dnsqsum script

December 11, 2013 16:01

DNS Query Summary Script สำหรับ Summary DNS Query Log เพื่อดูว่ามีการ query มาจาก host ใหน และ query domain ใหนบ้าง โดยแสดงเฉพาะ Top 10 — quick & dirty version — #!/bin/bash QLOG=”/var/log/named/query.log” [ ! -f “$QLOG” ] && echo “Log file ‘$QLOG’ doesn’t exist?” && exit DCOL=6 V=`head -1 $QLOG | cut -f5 -d’ ‘` if [ “$V” = “view” ]; then DCOL=8 fi echo “===== Source of Query =====” cat $QLOG | cut -f4 -d’ ‘ | cut -f1 -d’#’ | sort | uniq -c | sort -rn | head echo “=———————-=” echo “===== Domain to Query =====” cat $QLOG | cut -f$DCOL -d’ ‘ | sort | uniq -c | sort -rn | head echo “=———————-=”

Read More »

update fail2ban after DNS query attack

December 11, 2013 15:10

หลังจากทิ้งไว้นานกว่า 1 ปี ในที่สุดการโจมตีในลักษณะของการ DOS attack สำหรับ DNS Server ก็กลับมาอีกรอบ วันนี้ (2013-12-11) คุณ สงกรานต์ก็ post ข้อความในกลุ่ม PSU Sysadmin บน facebook ว่า DNS Server หลายๆเครื่องที่อยู่ภายในเครือข่ายของ PSU มี traffic เกิดขึ้นมากผิดปกติ และมากกว่าตัว DNS Server หลักของมหาวิทยาลัยเอง {ns1,ns2}.psu.ac.th ซึ่งตัว DNS Server ทั้งสองโดยทั่วไปแล้ว เนื่องจากเป็นเซิร์ฟเวอร์ที่ให้บริการเป็นหลักให้กับเครื่องคอมพิวเตอร์ทั้งหมดภายในมหาวิทยาลัย ก็ควรที่จะมี traffic สูงกว่า DNS Server ตัวอื่นๆ แต่เมื่อเครื่อง DNS Server อื่นๆมี traffic สูงกว่า ก็พอที่จะบอกได้คร่าวๆล่ะว่า มีเหตุการณ์ผิดปกติเกิดขึ้นแน่ๆ ในจำนวน server เหล่านั้น มีเครื่องเซิร์ฟเวอร์ที่ผมดูแลอยู่ด้วย เป็นเครื่องที่ใช้สำหรับสอน นศ. ในรายวิชา Linux Server Admin. ซึ่งหัวข้อหนึ่งที่นศ.จะต้องเรียน ก็คือการติดตั้งและให้บริการ Name Service ซึ่งเครื่องเซิร์เวอร์เครื่องนี้ นอกจากจะใช้เป็นตัวอย่างในการ setup แล้ว ยังทำหน้าที่เป็น 2nd DNS ให้กับ domain ของ นศ. ทั้งหมดด้วย (นศ. มี domain ของตัวเองคนละ 1 domain) logfile ที่เกิดจากการ query มีขนาดมากกว่า 2GB จากการเก็บ log ของการ query ในช่วงเวลาประมาณ 3 วันครึ่ง (เริ่ม 2013-12-08 16:25 จนถึง 2013-12-11 12:40) เมื่อเทียบกับ log ปกติมีขนาดประมาณ 1-2 MB สำหรับการเก็บ log ในช่วง 1 สัปดาห์ หรือถ้าเทียบในแง่ของจำนวนของการ query ในช่วง 3 วันที่ผ่านมามีการ query ประมาณ 18 ล้านครั้ง เมื่อเทียบกับการ query ปกติประมาณ 15,000 ครั้งต่อสัปดาห์ การโจมติมาจากใหนบ้าง? 7778377 95.211.115.114 3870621 93.170.4.34 2596494 94.198.114.135 2581297 95.211.216.168 331584 199.59.161.6 53137 216.246.109.162 47351 205.251.194.32 46793 205.251.193.79 41119 156.154.166.38 39572 156.154.166.37 39501 54.230.130.116 36855 205.251.198.179 34079 42.112.16.162 31690 134.255.243.100 28662 205.251.197.226 27481 212.118.48.20 23435 204.188.252.146 20565 82.221.105.131 20477 89.184.81.131 19036 95.141.37.197 17404 72.20.56.200 14156 206.72.192.13 11510 82.221.105.139 10387 5.135.14.245 ตัวเลขในคอลัมน์แรกคือจำนวนครั้งที่มีการ query และในคอลัมน์ที่สองเป็น ip address query อะไรบ้าง? ถ้าดูข้อมูลคร่าวๆก็จะได้ 08-Dec-2013 06:58:54.295 client 192.99.1.168#9118: view theworld: query: adrenalinessss.cc IN A +E (172.30.0.85) 08-Dec-2013 06:58:54.296 client 192.99.1.168#19072: view

Read More »

