[root@s052d728f /]# mysql_upgrade
Checking if update is needed.
Checking server version.
Running queries to upgrade MySQL server.
Checking system database.
mysql.columns_priv OK
mysql.db OK
mysql.engine_cost OK
mysql.event OK
mysql.func OK
mysql.general_log OK
mysql.gtid_executed OK
mysql.help_category OK
mysql.help_keyword OK
mysql.help_relation OK
mysql.help_topic OK
mysql.innodb_index_stats OK
mysql.innodb_table_stats OK
mysql.ndb_binlog_index OK
mysql.plugin OK
mysql.proc OK
mysql.procs_priv OK
mysql.proxies_priv OK
mysql.server_cost OK
mysql.servers OK
mysql.slave_master_info OK
mysql.slave_relay_log_info OK
mysql.slave_worker_info OK
mysql.slow_log OK
mysql.tables_priv OK
mysql.time_zone OK
mysql.time_zone_leap_second OK
mysql.time_zone_name OK
mysql.time_zone_transition OK
mysql.time_zone_transition_type OK
mysql.user OK
Found outdated sys schema version 1.5.1.
Upgrading the sys schema.
mysql_upgrade: [ERROR] 1436: Thread stack overrun: 10848 bytes used of a 131072 byte stack, and 128000 bytes needed. Use 'mysqld --thread_stack=#' to specify a bigger stack.
Может вообще не трогать данный параметр?
SSL-сертификаты в Bitrix-env 7.2.2, Вопрос по корректности конфигурации, багрепорт
1. После подключения имеем отсутствие установленного ethtool
Код
Bitrix virtual appliance version 7.2.2
Pool Configuration manager on this host
Not found configured server's pool! May be You want to add new.
Server network interfaces:
------------------------------------------------------------------------------------
Int | Link | Speed | MAC | IPAddress
------------------------------------------------------------------------------------
/opt/webdir/bin/bitrix_utils.sh: line 644: ethtool: command not found
------------------------------------------------------------------------------------
Available actions:
0. Exit
Enter selection: 0
2. А теперь главная проблема, а именно в настройке собственного SSL-сертификата через Bitrix-меню (Configure own certificate). Процесс выглядит следующим образом:
Создаем директорию /etc/nginx/certs/ и размещаем в ней необходимый сертификат сайта, цепочку сертификатов удостоверяющего центра и приватный ключ, пример:
Bitrix virtual appliance version 7.2.2
Certificates configuration
Found 1 sites:
------------------------------------------------------------------------------------
SiteName | dbName | Type | S | Certificate | Key
------------------------------------------------------------------------------------
default | sitemanager | kernel | N | ssl/cert.pem | ssl/cert.pem
------------------------------------------------------------------------------------
Note:
S - Only HTTPS access to the server (N = turned off, Y = turned on)
Available actions:
1. Configure Let's encrypt certificate
2. Configure own certificate
3. Return default certificate
0. Previous screen or exit
Enter selection: 2
You can enter multiple comma-separated values. Example: default, test
Enter site name (default):
Requirements for Importing Certificates:
* The certificate, private key, and certificate chain must all be PEM-encoded.
* The private key must be unencrypted.
* The certificate, private key are mandatory.
* You need to use full path for the certificate, private key, and certificate chain
or you can upload files to /etc/nginx/certs and use relative paths.
Path to Private Key: privkey.pem
Path to Certificate: cert.pem
Path to Certificate Chain: chain.pem
Please confirm installation of certificate for site=default (Y|n): Y
Start task:
JobID : site_certificate_7035010341
PID : 16193
Status : running
It will run 'Configuration Certificate for site=default' in the pool.
