ปกติเวลาเราเขียน Apps หรือ พวกฟรี Webboard ทั้งหลายจะมีการ Check IP จาก

$_SERVER['REMOTE_ADDR'] และ $_SERVER['HTTP_X_FORWARDED_FOR']  หากเจอตัวแปล HTTP_X_FORWARDED_FOR   ระบบจะทำการ Record  IP จาก  HTTP_X_FORWARDED_FOR ด้วย   แต่หากว่าบางโปรแกรมที่เขียน จะเก็บแค่   REMOTE_ADDR  ทำให้ IP ที่แสดงในโปรแกรมของเรา  เป็น IP ของ Reverse Proxy แทน

Client IP:  203.146.1.1
Proxy IP: 192.168.1.100
Web IP: 192.168.1.1

[Client] ===> [Revert Proxy] ===> [Web Server]

เมื่อ Web Server  ได้รับ Request   Header จะได้ดั่งนี้

$_SERVER['REMOTE_ADDR'] = 192.168.1.100
$_SERVER['HTTP_X_FORWARDED_FOR']  = 203.146.1.1

ทางแก้ง่ายนิดเดียวครับ  แก้ที่ System ไม่ต้องไปขอร้องให้ Programmer แก้ไขโค๊ดแต่อย่างใด  ทางออกอยู่ที่ PHP ครับ    โดย PHP จะมี Parameter อยู่ 2 ตัวคือauto_prepend_file และ auto_append_file

auto_prepend_file จะกำหนดว่า ก่อนที่จะรันไฟล์ php ทุกๆครั้ง จะทำการรันไฟล์นี้ก่อน ส่วน auto_append_file  คือเมื่อทำการรันไฟล์ php ใดๆเสร็จแล้ว จะมารันไฟล์ ที่เรากำหนด      เมื่อเรารู้ดั่งนี้แล้ว  เ้ราก็มาดูโค๊ดแก้ปัญหาเรื่อง Rever Proxy & REMOTE_IP  ได้เลยครับ

1.  ให้เราไปกำหนดที่  php.ini   ใส่พารามิเตอร์  auto_prepend_file “/etc/php-prepend.php”

2. แก้ไขไฟล์  /etc/php-prepend.php

<?
$real_ip    = session_getip();
$ip        = $_SERVER["REMOTE_ADDR"];
 
$_SERVER["REMOTE_ADDR"]                    = $real_ip;
unset($_SERVER['HTTP_X_FORWARDED_FOR']);
 
function session_getip() {
if ($_SERVER["HTTP_CLIENT_IP"]) {
return $_SERVER["HTTP_CLIENT_IP"];
}
foreach (explode(",",$_SERVER["HTTP_X_FORWARDED_FOR"]) as $ip) {
if (trim($ip)) {
return $ip;
}
}
if ($_SERVER["HTTP_X_FORWARDED"]) {
return $_SERVER["HTTP_X_FORWARDED"];
} elseif ($_SERVER["HTTP_FORWARDED_FOR"]) {
return $_SERVER["HTTP_FORWARDED_FOR"];
} elseif ($_SERVER["HTTP_FORWARDED"]) {
return $_SERVER["HTTP_FORWARDED"];
} elseif ($_SERVER["HTTP_X_FORWARDED"]) {
return $_SERVER["HTTP_X_FORWARDED"];
} else {
return $_SERVER["REMOTE_ADDR"];
}
}
?>

Code ดั่งกล่าว  จะทำการ ดึง IP ที่  HTTP_X_FORWARDED   มาไว้ยัง $real_ip และทำการกำหนดให้  REMOTE_ADDR = $real_ip   ทำให้ app ทั่วไปทีเราเขียนขึ้น ไม่ต้องทำการแก้ไข Code แต่อย่างใด

