nginxのログに499(レスポンスコード)が記録される場合 - hiroi10のブログ
最近nginxのログに499とかいう見慣れないレスポンスコードが記録されていたのでどういう状況で記録されるのか試してみた。 499が定義されてる場所 ソースコードの以下ファイルに記載されています。 {ソース展開dir}/src/http/ngx_http_request.h 中身を抜粋したのは以下 /* * HTTP does not define the code for the case when a client closed * the connection while we are processing its request so we introduce * own code to log such situation when a client has closed the connection * before we even try to send the HTTP h
RailsのPOSTでCSRF TokenがVerifyできないときに確認したいこと - Qiita
前提条件 nginxがSSL Terminationをするリバースプロキシである Railsのバージョンが5の状態でrails newをしている 発生する問題 formのPOST時にCan't verify CSRF token authenticity.というエラーが発生する 確認するところ CSRF Tokenがページ内に埋まっているか？ nginxにおけるリパースプロキシの設定は間違っていないか？ CSRF Tokenがページ内に埋まっているか？ Railsで入力フォームを作成するときは、おそらくform_forかform_tagを使うことになると思います。その場合、普通はauthenticity_tokenというhidden fieldが追加されています。 たとえばこれはQiitaの意見を送信するフォームにauthenticity_tokenが埋め込まれている様子です。 またAja
nginxの設定ミスで起こる脆弱性シリーズ試してみた。 - Qiita
はじめに @no1zy_sec氏がnginxの設定ミスで起こる脆弱性の翻訳記事を先日公開しました。 検証する機会があったため、再現できる検証環境と確認手順をまとめました。 各脆弱性に関する詳細や対策については、翻訳記事または原文をご確認ください。 検証できる脆弱性一覧 以下の脆弱性を検証することができます。 nginxの設定ミスで起こるHTTP Splitting nginxの設定ミスで起こるパス トラバーサル nginxの設定ミスで起こるSSRF nginxの設定ミスで起こるレスポンスヘッダの出力不備 nginxの設定ミスで起こるMultiline response headers nginxの設定ミスで起こるreferer/origin検証の問題 nginxの設定ミスで起こるリファラの検証不備 nginxの設定ミスで起こるHostヘッダフォージェリ 原文 Hostヘッダフォージェリに関
AWS CloudFrontを使って動的にリサイズ可能な画像をセキュアに見れる仕組みを作った | PSYENCE:MEDIA
画像アップロード時のシーケンス図 今回は大量のuploadが同時に来ることを想定していないのと画像処理はしないものとしています。ここは単にRailsがS3に受け取った画像をuploadして保存したS3のkeyをDBに保存するだけです。このとき、S3に保存するkeyがURLの一部になるので推測不可能なハッシュ値で保存するようにしておきます。もちろん、Railsを通すのでアプリケーション側での認証が可能です。 ちなみに、この部分もオフロードしたい場合は、S3のpresigned URLを発行し、そのURLに対してuploadしてもらうのが良さそうだと料理画像判定のためのバックエンドアーキテクチャを見て作った後に思いました。 画像取得時の処理シーケンス 画像取得時のシーケンス図 署名付きURLは、画像リストの取得時にCloudFrontが使う秘密鍵と同じ鍵でURLを署名してクライアントに返します
nginxでクライアント証明書認証の設定と運用時に失効させる方法 - TORIPIYO DIARY
WEBサイトの管理者ツールサイトを、例えば協力会社など外部の人にも操作してもらう必要があるときには、どうしてもインターネットに公開しないといけなくなることがあると思います。こういったとき、一般のユーザからのアクセスを拒否するためにユーザ名とパスワードで認証するように実装することが多いのですが、nginxではクライアント認証機能も利用できるのでその方法を紹介します。 クライアント認証にすると以下のメリットがあります 1. クライアント証明書を持っていないユーザに対してはログインを拒否できる 2. 証明書を失効できる 1について、ユーザ名・パスワードがたとえ漏洩していなくても、インターネット上からは絶えずブルートフォースアタックなどの攻撃を受けることになるので認証を突破される可能性があります。クライアント証明書認証ではクライアント証明書を持っている人しかログイン出来ないのでよりセキュアにインタ
新しいRubyアプリサーバー「NGINX Unit」を調べてみた（翻訳）｜TechRacho by BPS株式会社
概要 原著者の許諾を得て翻訳・公開いたします。 英語記事: A New Ruby Application Server: NGINX Unit 原文公開日: 2018/03/28 著者: Nate Berkopec (@nateberkopec): Railsのパフォーマンスコンサルタントです。 主著: The Complete Guide to Rails Performance 参考に、NGINX Unitの動画を貼っておきます。 画像は元記事からの引用です。 概要: NGINX inc.は同社の新しい複数言語対応アプリサーバーであるNGINX UnitでRubyのサポートを開始しました。NGINX UnitはRubyアプリサーバーにどんな意味をもたらすのでしょうか？NGINX Unitは注目すべき製品なのでしょうか？（2057文字、10分） Rubyistのための新しいアプリサーバー
nginx で クライアント認証したい！- ベーシック認証の置き換え - Qiita