Press ENTER to exit:
Итоговый конфиг выглядит следующим образом:
Код
[root@s052d7fbf ~]# cat /etc/nginx/bx/site_avaliable/ssl.s1.conf
# Default SSL certificate enabled website
server {
listen 443 default_server http2;
server_name _;
# Enable SSL connection
server_name_in_redirect off;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Host $host:443;
# CERTIFICATE ANSIBLE MANAGED BLOCK
include bx/conf/ssl_options.conf;
ssl_certificate /etc/nginx/certs/default/cert.pem;
ssl_certificate_key /etc/nginx/certs/default/privkey.pem;
ssl_trusted_certificate /etc/nginx/certs/default/chain.pem;
# CERTIFICATE ANSIBLE MANAGED BLOCK
proxy_set_header HTTPS YES;
set $proxyserver "http://127.0.0.1:8888";
set $docroot "/home/bitrix/www";
index index.php;
root /home/bitrix/www;
# Include parameters common to all websites
include bx/conf/bitrix.conf;
# Include server monitoring API's
include bx/server_monitor.conf;
}
[root@s052d7fbf ~]#
И файл /etc/nginx/certs/default/cert.pem, к сожалению, не содержит цепочки сертификатов:
curl https://s052d7fbf.fastvps-server.com/
curl: (60) server certificate verification failed. CAfile: /etc/ssl/certs/ca-certificates.crt CRLfile: none
More details here: http://curl.haxx.se/docs/sslcerts.html
curl performs SSL certificate verification by default, using a "bundle"
of Certificate Authority (CA) public keys (CA certs). If the default
bundle file isn't adequate, you can specify an alternate file
using the --cacert option.
If this HTTPS server uses a certificate signed by a CA represented in
the bundle, the certificate verification probably failed due to a
problem with the certificate (it might be expired, or the name might
not match the domain name in the URL).
If you'd like to turn off curl's verification of the certificate, use
the -k (or --insecure) option.
Вижу тут два пути решения проблемы:
1. (Рекомендуемый) Автоматически в итоговый сертификат записывать сначала сертификат, а потом chain
2. (Не рекомендуемый) Писать в блоке Requirements for Importing Certificates что файл сертификата должен быть сразу итоговым, т.е. содержать и сертификат и цепочку сертификатов CA
Текущая реализация вводит в заблуждение и работает не так, как ожидается.
Спасибо за внимание!
opcache blacklist, Необходимо ли в opcache хранить managed_cache и cache?
При большом количестве файлов в managed_cache и cache начинает происходить вымывание кэша основного ядра Bitrix, фрагментация и потеря памяти, что вероятнее всего не очень положительно сказывается на производительности
Спасибо за внимание.
С уважением, Ковальков Дмитрий Технический отдел fastvps.ru
Маленький баг-репорт про установку и большой запрос про SSL
Т.е. в файл /etc/nginx/ssl/cert.pem и запишите Ваш сертификат (в формате сертификат, цепочка сертификатов, приватный ключ). Однако обращаю Ваше внимание, что без корректного приватного ключа использование сертификата не возможно.
Также для изучения воспользуйтесь инструкцией
Маленький баг-репорт про установку и большой запрос про SSL
Сначала маленький баг-репорт, введя даже "n" на вопрос установки пароля, мы все равно вынуждены его установить. Пустой пароль также не воспринимается, поэтому приходится в итоге что-то вводить.
Код
[root@testdedic0 ~]# wget http://repos.1c-bitrix.ru/yum/bitrix-env.sh
--2017-02-13 23:31:08-- http://repos.1c-bitrix.ru/yum/bitrix-env.sh
Resolving repos.1c-bitrix.ru (repos.1c-bitrix.ru)... 54.230.11.199, 54.230.11.166, 54.230.11.164, ...
Connecting to repos.1c-bitrix.ru (repos.1c-bitrix.ru)|54.230.11.199|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 15843 (15K) [application/x-sh]
Saving to: ‘bitrix-env.sh’
100%[===================================================================================================================================>] 15 843 --.-K/s in 0s
2017-02-13 23:31:08 (875 MB/s) - ‘bitrix-env.sh’ saved [15843/15843]
[root@testdedic0 ~]# chmod +x bitrix-env.sh
[root@testdedic0 ~]# ./bitrix-env.sh
====================================================================
Bitrix Environment for Linux installation script.
