книги хакеры / журнал хакер / 135_Optimized

Настраиваемweb-сервер

$ sudo vi /etc/cfengine2/cfservd.conf

control:

domain = ( xakep.ru )

#Разрешить соединения с узлами указанной подсети

AllowConnectionsFrom = ( 192.168.1.0/24 )

TrustKeysFrom = ( 192.168.1.0/24 )

#Сервер должен запустить cfagent cfrunCommand = ( "/usr/sbin/

cfagent" ) MaxConnections = ( 50 )

grant:

/usr/sbin/cfagent *.xakep.ru

Заставляем CFEngine перечитать свои конфиги:

$ sudo /etc/init.d/cfengine2 restart

Теперь необходимо настроить клиентские машины так, чтобы агент CFEngine запускался в определенные промежутки времени.

$ sudo crontab -e

0,30 * * * * /var/cfengine/bin/cfexecd -F

Каждые полчаса cron будет запускать cfexecd, который вызовет агента CFEngine, который

âсвою очередь получит последнюю версию cfagent.conf с сервера и выполнит описанные

âней правила. Таким образом ты сможешь динамически обновлять cfagent.conf на сервере, и в течение получаса внесенные тобой изменения отразятся на клиентах.

ЧТОДАЛЬШЕCFEngine — сложный инструмент, и в этой статье ты открыл для себя лишь несколько процентов его возможностей. Файлы правил CFEngine серьезных контор на- считывают сотни и даже тысячи строк, благодаря чему контролируемые им машины могут находиться без присмотра в течение месяцев. В боковом выносе WWW перечислены ссылки на ресурсы, обратившись к которым, ты сможешь узнать о настоящей мощи CFEngine. z

>> SYN/ACK

Голоспланеты

PLANET VIP-882:

VoIP-шлюзинетолько

ЯДЕРНЫЙOPENVZ Дляначаларазберем типичнуюситуацию:естьмощныйсервер,и естьжеланиезаработать,продажейместапод хостинг.Самымпростымидешевымвариантом «нарезать»физическийсервернавиртуальные являетсяиспользованиеOpenVZ(OpenVZ.

org)—расширениякядруLinux,реализую- щегоконцепциювиртуальнойсреды(Virtual Environments,VE).ВиртуализацияпроизводитсянауровнеэкземпляровОС,приэтомодно ядроиспользуетсядлявсехVE(ядрообеспечи- ваетвиртуализацию,изоляцию,управление ресурсамиисохранениетекущегосостояния каждоговиртуальногочастногосервера). МинусOpenVZочевиден:вкачествегостевых операционныхсистемможноиспользовать толькодистрибутивыLinux.Нозатоулучшается масштабируемость(поддерживаетсядо4096 процессоровидо64Гбоперативнойпамяти), упрощаетсяуправление,анакладныерасходы непревышают1-3%.Всепроцессыразделеныи полностьюизолированыдруготдруга,каждый выполняетсявсвоемадресномпростран-

стве,виртуальноесетевоеустройство(venet) позволяетиметьсвойIPиправиламаршрутизации.ИменнопоэтомуOpenVZтакпопулярен всистемаххостинга:клиентполучаетлюбое количествовыделенныхвиртуальныхсерверов сосвоимиприложениями,которыевнешне выглядяткакотдельныесервера,нопостроены наосновеоднойаппаратнойплатформы. РассмотримустановкуOpenVZвUbuntu/ Debian.Основнаясистемадолжнабыть64-бит- ной,таккаквэтомслучаеимеетсявозможность

использования64-битныхшаблоновОС.Аряд ограничений32-битныхОС(например,макси- мальныйобъемОЗУв4Гб)лимитируетнаспо количествусерверовивозможностидальнейшегорасширения.ДокументацияUbuntu рекомендуетиспользоватьдляхраненияобразоввиртуальныхмашинсистемууправления дисковымпространствомLVM,чтопозволит выполнятьпроцедурурезервногокопирования снулевымвременемпростоя(ZeroDowntime Backup)иизбежатьпроблемприподключении новыхдисков.Первымделомнужноотключить системузащитыSELinuxилиAppArmor.Проверяемтекущеесостояние:

$ dmesg | grep SELinux SELinux: Disabled at boot. $ dmesg | grep -i AppArmor

AppArmor: AppArmor initialized AppArmor: AppArmor Filesystem Enabled

ОстанавливаемработуAppArmorиудаляемего заненадобностью:

$ sudo/etc/init.d/apparmor stop

$ sudo update-rc.d -f apparmor remove $ sudo apt-get remove apparmor apparmor-utils