必要なものは全てここにある ・・・だけだと終了してしまうので、もろもろ追記。 （まだ整理できてない箇所もあるので、違ってたら突っ込みお願いします） そもそもクライアント認証って？ そもそもの発端は、「社内で使っていた管理画面を外部業者に委託したい」という所から。 社内限定であればIPベースのFW（AWSならセキュリティグループ）の設定で事足りてたのですが、いざ外部に公開となると、IP制限では対応しきれない...！ 当然ベーシック認証も設定はしてあるものの、アタックされる可能性もなきにしもあらず。 そこで！ベーシック認証の代替手段として、「クライアント認証」の登場です。 仕組みはこういう（SSL：クライアント認証 ）ページを見て頂いた方が早いのですが、平たく言うと 証明書を持った特定の端末（厳密にはブラウザ）からしかアクセスできない 認証方法となります。 証明書が漏れた場合はその証明書を失効
ISUCON 5でalpを使ってNginxのログを解析した話 - Masteries
2015年9月28日12時8分: 作者の@tkuchikiさんからコメントで指摘頂いた部分を修正いたしました. ありがとうございます! アクセスログの解析ツールとして, YAPC::Asia 2015で@kazeburoさんがkataribeを紹介していました(ISUCONの勝ち方)が, ISUCON 5直前にalpというツールがリリースされていて, 今回はこれを使って予選に挑戦しました. ...というわけで, インストール方法や使い方等, チームメンバーに共有するために作ったドキュメントをサルベージしておくことにします. ただ, 基本的にはalpのREADMEに書かれている通りなので, そちらを見る方が早いと思います! (或いは, 作者の方による紹介エントリを読むのもいいでしょう!) tkuchiki.hatenablog.com インストール 9月27日現在の最新版であるv0.0.4の
コンテンツキャッシュとVaryヘッダとnginx - Qiita
Varyヘッダは前段のキャッシュサーバに対して、指定したヘッダの内容ごとにキャッシュを分ける必要があることを伝えるためのものです。例えばサーバがVary: Accept-Encodingをレスポンスヘッダに付加しておくと、キャッシュサーバはAccept-Encodingヘッダの内容に応じたキャッシュを保持します。 こうすることでクライアントのAccept-Encodingヘッダの内容に応じたキャッシュデータをキャッシュサーバは返すことができるというわけです。 nginxにおけるgzip圧縮とVaryヘッダ さて、本題です。上記のような事情からかApacheのmod_deflateやh2oなんかはコンテンツのgzip圧縮を有効にすると、自動的にVary: Accept-Encodingをレスポンスヘッダに付加します。一方我らがnginxは設定ファイルにgzip_vary on;と書かないとV
(コピペ)nginx最大パフォーマンスを出すための基本設定 · GitHub
user www-data; pid /var/run/nginx.pid; worker_processes auto; worker_rlimit_nofile 100000; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; events { worker_connections 2048; multi_accept on; use epoll; } http { server_tokens off; sendfile on; tcp_nopush on; tcp_nodelay on; access_log off; error_log /var/log/nginx/error.log crit; keepalive_timeou
kibanaで認証かけたいんだけど（nginxによるbasic認証） - ふわっとしたやつ
背景 kibanaは認証もなくがら空きである。fluentで本番サーバのログをelasticsearchへ流してそれをkibanaでみる。本番のデータでいろいろ表に出ちゃいけない情報もあるので、社内であってもカジュアルすぎる感じで見られると嫌。 そういう訳でkibanaにnginx経由でアクセスを強制することでbasic認証を挟む。 やったこと nginxインストール nginx設定 パスワードファイルの配置 kibana設定 nginxインストール 詳しく書きません。tar ballからver 1.9のものをインストール。 nginx config メインの設定は他のサーバと共通。なんでもいい。vhostに以下のような設定。ansibleで書いたやつ。 # basic authentification for kibana upstream kibana { server localho
Nginx で Basic 認証 - Qiita
パッケージインストール htpasswd コマンドを利用するため、下記のパッケージをインストール。 Debian 系
Nginxセキュリティ設定 - Qiita
概要 Apacheセキュリティ設定と同等程度の設定を目指します。 Apacheとの対比のために、Nginx上設定が不要な項目も設定不要として記載します。 SSLの設定はここでは記載していません。 想定環境 NginxのMainlineの最新版を使います。 現時点(2016/1/27)の最新版は1.9.10なのでそれを使います。 Stableではなく、Mainlineを利用します。 StableとMainlineの違いはnginx開発者コメント：nginx 1.8およびnginx 1.9リリースについてには以下のようにあります。 ステーブルラインとメインラインの重要な違いは、メインラインはインフラストラクチャ操作に影響を与える可能性があり、開発APIの変更がある場合があるため、nginxのサードパーティ製モジュールや拡張機能に影響を及ぼす場合があります。それ以外は、安全にご利用いただけます。
ngx_mrubyでのdos_detector(http-dos-detector)をためし、パフォーマンスに与える影響を測った - Qiita
