Aaron Ji's blog (Posts about ops)

Install Clash as Gateway on AlmaLinux

Aaron Ji — Mon, 02 May 2022 14:20:00 GMT

这两天本来想升级下 OpenWRT 系统，没想到升级到新版本后有一些问题（后来发现应该是 AdGuardHome 的问题），而且在调教 Clash 配置的时候发现 OpenWRT 非常不友好的不能按照我所想的修改配置文件，即界面修改不能生效，于是决定使用类 RHEL 系统（本文使用 AlmaLinux 配置一下）。

1. Clash 配置

1.1. 首先从 Clash 首页下载执行文件并放至执行文件目录

1.2. 配置启动 `service` 文件

vi /etc/systemd/system/clash.service

文件内容如下所示：

[Unit]
Description=Clash daemon, A rule-based proxy in Go.
After=network.target

[Service]
Type=simple
Restart=always
StartLimitInterval=5
StartLimitBurst=10
ExecStart=/usr/local/bin/clash -d /etc/clash

StandardOutput=file:/var/log/clash/clash.out
StandardError=file:/var/log/clash/clash.err

[Install]
WantedBy=multi-user.target

1.3. 将 Clash 的配置文件放至 `/etc/clash` 目录下

1.4. 配置防火墙

sudo firewall-cmd --permanent --direct --add-chain ipv4 nat clash
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat clash 1 -d 0.0.0.0/8 -j RETURN
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat clash 1 -d 10.0.0.0/8 -j RETURN
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat clash 1 -d 127.0.0.0/8 -j RETURN
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat clash 1 -d 169.254.0.0/16 -j RETURN
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat clash 1 -d 172.16.0.0/12 -j RETURN
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat clash 1 -d 192.168.0.0/16 -j RETURN
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat clash 1 -d 224.0.0.0/4 -j RETURN
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat clash 1 -d 240.0.0.0/4 -j RETURN
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat clash 2 -p tcp -j REDIRECT --to-ports "7892"
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat PREROUTING 0 -p tcp -j clash

# 使用 Clash DNS 切非 53 端口时需要，本文使用 AdGuard Home 作为 DNS 服务，故不需要进行如下配置
sudo firewall-cmd --permanent --direct --add-chain ipv4 nat CLASH_DNS
sudo firewall-cmd --permanent --direct --remove-rules ipv4 nat CLASH_DNS
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat CLASH_DNS 1 -p udp -j REDIRECT --to-port 1053
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat OUTPUT 0 -p udp --dport 53 -j CLASH_DNS
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat CLASH_DNS 1 -p tcp -j REDIRECT --to-port 1053
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat OUTPUT 0 -p tcp --dport 53 -j CLASH_DNS

 sudo firewall-cmd --reload

处理后的 firewall 配置文件（/etc/firewalld/direct.xml）如下所示：

<?xml version="1.0" encoding="utf-8"?>
<direct>
  <chain ipv="ipv4" table="nat" chain="clash"/>
  <chain ipv="ipv4" table="nat" chain="CLASH_DNS"/>
  <rule ipv="ipv4" table="nat" chain="clash" priority="1">-d 0.0.0.0/8 -j RETURN</rule>
  <rule ipv="ipv4" table="nat" chain="clash" priority="1">-d 10.0.0.0/8 -j RETURN</rule>
  <rule ipv="ipv4" table="nat" chain="clash" priority="1">-d 127.0.0.0/8 -j RETURN</rule>
  <rule ipv="ipv4" table="nat" chain="clash" priority="1">-d 169.254.0.0/16 -j RETURN</rule>
  <rule ipv="ipv4" table="nat" chain="clash" priority="1">-d 172.16.0.0/12 -j RETURN</rule>
  <rule ipv="ipv4" table="nat" chain="clash" priority="1">-d 192.168.0.0/16 -j RETURN</rule>
  <rule ipv="ipv4" table="nat" chain="clash" priority="1">-d 224.0.0.0/4 -j RETURN</rule>
  <rule ipv="ipv4" table="nat" chain="clash" priority="1">-d 240.0.0.0/4 -j RETURN</rule>
  <rule ipv="ipv4" table="nat" chain="clash" priority="2">-p tcp -j REDIRECT --to-ports 7892</rule>
  <rule ipv="ipv4" table="nat" chain="PREROUTING" priority="0">-p tcp -j clash</rule>
  <rule ipv="ipv4" table="nat" chain="CLASH_DNS" priority="1">-p udp -j REDIRECT --to-port 1053</rule>
  <rule ipv="ipv4" table="nat" chain="CLASH_DNS" priority="1">-p tcp -j REDIRECT --to-port 1053</rule>
  <rule ipv="ipv4" table="nat" chain="OUTPUT" priority="0">-p udp --dport 53 -j CLASH_DNS</rule>
  <rule ipv="ipv4" table="nat" chain="OUTPUT" priority="0">-p tcp --dport 53 -j CLASH_DNS</rule>
</direct>