ОтключитьSELinuxможноразнымиспособами. Например,указатьпараметр«selinux=0»впараметрахядра,внастройкахзагрузчикаmenu. lst:«kernel....selinux=0»,либов/etc/sysconfig/

selinuxустановкой«selinux=disabled».Отклю- читьнемедленноможнокомандой:

$ sudo setenforce 0

Ubunt'овскоеядро,используемоепоумолча- нию,неподдерживаетOpenVZ,новофициальномрепозитарииужеимеетсядляэтого всенеобходимое.Крометого,можноскачать последнююверсиюядрассайтаOpenVZи собратьядросамостоятельно.Разработчики OpenVZпредлагаютRPMпакетыдляRHELи репозитарийдляUbuntu8.04LTS.Чтобыего

подключить,вфайл/etc/apt/sources.listследует добавитьстрочку:

deb http://download.openvz.org/ ubuntu hardy experimental

Обновляемсписокпакетовисмотрим,чтонам могутпредложить:

$ sudo apt-get update

$ sudo apt-cache search openvz

Ставимсамоепоследнееядровместесутилитамиуправления:

$ sudo apt-get install linux-openvz vzctl vzquota

Теперьнеобходимоизменитьнекоторые системныенастройки,дляэтогоправим/etc/ sysctl.conf:

$sudonano/etc/sysctl.conf

#Включаем форвардинг, отключаем ARP прокси net.ipv4.conf.default.forwarding=1 net.ipv4.conf.default.proxy_arp=1 net.ipv4.ip_forward=1 net.ipv4.conf.all.rp_filter=1 net.ipv4.conf.default.send_redirects=1 net.ipv4.conf.all.send_redirects=0

#Включаем магические SysRq клавиши (подробнее об использовании SysRq читай в статье «Секреты горячего администрирования» из X_03_2008)

kernel.sysrq=1

Сохраняемизмененияиприменяемих:

$ sudo sysctl -p

ЕслиVMбудутиспользоватьдиапазонIP-адресов,отличныйотреальной системы,товконфигеOpenVZпараметруNEIGHBOUR_DEVSприсваиваемзначениеall:

$ sudo nano /etc/vz/vz.conf

NEIGHBOUR_DEVS=all

Проверяемналичиезаписионовомядревконфигезагрузчика(она вноситсяавтоматическиприустановкепакета):

$ grep openvz /boot/grub/menu.lst

Следующийшагнеобязательный,ножелательный:многиеутилиты OpenVZпоумолчаниюиспользуютвкачестведомашнегокаталог/vz. Поэтомусоздадимсимволическуюссылку,чтобыизбежатьвозможных проблем:

$ sudo ln -s /var/lib/vz /vz

Послеперезагрузкисновымядромскачиваемв/vz/template/cache шаблонысистем,которыебудемиспользоватьдлявиртуализации(полныйсписоксмотринаwiki.openvz.org/Download/template/precreated). НапримерUbuntu:

$ wget -c http://download.openvz.org/template/ precreated/contrib/ubuntu-8.04.2-i386-minimal.tar.gz $ sudo cp -v ubuntu-8.04.2-i386-minimal.tar.gz /vz/ template/cache

Внутриархивасодержитсяминимальнаясистема.Онанелокализована, ноэтоможноисправитьужевпроцессеиспользования.Примассовом жеразвертываниилучшелокализоватьVMвконтейнере,изкоторогои создатьновыйшаблон.Винтернетеможнонайтисторонниесборкидля OpenVZ,напримерmodernadmin.com/downloads/?d=ostemplates/xen.

РАЗБОРКИСWEBVZ

ПанельWebVZ(webvz.sf.net)—достаточнолегкийипростойвиспользо- ванииинструментдляуправленияOpenVZ,написанныйнаRuby.Имеет встроенныйвеб-сервер(Webrick),дляхраненияданныхиспользуетсяБД SQLite.ПрипомощиWebVZможно:

•управлятьконтейнерамиOpenVZ(создавать,запускать,останавливать, удалять);

•переноситьконтейнерывдругойHostNode;

•создаватьиуправлятьфайламиконфигурацииOpenVZ,назначать

IP-адреса;

•управлятьшаблонами-копировать,создавать,удалять;

•управлятьработойOpenVZ;

•создаватьрезервныекопииивосстанавливатьработуVM;

•управлятьдоступом;

•получатьотчетыпоработеконтейнеров.