3割くらいあったね。割合よりは、リクエストあたり6msくらい時間が増える、のほうが目安にするにはよいかも。 とりあえず今日の測定結果を残しておけば、またいつか測りたくなったときに比較できる。 試した環境 ハードはMacBook Pro 2014特盛り x Boot2Docker。ngx_mrubyの公式においてあるDockerfileちょっといじってます。 Nginxのビルドは次のように。ngx_mrubyはタグv1.10.12がついてる奴。 nginx version: nginx/1.8.0 built by gcc 4.8.4 (Ubuntu 4.8.4-2ubuntu1~14.04) built with OpenSSL 1.0.1f 6 Jan 2014 TLS SNI support enabled configure arguments: --add-module=/usr/
「『nginx実践入門』出版記念！執筆者らが語る nginx Tech Talks」レポート | gihyo.jp
「『nginx実践入門』出版記念！執筆者らが語る nginx Tech Talks」レポート 2016年2月8日、エンジニアのためのイベント＆コミュニティスペース「dots.」にて、「『nginx実践入門』出版記念！執筆者らが語る nginx Tech Talks」が開催されました。 同イベントは『nginx実践入門』の出版を記念して開催されたもので、執筆陣による制作秘話のほか、nginxを現場で活用しているエンジニアによるさまざまな講演が行われました。以下に同イベントの模様をレポートします。講演の資料は公開されており、本記事でも紹介していますので、詳しく知りたい方は参照してください。 nginx実践入門 メイキング - @cubicdaiya 久保達彦氏 発表資料 まずは、書籍の執筆者の一人である久保達彦氏（@cubicdaiya）による講演です。メルカリでプリンシパルエンジニアとし
我々はどのようにして安全なHTTPS通信を提供すれば良いか - Qiita
HTTPS通信は複数のプロトコル、手法が組み合わされて実現されている。そのため、暗号化手法それぞれのリスク、ブラウザの対応等様々な用件があり、全てを理解するにはちょっと時間とリソースが足りない。結局のところ、我々はどのようにして安全なHTTPS通信を提供できるのか。色々調べていたところ、MozillaがMozilla Web siteに使用する、HTTPSの推奨設定を公開している。 Security/Server Side TLS - MozillaWiki このドキュメントはMozillaのサーバ運用チームが、Mozillaのサイトをより安全にするために公開しているもので、他のサイトにそのまま適用できるかは十分に注意する必要がある。例えばガラケー向けサイトとか。そのまま使えないとしても、HTTPS通信の設定をどうすれば良いか、理解の一助になるはずだ。 この記事は上記MozillaWiki
[nginx]S3をバックエンドにngx_small_lightで画像を動的にリサイズ
S3 で公開しているバケットをバックエンドに nginx モジュール ngx_small_light を利用して画像をリサイズする方法をメモ http://d.hatena.ne.jp/akishin999/20130619/ にローカルの画像を対象にした画像変換手順が書かれているので、そこに S3 バックエンドを追記しただけとも言える。 ngx_small_light について github で公開 https://github.com/cubicdaiya/ngx_small_light pixiv の中の人が開発した nginx モジュール Apache 向け mod_small_light の nginx 移植 https://code.google.com/p/smalllight/ 画像変換エンジンは ImageMagick/Imlib2/GD から選択可能 構成 client
![[nginx]S3をバックエンドにngx_small_lightで画像を動的にリサイズ](https://cdn-ak-scissors.b.st-hatena.com/image/square/558d53bd8632c04537f9b0ff297877a64b26b110/height=288;version=1;width=512/https%3A%2F%2Fsiguniang.files.wordpress.com%2F2014%2F01%2Fbenchmark1.png)
mod_rewriteをnginxに移植するコツはifを使わないコト！
こんにちは。CTOの馬場です。 このエントリはnginxアドベントカレンダーの4日目です。 みんな大好き mod_rewrite をnginxに移植するコツをさらっと紹介します。 結論 まず server とか location を使おうとする try_files など他の方法がないか考える どうしてもどうしてもダメなら map と if を使う 以上！ コツは「とにかく if を使わない」ことです。 手続き的な書き方から宣言的な書き方に頭を切り替えるとうまく馴染めると思います。 例: wwwありでアクセスがきたらwwwなしに転送する server { listen 80; listen 443; server_name www.example.com; return 301 $scheme://example.com$request_uri; } rewrite 要りません。 例: サブ
ISUCON4 予選でアプリケーションを変更せずに予選通過ラインを突破するの術 - Hateburo: kazeburo hatenablog
AMIが公開されたのでもう一度やってみた。 AMIについてはこちらのエントリに書かれています ISUCON4 予選問題の解説と講評 ＆ AMIの公開 : ISUCON公式Blog まず ami-e3577fe2 を m3.xlargeで起動します。 CPUは model name : Intel(R) Xeon(R) CPU E5-2670 v2 @ 2.50GHz でした。 とりあえず、MySQLのindexを追加する。init.shに追加 $ cat init.sh cat <<'EOF' | mysql -h ${myhost} -P ${myport} -u ${myuser} ${mydb} alter table login_log add index ip (ip), add index user_id (user_id); EOF ベンチマークツールのhttp keepal
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
実践ngx_small_light入門
