyn aby uzyskać Vmid interesującej nas maszyny.
# vim-cmd vmsvc/getallvms
Vmid Name File Guest OS Version Annotation
1 vm2 [datastore1] vm1/vm1.vmx windows7 vmx-02
3 vm3 [iscsi1] testvm/vm2.vmx Linux vmx-04Sprawdzanie snapshotów dla maszyny o wybranym Vmid
# vim-cmd vmsvc/snapshot.get [Vmid]
Get Snapshot:
|-ROOT
--Snapshot Name : Snapshot1
--Snapshot Desciption :
--Snapshot Created On : 04/27/2022 10:22:01
--Snapshot State : powered onUsunięcie wszystkich snapshotów dla maszyny o wybranym Vmid
# vim-cmd vmsvc/snapshot.removeall [Vmid]Wyłączenie mechanizmu akceleracji na jednej polityce np. w celach testowych aby sniffer widział wszystkie przepływające pakiety.
$ config firewall policy
edit 1
set np-acceleration disable
set auto-asic-offload disable
endOperacja czyszczenia file systemu, odzyskuje fizyczną pamięć zajmowaną przez usunięte obiekty w systemie plików Data Domain. Gdy oprogramowanie aplikacji wygaśnie, obrazy kopii zapasowych lub archiwalnych i gdy obrazy nie są obecne w migawce, obrazy nie są dostępne lub nie można ich odzyskać z aplikacji lub migawki, dane nadal zajmują fizyczną pamięć masową. Data Domain okresowo sam czyści file system, ale możemy wykonać ręczne czyszczenie z poziomu CLI.
Połacz się z Data Domain przez ssh
$ filesys show space #sprawdza wolne miejsce
$ filesys clean start #uruchomienie czyszczenia
$ filesys clean watch #podgląd procesuNiektóre strony internetowe nadal pracują w starszej wersji ssl/tls. Jeżeli nasza polityka firewall pracuje w trybie proxy, to takie połączenie może nie zostać zrealizowane prawidłowo.
Możemy obniżyć minimalną wersję ssl/tls na profilu ssl-ssh, który wykorzystujemy w naszej polityce firewall.
$ config firewall ssl-ssh-profile
$ edit <nazwa_profilu_ssl-ssh>
$ config https
$ set min-allowed-ssl-version tls-1.0
$ end Przeglądanie i usuwanie sesji z poziomu cli
$ diagnose sys session filter ?
vd Index of virtual domain. -1 matches all.
vd-name Name of virtual domain. -1 or "any" matches all.
sintf Source interface.
dintf Destination interface.
src Source IP address.
nsrc NAT'd source ip address
dst Destination IP address.
proto Protocol number.
sport Source port.
nport NAT'd source port
dport Destination port.
policy Policy ID.
expire expire
duration duration
proto-state Protocol state.
session-state1 Session state1.
session-state2 Session state2.
ext-src Add a source address to the extended match list.
ext-dst Add a destination address to the extended match list.
ext-src-negate Add a source address to the negated extended match list.
ext-dst-negate Add a destination address to the negated extended match list.
clear Clear session filter.
negate Inverse filter.Ustawiamy filtry, i możemy podglądnąć i skasować sesje. Jeżeli żadne filtry nie będą ustawione, zostaną skasowane wszystkie sesje (wszystkie).
# ustawiamy filtr sesji np:
$ diagnose sys session filter src 192.168.1.1 192.168.1.255
# podgląd ustawionych filtrów
$ diagnose sys session filter
session filter:
...
source ip: 192.168.1.1-192.168.1.255
...
# podgląd sesji
$ diagnose sys session list
...
# usuwanie wyfiltrowanych sesji
$ diagnose sys session clear
# usuwanie ustawionych filtrów
$ diagnose sys session filter clearPrzełączenie się na innego Fortigate, który jest dołączony do HA z poziomu CLI
$ execute ha manage ?
