nginx でリクエストを複製できるモジュール「ngx_http_mirror_module」 - kakakakakku blog
nginx でリクエストを複製できるモジュール「ngx_http_mirror_module」を使うと，簡易的な「Shadow Proxy」を構築することができる．例えば，本番環境のリクエストの一部を開発環境に流せるようになる．この「ngx_http_mirror_module」は nginx 1.13.4 で実装された機能で，2017年8月リリースなので，最近のバージョンだとデフォルトで使えるようになっている．今回は「リクエストの複製」を試すため，Docker Compose を使って検証環境を構築した． nginx.org 検証環境 今回 Docker Compose を使って，nginx と Sinatra を起動する検証環境を構築した．コンテナは計3種類で，以下の構成図にまとめた．基本は Frontend と Backend でリクエストを処理し，今回は Mirror にもリクエス
新Search Consoleにドメインプロパティ機能が追加、wwwありなしとhttp/httpsを自動でまとめてレポート
[レベル: 中級] 「ドメイン プロパティ」の機能が新バージョンの Search Console に追加されました。 ドメイン プロパティは、www ありなしやモバイルサイト向けの m ドメインなどすべてのサブドメインと、http および https の両方のプロトコルのサイトのデータをまとめてレポートします。 旧バージョンの Search Console で提供されていた、複数のプロパティをまとめることができるプロパティ セットにも似た機能になります。 ドメイン名レベルと URL レベルを選択してプロパティ追加 ドメイン プロパティが有効になると Search Console に新規にプロパティ（サイト）を登録する際に、次の 2 つのうちどちらのプロパティを追加するかどうかを尋ねられます。 ドメイン URL プレフィックス 「ドメイン」が今回新たに追加されたドメイン プロパティの作成です
SOCKSプロキシとHTTPプロキシの違いについて勉強してみた | DevelopersIO
はじめに サーバーレス開発部@大阪の岩田です。 先日接続元IPアドレスをクラスメソッドのGIPに制限した検証環境を利用してAPIのテストを行なっていたところ、リモートワーク中のメンバーが検証環境に接続できないという状況が発生しました。 下記の記事で紹介されているように、クラスメソッドではSOCKSサーバーが構築されているので、VPN経由で社内NWに接続し、SOCKSサーバーをプロキシとして利用すれば本来リモート環境からでも検証環境が利用できるはずです。 VPN利用者のためにdelegateでSOCKSサーバーを立ててみました 最初はcurlコマンドのオプションに--proxyを付けてプロキシサーバーを指定するようお願いしたのですが、--proxy http://proxy.example.com:xxxxのような指定を行なっていたようで、問題が解決しませんでした。 結局--proxy so
商用環境で設定しておきたいセキュリティ関連 HTTP ヘッダまとめ - A Memorandum
TL;DR X-Content-Type-Options X-Frame-Options(XFO) X-XSS-Protection Content-Security-Policy (CSP) Upgrade-Insecure-Requests Strict-Transport-Security (HSTS) Public-Key-Pins (HPKP) 設定 TL;DR X-Content-Type-Options MIME スニッフィングの無効化 X-Frame-Options(XFO) フレーム表示を制限しクリックジャッキングを予防 X-XSS-Protection XSSフィルタの有効/無効 Content-Security-Policy (CSP) XSSなどの攻撃を軽減するセキュリティレイヤー Strict-Transport-Security (HSTS) HTTP の代わり
Nginx/OpenRestyあるある言いたい - Usual Software Engineer
Nginx を使う時に、設定に対して動作が意図したとおりにならないことがよくあります。 おそらく初見殺しで何度もハマる人が多いのでここであるあるをまとめておこうと思います。 OpenResty の話も混ざっていますがほぼ同じと考えて良いです。 ではさっそく、 Nginx あるある言いたい〜〜〜 location の path マッチングの優先順位がわからない Nginx のビルド時のパラメータを後から確認したい worker_processes と worker_rlimit_nofile と worker_connections upstream へのリクエストの HTTP バージョンが 1.0 になる upstream のレスポンスを見てクライアントへのレスポンスを変化させたい proxy_set_header でヘッダが正しく設定されない more_clear_headers を i
httpstatでcurlのレスポンスタイムをわかりやすく表示する - もた日記
httpstat インストール 使い方 環境変数 curlコマンドで実行する場合 httpstat github.com httpstatコマンドを使うと図のようにcurlのレスポンスタイムをわかりやすく表示できる。 インストール pipでインストールできるので下記コマンドを実行。 $ pip install httpstatMacならbrewでインストールできる。 $ brew install httpstat今回試すのはPythonバージョンだが、Goバージョンもある。 GitHub - davecheney/httpstat: It's like curl -v, with colours. $ httpstat --help Usage: httpstat URL [CURL_OPTIONS] httpstat -h | --help httpstat --version Argu
不正アクセスからサーバを守るfail2ban。さくらのクラウド、VPSで使ってみよう！ | さくらのナレッジ