ป.ล.    ส่วนของ prepend และ append  สามารถนำไปใช้งานได้หลายรูปแบบมากกว่านี้เอาไว้โอกาศหน้า ผมจะมาเขียนบอกเล่าให้เพื่อนๆ ได้อ่านต่อไปครับ

1. ทำการดูว่า mysql เรา start process ยังไง
ps auxww | grep mysql

mysql 23572 0.0 0.3 1724 1372 p2 S 1:52AM 0:00.01 /bin/sh /usr/local/bin/mysqld_safe –defaults-extra-file=/var/db/mysql/my.cnf –user=mysql –datadir=/var/db/mysql –pid-file=/var/db/mysql/mail.domain.com.pid
mysql 23591 0.0 4.8 57084 24936 p2 S 1:52AM 0:00.31 /usr/local/libexec/mysqld –defaults-extra-file=/var/db/mysql/my.cnf –basedir=/usr/local –datadir=/var/db/mysql –user=mysql –pid-file=/var/db/mysql/mail.domain.com.pid

2. เรารู้แล้วว่า MySQL Start process ยังไงเราก็stop db + start mysql ผ่าน command

/usr/local/bin/mysqld_safe –defaults-extra-file=/var/db/mysql/my.cnf –user=mysql –datadir=/var/db/mysql –pid-file=/var/db/mysql/mail.domain.com.pid –skip-grant-tables

เราใส่ –skip-grant-tables MySQL จะไม่ตรวจสอบ table mysql ทำให้เราสามารถ Login โดยไม่ต้องใส่ Password ได้

shell# mysql
mysq> use mysql
mysql> UPDATE user SET password=password(’secret’) WHERE user=’root’;
mysql> exit;

shell#mysqladmin -p shutdown
ใส่ password ใหม่ที่เราตั้งใหม่ คือ secret

3. start mysql ผ่าน rc.d ปกติและใช้ password ใหม่ได้แล้วครับ : )

มาพูดเรื่อง PKI ก่อนนะครับ   ส่วนตัวผมเองไม่ได้เรื่อง IT มาเรื่อง PKI  ผมเองก็ได้แต่อ่านๆจากในเน็ต แล้วก็นำมาเล่าสู่กันฟัง    ท่าสามารถหาข้อมูลที่ลึงมากกว่านี้ได้จาก Link ข้างล่าง    “Public key infrastructure”  คือการเข้ารหัสข้อมูล โดยใช้  กุญแจ 2 ลูกคือ   Public Key และ Private Key       หากเราเข้ารหัสข้อมูลโดยใช้  Private Key     เราก็ต้องถอดรหัสโดยใช้  Public Key     ในทางกลับกัน ถ้าเข้ารหัสด้วย Public Key ก็ต้องใช้ Private Key ถอดรหัสเท่านั้น

ทีนี้มาพูดถึงความปลอดภัย   ตัว PKI เองสามารถเลือก bit การเข้ารหัสได้ตามที่เราต้องการ ตั้งแต่ 512, 1024, 2048  และสามารถเข้ารหัวได้สูงกว่านี้   ทำให้เป็นการยากที่จะถอดรหัสได้    ทุกๆวันนี้เราเองก็ใช้เทคโนโลยีนี้แทบทุกวัน โดยที่เราไม่รู้ตัว  อย่างบัตร SmartCard เองก็ใช้ PKI ในการเข้ารหัส หรือ Card UBC  เองก็ใช้เช่นกัน    อีกตัวอย่างคือ   เวลาเข้าเว็บไซด์ผ่าน https   ระหว่าง Web Server และ Browser ก็จะมีการเข้ารหัสข้อมูล โดยใช้เทคโนโลยี PKI    ในการเข้ารหัสเช่นกัน