Однимсловом,все,чтообычноприходилосьделатьприпомощиконсольныхкомандилисамописныхскриптов.ПроцессинсталляцииWebVZ оченьлегкий.Управлениеконсольюпроизводитсячерез8887и8888 порты,поэтомуихследуетоткрытьвfirewall.Дляначаланампонадобятся всенеобходимыекомпонентыRubyиSQLite.ПакетыдляустановкиRails (rubyonrails.org)ужеестьврепозитарии,ноониобычнозапаздывают.Так, намоментнаписанияэтихстрокврепозитариинаходиласьверсия2.0.2, тогдакакдляработытекущейверсииWebVZтребуетсяRails2.3.2(последняя2.3.5,нонужнаименно2.3.2).ВUbuntuимеетсяспециальныйпроект UbuntuonRailsTeam(launchpad.net/~ubuntu-on-rails),предлагающий обновленныепакетыдляразработчиковRuby.Подключаемподдерживаемыйимирепозитарий,прописаввsource.list:

deb http://ppa.launchpad.net/ubuntu-on-rails/ppa/ubuntu hardy main

deb-src http://ppa.launchpad.net/ubuntu-on-rails/ppa/ ubuntu hardy main

Добавляемключ,чтобыAPTнеругался:

$ sudo apt-key adv --keyserver keyserver.ubuntu.com \ --recv-keys B6C6326781C0BE11

Теперьставимкомпоненты:

$ sudo apt-get install ruby rubygems libsqlite3-ruby \ sqlite3 irb libopenssl-ruby libreadline-ruby rdoc

Ксожалению,врепозитариинаходитсятакженесамаяпоследняяверсия rubygems,поэтомуэтотпакетнеобходимообязательнообновить,иначе дальнейшиешагибудутневозможны:

$ sudo gem update --system

Еслипослеэтогокоманда«geminstall»несработает,надоустановить rubygemsприпомощиархивасисходнымитекстами:

info

•OpenVZ—средство длясозданияизолированныхвиртуальных серверов.ПрииспользованииOpenVZ основнымиограничивающимифакторами являютсяскорость процессораиобъем оперативнойпамяти.

•Помимоограниченностиввыборегостевой операционки(только Linux-дистрибутивы), уOpenVZестьеще одинминус:всеконтейнерыиспользуют общийдисковыйкэш иобщийраздел подкачки.

•Оснастка

AuthorizationManager (AzMan.msc)пред-

назначенадляболее точногоделегированияполномочийна управлениеVM

всредеHyper-V.

dvd

Наприлагаемомк журналудискеты найдешьвидеоролик, вкоторомпоказан процессустановки

OpenVZ + WebVZ на Ubuntu Linux.

РедактируемконфигвWebVZ

создаютсядостаточнопросто,приэтомпользовательможет получитьправаадминистратора(Administration)иликлиента(Client).

ВOS-Templatesнаходимсписокустановленныхшабло- новдляOpenVZ.Используягиперссылки,можноудалить

шаблон,скопироватьегонаудаленныйсервер,пересобрать шаблонизконтейнера,здесьжедоступнассылканадругие шаблонынасайтеOpenVZ.

Чтобысоздатьновыйконтейнер,выбираемContainers— NewContainerизаполняемпредложеннуюформу,указав иливыбравприпомощираскрывающегоспискавладельца, ОС,файлнастроек,ID,имя,IP-адрес,имяузла,DNS-сервери парольroot.ПосленажатиякнопкиCreateполучимданныео созданномконтейнере.Вседостаточнопростоинетребует какой-либоподготовки.Выбравконтейнер,егоможноот- редактировать,удалить,перезагрузить,создатьрезервную копиюипроизвестимиграцию.

ЕслитеперьперейтивOS-Templates—Re-CreateTemplate, получимвозможностьпересобратьшаблонизконтейнера.

ПАНЕЛЬУПРАВЛЕНИЯHYPERVM

HyperVM (lxcenter.org) — популярная панель управления фермой как физических, так и виртуальных серверов (VPS/VDS). Продуманный интерфейс, построенный с применением веб-технологий, позволяет создавать виртуальные машины даже неискушенному пользователю. Несмотря на то, что HyperVM сделает за тебя достаточно

Proxmox Virtual Environment

ProxmoxVE(http://pve.proxmox.com/wiki/Main_ Page)—специализированныйLinuxдистрибутив дляразвертываниявиртуальныхсерверовна базеOpenVZиKVM.Сразупослеустановкипользовательполучаетполностьюготовуюсистему виртуальныхсерверовпромышленногоуровняс управлениемчерезweb-интерфейсиподдержкой кластеризации,включаявозможностьмиграции виртуальныхокруженийсодногоузланадругой безостановкиработы.

Текущаяверсия—1.5 Лицензия—GPLv2

РазмеринсталляционногоISO-образа—327Мб

Этотдистрибутивтынайдешьнаприлагаемомк журналуDVD-диске.