こんにちは。さくらインターネットの前佛です。 今回は、サーバのログファイルを自動スキャンして、悪意のある SSH 通信を自動遮断するツール fail2ban の概要と使い方をご紹介します。 日々、不正アクセス インターネット上のサーバは、SSH や HTTP など、公開しているポートに対する不正アクセスの試みに日々晒されています。不正アクセスは悪意を持った人からの攻撃だけではありません。マルウェアやワームなど、いわゆるボットからの攻撃にも日々晒されているのです。 そのため、誰でもアクセス可能なパブリックな環境にサーバを公開する場合、セキュリティに対して細心の注意を払う必要があります。 たとえば、近年話題になっている Linux 向けのマルウェアとしては XOR.DDoS が有名です。これは root ユーザのパスワードに対する総当たり攻撃（broute-force attach）を試みます
HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 - clock-up-blog
疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog
nginxによるTCPロードバランサー | メルカリエンジニアリング
SREチームの@cubicdaiyaです。今回はnginxによるTCPレイヤーでのロードバランスについて解説します。 ロードバランサーとしてのnginx nginxはHTTPやTCP、UDP等の複数のレイヤーでロードバランサーとして稼働させることができます。（TCPロードバランサーは1.9.0以降、UDPロードバランサーは1.9.13以降で利用可能です） また、ngx_http_ssl_module や ngx_stream_ssl_module を利用することでそれぞれのレイヤーでTLSを有効化することも可能です。 TCPロードバランサー用のモジュールを有効にする HTTPレイヤーでロードバランスするためのモジュールはデフォルトで組み込まれますが、TCP(とUDP)レイヤーでロードバランスするにはnginxのconfigureスクリプトに--with-stream(あるいは --with
HTTPステータスコードを適切に選ぶためのフローチャート : 難しく考えるのをやめよう | POSTD
HTTPステータスコードを返すというのはとても単純なことです。ページがレンダリングできた？よし、それなら 200 を返しましょう。ページが存在しない？それなら 404 です。他のページにユーザをリダイレクトしたい？ 302 、あるいは 301 かもしれません。 I like to imagine that HTTP status codes are like CB 10 codes. "Breaker breaker, this is White Chocolate Thunder. We've got a 200 OK here." — Aaron Patterson (@tenderlove) 2015, 10月 7 訳：HTTPのステータスコードのことは、市民ラジオの10コードみたいなものだと考えるのが好きです。「ブレーカー、ブレーカー、こちらホワイト・チョコレート・サンダー。200
ネットワークプログラミングの基礎知識
ネットワークプログラミングの基礎知識 ここでは IP アドレスやポート番号、クライアントとサーバの役割などを説明し、 perl・C言語・Java などでソケット (Socket) を使った HTTP クライアントや POP3 クライアント、簡単なサーバを作成してみます。 要はネットワークプログラミングをやってみよう、ということです。 このページのサンプルプログラムは、RFC などの規格に準拠した「正しい」プログラムではありません。 また、全体的にエラー処理が不十分です (今後改善する予定です)。 あくまでも概要を理解するためのサンプルととらえてください。 もし本気でしっかりとしたクライアントやサーバを書きたいなら、このページを読んだ上で、 さらに RFC を熟読し、そして wget・Apache・ftp コマンドなどのソースを参考にしてください。 このページに間違いを見付けたら、掲示板 で
NginxでHTTPS : ゼロから始めてSSLの評価をA+にするまで Part 1 | POSTD
数年前、Webは全体的に暗号化されていませんでした。HTTPSはWebページの最も重要な部分だけのために確保されていました。暗号化が必要なのは大切なユーザデータだけで、Webページの公開される部分は暗号化せずに送ってもいいということで意見が一致していました。 しかし、 今は 状況 が 違います 。現在では、どんなWebトラフィックでも暗号化されていないのは良くないということが分かっているので、Webサイトを運営する誰もがコンテンツに関係なく強固なHTTPSを設定しなければなりません。 お恥ずかしい話ですが、私自身のWebサイトは2年近くも全くHTTPSをサポートしていませんでした ^(1) 。 Eric Mill の 今すぐ無料でHTTPSに切り替えよう という素晴らしい記事が最終的に私に喝を入れてくれました。私は休暇中、HTTPSをセットアップして Qualys SSL Report で
知っていると自慢できる！クールなUNIXツールコレクション | ソフトアンテナ
UNIXは歴史の長いOSなので、知らない人が多いけれども、知っているととても便利なコマンドラインツールというものもたくさん存在します。 「A little collection of cool unix terminal/console/curses tools」はそんな"無名の"UNIXツールを集めたコレクションサイトです。コマンド名とちょっとした説明さらにスクリーンショットがあるだけですが、何をするツールか分かればそこからさらに情報をたどっていくのは容易だと思います。 例えば、ftpコマンドのの改良版のlftp、コマンドラインHTTPクライアントcURL、高速検索grepのackやagなど、知っているとかなり作業が捗る実用的なツールも含まれています。その他カレンダー、計算機、rssリーダーなど、何もそこまでターミナルでやらなくてもいいのでは？というアプリも含まれています。 ここでリスト
1996年から850億ものウェブサイトを保存している「Wayback Machine」 - GIGAZINE