ทีนี้มาพูดถึงแนวทางเอาไปใช้งานกับ PHP     ในการณี้ทีเรามีข้อมูลที่เราต้องการเข้ารหัส  และต้องสามารถถอดรหัสกลับมาได้ด้วย  เราสามารถเอา PKI เข้ามาแก้ไขปัญหาดั่งกล่าวได้    โดยการสร้าง Private Key และ Publick Key  ในการถอดรหัส   แต่มีข้อแม้ว่า Key ดั่งกล่าวต้องไม่หาย   ถ้าหาย ก็บอกลา Data ที่คุณเข้ารหัสไว้ได้เลย

ตัวอย่าง ผมมีข้อมูลที่ต้องส่งผ่านหน้า Web โดยการ Redirect ผ่าน URL  ไปยังอีกเว็บหนึ่ง โดยที่ผมไม่ต้องการให้ใครสามารถเปิดข้อมูลได้  ผมจะทำการ  Encryt ข้อมูลโดยใช้ Public Key ของเว็บตรงข้าม และ เว็บตรงข้ามต้องใช้ Private Key  เท่านั้นในการ Decrypt ข้อมูล

1.  สร้าง Private Key และ Pubkic Key  ผ่่าน Command Line

openssl genrsa -out private.key 2048
openssl rsa -pubout  < private.key  > public.key

2.  ทำการสร้าง Code PHP  Function

<?php
function EncryptData($source)
{
	$fp=fopen( "public.key","r");
	$pub_key=fread($fp,8192);
	fclose($fp);
	openssl_get_publickey($pub_key);
	openssl_public_encrypt($source,$crypttext,$pub_key);
	return(base64_encode($crypttext));
}

function DecryptData($source)
{
	$fp=fopen( "private.key","r");
	$priv_key=fread($fp,8192);
	fclose($fp);
	$res = openssl_get_privatekey($priv_key);
	$decoded_source = base64_decode($source);
	openssl_private_decrypt($decoded_source,$newsource,$res);
	return($newsource);
}
?>

การนำไปใช้งาน  ท่านสามารถเอา  ใช้ PHP เรียก Function  ดั่งกล่าว เพื่อ Encrypt และ Decrypt ได้เลยครับ

Refer:

http://en.wikipedia.org/wiki/Public_key_infrastructure
http://thaicert.nectec.or.th/paper/encryption/sshl.php
http://www.google.co.th/search?hl=th&q=Public+key+infrastructure&btnG=%E0%B8%84%E0%B9%89%E0%B8%99%E0%B8%AB%E0%B8%B2&meta=cr%3DcountryTH

ระบบที่ทำการทดสอบ
- OpenSSH Client บน Mac OS X 10.5.6
- OpenSSH Server บน Ubuntu 8.04

ขั้นตอนแรก ทำการสร้าง keys สำหรับยืนยันตัวตนระหว่าง Client และ Server (ทำบนเครื่อง Client ในที่นี้คือ Mac OS X)

MacClient:~ UserA$ ssh-keygen -t rsa

MacClient:~ UserA$ ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/Users/UserA/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /Users/UserA/.ssh/id_rsa.
Your public key has been saved in /Users/UserA/.ssh/id_rsa.pub.
The key fingerprint is:
a4:74:0b:bc:2f:d1:f5:c7:4e:90:51:7f:f4:45:84:a0 UserA@MacClient

ขั้นตอนต่อไป ใช้ ssh สร้าง directory ~/.ssh บน Server ปลายทาง (ทำบน Client ได้เลย โดยผ่าน ssh)

MacClient:~ UserA$ ssh UserA@UbuntuServer mkdir -p .ssh

MacClient:~ UserA$ ssh UserA@UbuntuServer mkdir -p .ssh
UserA@vmtuserver's password:

ขั้นตอนสุดท้าย ทำการเพิ่ม Public keys ที่สร้างขึ้นในขั้นตอนแรกไปยังไฟล์ ~/.ssh/authorized_keys บน Server ปลายทาง (ทำบน Client โดยผ่าน ssh เช่นเคย)

MacClient:~ UserA$ cat .ssh/id_rsa | ssh UserA@UbuntuServer 'cat >> .ssh/authorized_keys'

MacClient:~ UserA$ cat .ssh/id_rsa | ssh UserA@UbuntuServer 'cat >> .ssh/authorized_keys'
UserA@vmtuserver's password:

ทำการทดสอบ

MacClient:~ UserA$ ssh UserA@UbuntuServer

MacClient:~ UserA$ ssh UserA@UbuntuServer
Linux UbuntuServer 2.6.24-19-server #1 SMP Wed Jun 18 15:18:00 UTC 2008 i686
 
The programs included with the Ubuntu system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.
 