Yes will be assumed to answers, and will be defaulted.
'n' or 'no' will result in a No answer, anything else will be a yes.
This script MUST be run as root or it will fail
====================================================================
Upd ate system. Please wait.
EPEL repository is already configured on the server.
Getting configuration REMI repository. Please wait.
Configuration REMI repository is completed.
# MariaDB 5.5 CentOS repository list - created 2016-07-14 08:15 UTC
# http://downloads.mariadb.org/mariadb/repositories/
[mariadb]
name = MariaDB
baseurl = http://yum.mariadb.org/5.5/centos7-amd64
gpgkey=https://yum.mariadb.org/RPM-GPG-KEY-MariaDB
gpgcheck=1
Configuration MariaDB repository is completed.
Getting configuration Bitrix repository. Please wait.
Configuration Bitrix repository is completed.
Upd ate system. Please wait.
Install php packages. Please wait.
Install bitrix-env package. Please wait.
Do you want to set a password for root user in MySQL service?(Y|n): n
Do you want to set a password for root user in MySQL service?(Y|n): n
Enter root password:
Re-enter root password: Enter root password:
Re-enter root password: Bitrix Environment installation is completed.
Ну а теперь о главной боли, как именно производится передача заголовков о том, что сайт работает на SSL.
А именно, на сервере по умолчанию стоит стандартный модуль remoteip который мало, что умеет.
И видимо по данной причине рождаются костыли вида:
Код
[root@testdedic0 ~]# cat /etc/nginx/bx/site_enabled/ssl.s1.conf
# Default SSL certificate enabled website
server {
listen 443 default_server http2;
server_name _;
# Enable SSL connection
include bx/conf/ssl.conf;
server_name_in_redirect off;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Host $host:443;
proxy_set_header HTTPS YES;
se t $proxyserver "http://127.0.0.1:8888";
se t $docroot "/home/bitrix/www";
index index.php;
root /home/bitrix/www;
# Include parameters common to all websites
include bx/conf/bitrix.conf;
# Include server monitoring API's
include bx/server_monitor.conf;
}
Что выглядит очень дико, более того, выглядит дико даже для самой CMS, а также приводит в уныние наших клиентов и нас в особенности, так как с этим приходится как-то жить и работать.
Ссылка на изображение
А теперь посмотрим на здоровые заголовки
Ссылка на изображение
Как к ним прийти?!
Воспользуемся замечательнейшим модулем который протестирован в бою и успешно нами эксплуатируется в продакшене на нескольких тысячах серверах, т.е. модуль стабилен чуть более, чем полностью.
1. Настройка веб-сервера Apache2
Рассмотрим сборку данного модуля, которая выполняется всего в пару команд:
[root@testdedic0 ~]# cat /etc/httpd/bx/custom/rpaf.conf
LoadModule rpaf_module modules/mod_rpaf.so
RPAF_Enable On
RPAF_ProxyIPs 127.0.0.1 78.46.76.2
RPAF_SetHostName On
RPAF_SetHTTPS On
RPAF_SetPort On
RPAF_ForbidIfNotProxy Off
И не забываем выключить remoteip в файле /etc/httpd/conf.modules.d/00-base.conf и удалить файл /etc/httpd/bx/conf/mod_rpaf.conf
Уважаемые разработчики! Пожалуйста, рассмотрите, протестируйте и внедрите данное решение в upstream. Битрикс-Окружение в любом случае имеет свой репозиторий и собранные кастомные пакеты, например тот же Nginx, и добавить еще 50Кб модуля rpaf не должно составить труда, но при этом Вы сделаете множество пользователей Вашего окружения чуточку счастливее.
Всем добра, спасибо за внимание.
С уважением и надеждой, что данное будет услышано, Ковальков Дмитрий Технический отдел fastvps.ru