自分が見てみたいウェブサイトのURLを入れるだけで、1996年からアーカイブされている約850億ものウェブサイトを見ることが出来ます。12年前の1996年のホームページはとてもさびしい感じがしますが、現在見ているサイトも10年後にはさびしく感じてしまうのでしょうか。 詳細は、以下から。 使い方はとても簡単。ページ上部の検索窓に目的のURLを入れるだけ。 Wayback Machine URLを入れるとこんな感じの検索結果。ちなみに「http:/www.mcdonalds.com/」と入れると、1243件も。 運営元は「インターネット・アーカイブ」という団体で、その目的は「人類の知識と遺産を保存してそのコレクションを公開する」とのこと。 ということで、いくつか有名どころを検索してみました。 1996年のマクドナルドのホームページ。とてもシンプル。 McDonald's Splash 現在のマ
通信系のデバッグには Charles が便利 - Qiita
はじめに Charles を使うと PC 上に HTTP プロキシを立てて端末の通信をキャプチャし、リクエストやレスポンスの内容を覗いたり書き換えることが出来る。類似のソフトウェアとして Wireshark や Fiddler, Paros がある。 アプリの開発をしていてよくあるのは、APIがスタブで固定値しか返してくれない、異常系エラーのデバッグがやりづらい、という場面だが、Charles なら通信を好きに値を書き換えられるのでこれらに簡単に対処することができる。 Charles は Java アプリなので OS X だけでなく Windows や Linux でも利用する事が出来る。本稿では OS X + iOS での利用を前提として Charles の導入から簡単な使い方までを説明するが、環境依存の箇所は適宜読み替えてほしい。 導入 本来は有料ライセンスだが、無料でも数分間だけ使用
#Fluentd + #Norikra でaccess.logとかdstatを扱うめも - Qiita
あとでblog書く、たぶん。 とりあえず途中経過メモ。 nginxの設定 LTSVで扱いたいのでこちらを参考にこんな設定ファイル書いて、 # cat /etc/nginx/log_format.conf log_format ltsv 'time:$time_iso8601' '\tremote_addr:$remote_addr' '\trequest_method:$request_method' '\trequest_length:$request_length' '\trequest_uri:$request_uri' '\thttps:$https' '\turi:$uri' '\tquery_string:$query_string' '\tstatus:$status' '\tbytes_sent:$bytes_sent' '\tbody_bytes_sent:$body_b
最初に設定しないと絶対損する！Google Analytics 9個の必須設定＆解説 | Find Job ! Startup
アクセス解析は最初の解析設定が命。「やっておけばよかった！」と後悔しても、設定し忘れた集計数値はもう2度と手に入りません。 Webサイトの財産とも言える解析データをしっかり取得してビジネスの成長につなげるためにも、必ず設定しておきたいGoogleアナリティクスの必須設定項目をまとめました。 もし抜けがあるようでしたら、この機会に設定してみて下さい。 ※現時点で、アナリティクスの設定は標準・ユニバーサルの2種類があります。ユニバーサルは、まだ不完全なので今回は「標準」での設定をベースにご紹介します。 【設定1】プロパティ＆プロファイル まずはサイトの運用方針などに合わせて、的確にプロパティとプロファイルを設定します。 基本的には「サイトごとにプロパティ」設定がおすすめ いくつものサイトを『それぞれ別のドメインで展開』する場合や、サブドメインでそれぞれのサイトを管理する場合、基本的に
【よく見るものを一覧で解説】HTTPステータスコードとは？コード番号別に詳しく解説 | ナイルのマーケティング相談室
HTTPステータスコードとは、ウェブサイトにアクセスしたとき、正常な画面ではない場合に表示される3桁の数字のことです。 ウェブサイトにアクセスしたときに「404」や「503」といった数字が表示された経験はないでしょうか。HTTPステータスコードはたくさんの種類があり、それぞれ意味する内容が異なります。 そこで本記事では、それぞれのステータスコードが持つ意味や対処法、HTTPステータスコードの確認方法を解説します。 HTTPステータスコードについて知ることで、アクセスしたウェブサイトに何が起きているのかを理解できるようになるので、ぜひご参考にしてください。 この記事のポイント HTTPステータスコードは、特定の HTTP リクエストが正常に完了したかどうかを示す3桁の数値で表されるもの 大まかに200番台の成功レスポンス、300番台のリダイレクト、400番台のクライアントエラー、500番台の
イベントログ収集ツールの Sentry が凄そう - Memo
Disqus が作っている Sentry というツールが凄そうというお話。 # 元 Disqus の社員さんだったみたい Sentry って何かというと "Sentry is a realtime event logging and aggregation platform." と書いてる通りアプリケーションからイベントログを送信して、それを表示してくれるもの。 Sentry | Error Tracking Software — JavaScript, Python, PHP, Ruby, more サービスとして課金をして利用もできるが、OSS になっているので自分で構築する事も出来る。 GitHub - getsentry/sentry: Sentry is cross-platform application monitoring, with a focus on error re
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
HTTP接続サイトは“安全でない”サイト扱いに ～「Google Chrome 68」が正式公開／“iframe”リダイレクトを悪用する広告をブロックする仕組みも。脆弱性修正は42件