Ubuntu comes with ABSOLUTELY NO WARRANTY, to the extent permitted by
applicable law.
 
To access official Ubuntu documentation, please visit:
http://help.ubuntu.com/
You have mail.
Last login: Tue Jan 13 00:14:19 2009 from MacClient
UserA@UbuntuServer:~$

*สามารถเพิ่ม Public keys ที่สร้างขึ้นไปยัง User ใดๆ ก็ได้ ไม่จำเป็นต้องมีชื่อเหมือนกับ User ที่มีอยู่บน Client

cat /proc/version

ได้ Output ประมาณนี้ครับ

Linux version 2.6.27-9-generic (buildd@rothera) (gcc version 4.3.2 (Ubuntu 4.3.2-1ubuntu11) ) #1 SMP Thu Nov 20 21:57:00 UTC 200

หรือดู version ในไฟล์ /etc/issue
(issue – pre-login message and identification file)

cat /etc/issue

ได้ Output ประมาณนี้ครับ

Ubuntu 8.10 \n \l

* ทดสอบบน Ubuntu 8.10

Server# apt-get install openvpn
Server# vi /etc/openvpn/server.conf

# ไฟล์ /etc/openvpn/server.conf

dev tap0
proto tcp-server
ping 1
ping-restart 5
port 10000
ifconfig 10.10.10.1 255.255.255.0

Client# apt-get install openvpn
Client# vi /etc/openvpn/client.conf

# ไฟล์ /etc/openvpn/server.conf

dev tap0
proto tcp-client
ping 1
ping-restart 5
port 10003
ifconfig 10.10.10.2 255.255.255.0
remote 203.1.1.1

Server# /etc/init.d/openvpn start
Client# /etc/init.d/openvpn start

ทำไมต้องออกเสียง X ว่า “เท็น” ?

ตัวอักษร “X” หมายถึงเลขสิบในระบบโรมัน และอ่านออกเสียงว่า “เท็น” (Ten, แปลว่า “สิบ” ในภาษาอังกฤษ) และยังแสดงถึงรุ่นที่ต่อมากจากแมคโอเอสตัวก่อนหน้านี้คือ แมคโอเอส 9 นอกจากนี้ตัวอักษร X ยังแสดงถึงความเป็นยูนิกซ์ (UNIX) ในตัวโอเอสด้วย ซึ่งแมคโอเอสเท็นได้ใช้ยูนิกซ์ที่เป็นโอเพนซอร์สที่ชื่อว่า Darwin เป็นแกนกลาง

Mac OS X รุ่นต่างๆ

Mac OS X 10.0 (Cheetah)

วางจำหน่าย 24 มีนาคม พ.ศ. 2544 ได้รับคำชมในเรื่องความเสถียรและความสามารถ แต่มีปัญหาในด้านความเร็วในการทำงาน ราคาจำหน่าย 129 ดอลลาร์

Mac OS X 10.1 (Puma)

วางจำหน่าย 25 กันยายน พ.ศ. 2544 ไม่ได้วางจำหน่าย แต่แจกเป็นชุดอัพเกรดฟรีสำหรับ Cheetah เพิ่มความเร็วในการทำงาน และความสามารถอื่นๆ เช่น การเล่นดีวีดี

Mac OS X 10.2 (Jaguar)