2. AdGuard Home 配置

附 AdGuard Home service 文件 /etc/systemd/system/AdGuardHome.service ：

[Unit]
Description=AdGuard Home: Network-level blocker
ConditionFileIsExecutable=/opt/AdGuardHome/AdGuardHome

After=syslog.target network-online.target

[Service]
StartLimitInterval=5
StartLimitBurst=10
ExecStartPre=/bin/mkdir -p /var/log/
# ExecStart=/opt/AdGuardHome/AdGuardHome "-s" "run"
ExecStart=/opt/AdGuardHome/AdGuardHome  -c /etc/AdGuardHome/AdGuardHome.yaml

WorkingDirectory=/opt/AdGuardHome


StandardOutput=file:/var/log/AdGuardHome/AdGuardHome.out
StandardError=file:/var/log/AdGuardHome/AdGuardHome.err

Restart=always

RestartSec=10
EnvironmentFile=-/etc/sysconfig/AdGuardHome

[Install]
WantedBy=multi-user.target

防火墙配置：

sudo firewall-cmd --zone=public --add-port=53/udp --permanent
sudo firewall-cmd --zone=public --add-port=53/tcp --permanent

3. v2ray 配置

附 v2ray service 配置文件（/etc/systemd/system/v2ray.service）内容：

[Unit]
Description=V2Ray Service
Documentation=https://www.v2fly.org/
After=network.target nss-lookup.target
StartLimitIntervalSec=500
StartLimitBurst=5

[Service]
User=nobody
CapabilityBoundingSet=CAP_NET_ADMIN CAP_NET_BIND_SERVICE
AmbientCapabilities=CAP_NET_ADMIN CAP_NET_BIND_SERVICE
NoNewPrivileges=true
ExecStart=/opt/v2ray/v2ray -config /etc/v2ray/config.json
Restart=on-failure
RestartSec=5s
RestartPreventExitStatus=23

[Install]
WantedBy=multi-user.target

本文中的 DNS 结构如下所示：

客户端 -> AdGuard Home -> Clash -> Other DNS

即 AdGuard Home 中的 DNS Upstream 只配置了 Clash 的地址。

部分内容参考自网络。

Install Nextcloud and apps

Aaron Ji — Fri, 08 Apr 2022 04:10:00 GMT

docker-compose

version: '2'

services:
  db:
    image: mariadb
    restart: always
    ports:
      - 3300:3306
    command: --innodb-read-only-compressed=OFF --transaction-isolation=READ-COMMITTED --binlog-format=ROW
    volumes:
      - ./db:/var/lib/mysql
    environment:
      - MYSQL_ROOT_PASSWORD=password
      - MYSQL_PASSWORD=password
      - MYSQL_DATABASE=nextcloud
      - MYSQL_USER=nextcloud

  app:
    image: nextcloud:fpm
    restart: always
    links:
      - db
    volumes:
      - ./app:/var/www/html
      - ./fonts:/usr/share/fonts
    environment:
      - MYSQL_PASSWORD=password
      - MYSQL_DATABASE=nextcloud
      - MYSQL_USER=nextcloud
      - MYSQL_HOST=db

  web:
    image: nginx
    restart: always
    ports:
      - 8081:80

Apps

Markdown Editor

Plain text editor

Draw.io

Nextcloud Office

Collabora Online - Built-in CODE Server

ONLYOFFICE

Deploy Jenkins With docker-compose

Aaron Ji — Mon, 28 Mar 2022 05:27:00 GMT

The docker-compose yaml file as follows:

---
version: '3'

services:
  jenkins:
    image: jenkins/jenkins:lts-jdk11
    privileged: true
    user: root
    restart: always
    ports:
      - 50000:50000
      - 8088:8080 # local port is 8088, container port is 8080
    volumes:
      - /data/work/jenkins/jenkins_home:/var/jenkins_home
    container_name: jenkins
    networks:
      jenkins:
        ipv4_address: 172.16.128.2
    environment:
      - TZ=Asia/Shanghai

  centos6:
     image: centos6-i386:20220321
     container_name: centos6-i386
     restart: always
     expose:
      - "22"
     networks:
       jenkins:
          ipv4_address: 172.16.128.6
     command: /bin/bash -c '/usr/sbin/sshd -D && /bin/bash'
     volumes:
       - /data/work/jenkins/centos6-i386/home/centos:/home/centos

  centos7:
    image: centos7:20220321
    container_name: centos7
    restart: always
    expose:
      - "22"
    networks:
      jenkins:
        ipv4_address: 172.16.128.7
    command: /bin/bash -c '/usr/sbin/sshd -D && /bin/bash'
    volumes:
      - /data/work/jenkins/centos7/home/centos:/home/centos

networks:
  jenkins:
    driver: bridge
    ipam:
      driver: default
      config:
        - subnet: 172.16.128.0/24
          gateway: 172.16.128.1

Since the slave nodes, centos6 and centos7 container's image is migrated from another host, and some issues occurred during the migration, the solution logged at Docker Note .

批量删除 jumpserver 节点

Aaron Ji — Mon, 28 Mar 2022 03:42:00 GMT

由于 jumpserver 中删除节点只能一部分一部分的删除，无法进行大量批量删除，分析后发现 jumpserver 中节点相关信息主要存储在以下数据表中：

assets_authbook

assets_asset_nodes

assets_historicalauthbook

ops_adhoc_hosts

ops_commandexecution_hosts

perms_assetpermission_assets

assets_asset

因此，若想批量删除节点，则需要删除这些节点中的对应节点的数据。

首先，使用 SQL 命令拼组删除命令（除 assets_asset 表）：

SELECT
        CONCAT(
                'delete from assets_asset_nodes where asset_id =\'',
                `id`,
                '\';'
        ),
        CONCAT(
                'delete from ops_commandexecution_hosts where asset_id =\'',
                `id`,
                '\';'
        ),
        CONCAT(
                'delete from assets_authbook where asset_id =\'',
                `id`,
                '\';'
        ),
        CONCAT(
                'delete from assets_asset_nodes where asset_id =\'',
                `id`,
                '\';'
        ),
        CONCAT(
                'delete from assets_historicalauthbook where asset_id =\'',
                `id`,
                '\';'
        ),
        CONCAT(
                'delete from ops_adhoc_hosts where asset_id =\'',
                `id`,
                '\';'
        ),
        CONCAT(
                'delete from perms_assetpermission_assets where asset_id =\'',
                `id`,
                '\';'
        )
FROM
        assets_asset
WHERE
        ip like '%192.168.199%'

然后执行得到的 SQL 语句。

最后再删除 assets_asset 表中的数据。

DELETE FROM
        assets_asset
WHERE
        ip LIKE '%192.168.199%'

最后发现 WEB 终端更新的服务器数量还是原来的数量，点刷新没有作用，此时需要修改 assets_node 表中的参数使数值变化。

此外，还可以使用 JumpServer 服务 API 执行删除节点操作，详见JumpServer API。

参考：

https://blog.csdn.net/madman163/article/details/115579814

安装 jumpserver

Aaron Ji — Mon, 31 May 2021 09:01:00 GMT

为了便于后续升级与迁移，使用外部 redis 及 MySQL 。另外，根据官方安装文档说明，要求 Redis 版本要求 6.0 以上， MySQL 版本要求 5.7 以上。本文中使用 MariaDB 10.5 。

安装 MariaDB 教程见：link

特别注意 Mariadb 修改用户密码使用如下方式：

ALTER USER 'root'@'localhost' IDENTIFIED BY 'pass';

Redis 安装教程见：link

其余操作步骤参见：link

注意使用 nginx 转发 websocket 请求的时候会有问题，报 307 错误（解决方法见下）；
注意使用 terminal 登录需要使用 websocket ，需要特别注意中间代理都需要如下设置。

proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";

迁移后 `koko` 模块报错 `register access key failed` 或 `注册终端失败退出`

主要是因为 jumperserver 其他组件需要通过终端注册注册对应组件用户，默认应该是关闭的，迁移后由于新部署的组件需要重新注册，故而需要重新开启 终端注册 开关（安全设置 -> 终端注册）。

2022-03-22 使用 docker 部署

docker 部署方案可参考官方文档。