<1> Subsidiary unit FGX00FTXXXXXX
<2> Subsidiary unit FGX00FTYYYYYY
$ execute ha manage 1 adminSprawdzany jak śledzić, która polityka zapory będzie pasować na podstawie adresu IP, portów i protokołu oraz najlepszej trasy do użycia poleceń CLI
$ diag firewall iprope lookup <src_ip> <src_port> <dst_ip> <dst_port> <protocol> <Source interface>
diag firewall iprope lookup X.X.X.X 12345 Y.Y.Y.Y 53 tcp port2
<src [X.X.X.X-12345] dst [Y.Y.Y.Y-53] proto tcp dev port2> matches policy id: 2W zależności od ustawień w panelu administracyjnym „Strona główna -> Konfiguruj -> Klasa usługi -> default -> Zaawansowane ->Polityka błędnego logowania, Zimbra może zablokować konto, jeżeli kilkakrotnie zostało źle podane hasło. Musimy ręcznie odblokować takie konto, ustalając wcześniej przyczynę blokady.
Sprawdzamy status konta:
$ su zimbra
$ zmprov ga admin@nazwadomeny.pl zimbraAccountStatusGdy status jest ustawiony na Locked lub Lockout to sprawdzamy przyczynę blokady.
Szukanie blokady z powodu zbyt dużej ilości błędnych logowań
$ grep -E "account=admin@.* error=account lockout due to too many failed logins" /opt/zimbra/log/audit.logPrzyczynę zablokowania możemy szukać w szerokim kontekście grep -C 10 przeszukując też inne logi, próbując ustalić co się wydarzyło.
$ grep -C 10 -E "authentication failed.+admin@" /opt/zimbra/log/mailbox.log /opt/zimbra/log/audit.log /var/log/zimbra.logOdblokowanie konta
$ su zimbra
$ zmprov ma admin@nazwadomeny.pl zimbraAccountStatus activeDo testowania regex możemy użyć strony regexr .com
Kotwice
^Przykładowy tekst - Tekst rozpoczynający się "Przykładowy tekst"
Przykładowy tekst$ - Tekst kończący się "Przykładowy tekst"Kwantyfikatory
Tekst* - Dopasowuje dowolny ciąg zawierający "Teks" z następstwem 0 lub więcej znaku "t"
Tekst+ - Dopasowuje dowolny ciąg zawierający "Teks" z następstwem 1 lub więcej znaku "t"
Tekst? - Dopasowuje dowolny ciąg zawierający "Teks" z następstwem 0 lub 1 znaku "t"
Tekst{5} - Dopasowuje dowolny ciąg zawierający "Teks" z następstwem 5 znakami "t"
Tekst{5,} - Dopasowuje dowolny ciąg zawierający "Teks" z następstwem przynajmniej 5 znakami "t"
Tekst{5,8} - Dopasowuje dowolny ciąg zawierający "Teks" z 5 do 8 znakami "t"
Te(kst)* - Dopasowuje dowolny ciąg zawierający "Te" z następstwem wystąpienia "kst" 0 lub więcej razyKlasy znaków
\d - Dopasowuje znak, który jest cyfrą
\w - Dopasowuje znak alfanumeryczny lub '_'
\s - Dopasowuje znak biały
\D, \W, \S - Jak powyżej ale z zaprzeczeniem (nie zawierający cyfr, ...)
. - Dopasowuje znakFlagi
/tekst/g (global)- Przeszukuje cały ciąg nie kończąc na pierwszym dopasowaniu
/tekst/m (multiline)- Na każdej linii osobno możemy stosować kotwice ^ $
/tekst/i (insensitive) - Wielkość liter nie ma znaczenia Nawiasy kwadratowe (zakresy)
[abc] - Dopasowuje znak, który jest "a", "b" lub "c"
[a-c] - Dopasowuje znak, który jest z przedziału "a" do "c"
[a-z] - Dopasowuje znak, który jest małą literą
[a-zA-Z] - Dopasowuje znak, który jest małą lub wielką literą
[0-9] - Dopasowuje znak, który jest cyfrąLub
kot|pies - Dopasuje "kot" lub "pies"
tekst(a|b) - Dopasuje "teksta" lub "tekstb"