วางจำหน่าย 23 สิงหาคม พ.ศ. 2545 เพิ่มความรวดเร็วในการทำงาน หน้าตาแบบใหม่ และความสามารถ เช่น

• สนับสนุนเครือข่ายที่เป็นไมโครซอฟท์วินโดวส์

• iChat – อินสแตนท์ เมสเซจจริง

• Apple Rendezvous – การเชื่อมต่อเครือข่ายแบบอัตโนมัติ

• CUPS (The Common Unix Printing System) – ระบบการพิมพ์’กลาง’ของระบบยูนิกซ์

Mac OS X 10.3 (Panther)
วางจำหน่าย 24 ตุลาคม พ.ศ. 2546 พัฒนาความสามารถด้านอื่นเพิ่มขึ้น แต่หยุดสนับสนุนสถาปัตยกรรมแบบ G3 แล้ว ความสามารถเด่นมีดังนี้

• Exposé – การแสดงหน้าต่างทำงานทั้งหมดในหน้าจอเดียว ทำให้ผู้ใช้เปลี่ยนหน้าต่างทำงานได้อย่างรวดเร็ว

• Fast User Switching

• FileVault

Mac OS X 10.4 (Tiger)
กำหนดวางจำหน่าย 29 เมษายน พ.ศ. 2548 ความสามารถเด่นมีดังนี้

• Spotlight

• Dashboard

• QuickTime 7

• Automator

• Front row

Mac OS X 10.5 (Leopard)
แมคโอเอสเทน เลเพิร์ด (มักเรียกผิดเป็น ลีโอพาร์ด) วางจำหน่ายในวันที่ 26 ตุลาคม พ.ศ. 2550 มีความสามารถเด่นที่ประกาศแล้วดังนี้

• Time Machine

• Spaces

• Core Animation

• Quicklook

• Stack

• Finder ใหม่ที่รวม Cover Flow view เข้าไป

• รองรับ 64-bit

นอกจากนี้ยังมีการปรับปรุงแอปพลิเคชันที่มีอยู่เดิมอีกด้วย

หลักกาารง่ายๆคือ  จะใช้ curl แล้ว set proxy เป็นเครื่อง Proxy ที่เรากำหนด   เสร็จแล้วก็ให้ curl ทำการ connect ไปยัง web ปลายทาง   ถ้า connect ได้ content ที่ return มาจาก curl จะมากกว่า 0    และทำให้ script เพิ่ม iptables  เข้าไปครับผม

#!/bin/sh
 
#
#	Check Proxy	v.10
#	By Auttasak Wongkitta
#	http://howtoconfig.com
 
PROXY="192.168.100.254:3128"
URL="http://manager.co.th"
LINUX_IP="192.168.100.254"
LINUX_IF="eth2.1"
 
RESULT=$(curl -x $PROXY  $URL 2>/dev/null | wc -l)
USEPROXY=$(iptables -t nat -L PREROUTING -n | grep $PROXY | wc -l)
 
if [ $RESULT -eq 0 ]; then
        if [ $USEPROXY -ne 0 ]; then
                iptables -t nat -D PREROUTING -i $LINUX_IF -d ! $LINUX_IP -p tcp --dport http -j DNAT --to $PROXY
        fi
else
        if [ $USEPROXY -eq 0 ]; then
                iptables -t nat -A PREROUTING -i $LINUX_IF -d ! $LINUX_IP -p tcp --dport http -j DNAT --to $PROXY
        fi
fi

อะไรคือ “Name Base Vhost” ขอกล่าวถึง HTTP Protocol ละกันครับ เวลาที่ IE, Firefox ในเครื่องเ้้ราซึ่งเค้าเรียกรวมกันว่า Browser เข้าไปเว็บๆหนึ่ง เช่น เข้าไปที่ http://howtoconfig.com/index.php Browser ของเราก็จะสร้าง tcp connect ไปยัง IP ปลายทาง port 80 และส่ง