การเพิ่ม Wireless Profile PSU WiFi (802.1x) บน Windows 8/8.1

December 10, 2013 14:30

“บทความนี้ไม่ใช่บนความใหม่ แค่เป็นวิธีลงบน Windows 8/8.1 เท่านั้นนะครับ ใครชำนาญแล้วให้ข้ามไปได้เลยครับ” ทำตามขั้นตอนดังนี้ครับ 1. เปิดหน้า Network and Sharing Center เลือก Set up a new connection or network 2. เลือก Manually connection to a wireless network 3. ให้ตั้งค่าดังรูป *ขอแนะนำให้ใส่ชื่อ Network name ตัวเล็กตัวใหญ่แป๊ะ ๆ นะครับ มีวรรค 1 วรรคหน้า ( ด้วยนะครับ 4. หลังจากนั้นให้เลือก Change connection settings *ถ้ามันบอกว่ามีอยู่แล้วให้ลบ profile ทิ้ง วิธีลบด้วย command line อ่านบทความได้ที่นี่ครับ (http://sysadmin.psu.ac.th/2013/12/10/%E0%B8%81%E0%B8%B2%E0%B8%A3%E0%B8%88%E0%B8%B1%E0%B8%94%E0%B8%81%E0%B8%B2%E0%B8%A3-wireless-profile-%E0%B8%9A%E0%B8%99-windows-88-1-%E0%B8%9C%E0%B9%88%E0%B8%B2%E0%B8%99-command-line/) 5. เลือก Tab Security จากนั้นเลือกหัวข้อ Settings 6. ให้ ติก Verify the server…. ออก จากนั้นกด OK 7. จากนั้นเลือก Advance Settings ต่อ 8. ให้ติกในส่วนของ Specify authentication mode : และเลือกให้ authen แบบ User authentication ในกรณีที่เป็นเครื่องส่วนตัวสามารถเลือก Save credentials (Save Username Password) จะได้ไม่ต้องกรอกทุกครั้งที่ต่อครับ  * ในการ Save credentials ในกรณีเปลี่ยนรหัสผ่านต้องมาเปลี่ยนที่นี่ด้วยครับไม่งั้น Windows จะ authen ผิดถี่จนระบบ PSU Passport ทำการ lock account ของท่านครับ (ระบบจะปลด lock อัตโนมัติหลังจากหยุด login จากทุกระบบ 20-30 นาทีโดยประมาณ) 9. หน้าจอสำหรับ Save credentials 10. เป็นอันเสร็จ ปิดหน้าต่างที่เปิดไว้ให้หมดครับ แล้วลองกลับไปเชื่อมต่อใหม่อีกครั้งก็จะขึ้นหน้าให้ Login ดังรูปครับ ถ้าหน้าตาต่างจากนี้แสดงว่า Set ผิดครับ

Read More »

การจัดการ Wireless Profile บน Windows 8/8.1 ผ่าน Command line

December 10, 2013 14:03

“บางท่านอาจประสบปัญหาลบ Wireless Profile บน Windows 8/8.1 ไม่ได้ไม่รู้จะทำอย่างไร” ผมจึงเสนออีก 1 วิธี คือการลบผ่าน Command Line ดังนี้ 1. เปิดโปรแกรม CMD ขึ้นมาตามปกติ 2. ในกรณีที่ต้องการดูว่าตอนนี้มี Profile อะไรบ้างให้สั่งคำสั่ง netsh wlan show profile * หมายเหตุ : สำหรับคนที่ผูก account ไว้กับ Microsoft ทาง Microsoft จะมีการจำ Profile ไว้บน Cloud ให้เวลาท่านลงเครื่องใหม่ หรือนำ account ไปใช้กับเครื่องอื่น ถ้าเข้า SSID ไหนที่ต้องใส่รหัสผ่าน สามารถเข้าได้เลยโดยไม่ต้องใส่รหัสผ่าน (งงอยู่หลายครั้งว่าทำไมไม่ขึ้นให้ใส่รหัสผ่าน) ก็ไม่ต้องแปลกใจ แต่ในส่วนของ 802.1x ยังไงก็ต้องตั้งใหม่อยู่ดีครับ (มันไม่ได้จำทุก ๆ SSID นะครับ ไม่รู้มันเลือกยังไง) 3. ทำการสั่งคำสั่งลบ Profile นั้น ๆ ดังนี้ netsh wlan delete profile “xxxx” เท่านี้ก็สามารถเพิ่มข้อมูล Profile ใหม่ได้แล้วครับ *แถม : สำหรับคนที่ต่อติดแล้แต่อยากกลับไปแก้ Wireless Profile ที่ตั้งค่าไว้ให้เข้าไปแก้ได้ตามรูปครับ 1. เปิด Wifi Status ผ่านหน้า Network and Sharing Center 2. คลิกเลือก Wireless Properties จากนั้นจะปรากฎหน้าการตั้งค่า Profile จะแก้อะไรก็แก้ได้เลยครับ

Read More »

ติดตั้ง VPN บน Windows 8.1 ภายใน 6 ขั้นตอน (นิกาย L2TP)

December 6, 2013 16:17

เอาว่า ใครอยากติตตั้งง่าย ลองดู (เชื่อมั่นใน L2TP ว่าจะอยู่รอดได้) 1.คลิกขวาที่ System Tray ตรง Connection แล้วเลือก Open Network and Sharing Center   2.คลิก Set up a new connection or network 3.คลิก Connect to a workplace 4. คลิก Use my Internet connection (VPN) 5. ใส่ Internet Address : vpn.psu.ac.th Destination name: PSU-VPN   6. เวลาจะใช้ ก็เลือก PSU-VPN    

Read More »