ตรงนี้เค้าเรียนว่า Header เวลา Server ได้รับ ก็จะส่ง กลับมาว่า

ส่วนนี้ก็ Header ที่ Apache ตอบกลับมา ถ้ามว่ามัน เกียวกัน ตรงไหน ก็สังเกตุดี ที่ Browser ส่ง Request ไป จะมี HOST: howtoconfig.com ไปด้วย เวลา apache ได้รับ Request ก็จะไปตรวจสอบที่ httpd.conf ว่ามีการทำ Vhost ไว้หรือไม่ ถ้ามีและชื่อ ตรงก็จะเปลี่ยน DocumetRoot ไปยัง ที่กำหนดไว้และ เอา Content ส่งไปยัง Broswer ต่อไป

อะไรคือ “IP Base VHost” มันก็เหมือนกะ Name Base Vhost แหละครับ แต่ Apache จะสนใจแค่ IP ที่ Client วิ่งเข้ามา ถ้าตรงกะ Vhost ที่ Config ไว้ระบบก็จะเปลีั่ยน DocumetRoot ไปยังที่กำหนด

อ่านมามาก มาสู่การทำงาน จริงๆ ผมได้ติดตั้ง Apache2.0 + PHP5 จาก Ports เพราะเวลาลงอะไรต่อๆไป จะได้ง่าย และสะดวกเวลา Upgrade PHP ในเมื่อ FreeBSD ออกแบบระบบ Ports มาให้ดีแล้ว เราก็ต้องใช้มัน เวลาผมลง จะ ไม่ยุ่งเกี่ยวกะไฟล์ httpd.conf เลยแต่จะสร้างไฟล์ /usr/local/etc/apache2/Includes/0default.conf แทนเพราะ apache2.0 ใน FreeBSD จะทำการ Include Includes/*.conf มาเอง ทำให้เราแก้ไขแค่ใน Includes/*.conf ก็พอ

แนะนำให้ไปอ่าน “Apache2.0 + PHP5 on FreeBSD” ก่อนนะครับ

การทำ Name Base Vhost โดย Domain ชื่อ abc.com และเก็บเว็บไว้ที่ /home/vhosts/abc.com เราก็ทำการสร้างไฟล์

vi /usr/local/etc/apache2/Includes/abc.com.conf

ServerName    abc.com
ServerAlias    www.abc.com
DocumentRoot    /home/vhosts/abc.com/httpdocs
CustomLog        /home/vhosts/abc.com/logs/access_log combined
ErrorLog        /home/vhosts/abc.com/logs/error_log
 
AllowOverride All
Options SymLinksIfOwnerMatch
Order allow,deny
Allow from all

ส่วนของ IP Base Vhost ก็เหมือนกันครับแต่เราต้องทำการ สร้าง Aliase IP ก่อน ที่ไฟล์ rc.conf เช่น

vi /etc/rc.conf

defaultrouter="192.168.1.1"
hostname="kumandtong.siambox.com"
ifconfig_rl0="inet 192.168.1.1  netmask 255.255.255.0"
ifconfig_rl0_alias0="inet 192.168.1.2  netmask 255.255.255.255

เราก็สร้างไฟล์ apache

vi /usr/local/etc/apach2/Includes/192.168.1.2.conf

DocumentRoot    /home/vhosts/ip-2/httpdocs
CustomLog        /home/vhosts/ip-2/logs/access_log combined
ErrorLog        /home/vhosts/ip-2/logs/error_log
 
AllowOverride All
Options SymLinksIfOwnerMatch
Order allow,deny
Allow from all

ง่ายปะครับ ไอ้คนที่เคยทำบ่อยๆอย่างผม ก็พูดได้ว่าง่ายๆ แต่คนที่ไม่ค่อยได้ setup นี้สิ ไงก็ลองเอาวิธี setup ของผมไปละกันนะครับ น่าจะช่วยเพื่อนๆได้