Ubuntu 14.10. Проблемы после обновления с 14.04

После обновления до Ubuntu 14.10  у меня возникли две проблемы. Первая, которая уже была описана ранее - ломается gnome ssh askpass, необходимо запустить вручную от пользователя в консоли
eval `gnome-keyring-daemon --start` 

Вторая - ломается VPN в gnome network manager. При попытке подключиться по VPN - тишина, а в логах что-то типа такого:

Nov 21 12:28:01 localhost NetworkManager[1113]: <info> Starting VPN service 'openvpn'...
Nov 21 12:28:01 localhost NetworkManager[1113]: <info> VPN service 'openvpn' started (org.freedesktop.NetworkManager.openvpn), PID 3928
Nov 21 12:28:01 localhost NetworkManager[1113]: <info> VPN service 'openvpn' appeared; activating connections
Nov 21 12:28:01 localhost NetworkManager[1113]: <error> [1416565681.435869] [nm-vpn-connection.c:1374] get_secrets_cb(): Failed to request VPN secrets #2: (6) No agents were available for this request.
Nov 21 12:28:01 localhost NetworkManager[1113]: <info> Policy set 'Wired connection 1' (eth0) as default for IPv4 routing and DNS.
Nov 21 12:28:06 localhost NetworkManager[1113]: <info> VPN service 'openvpn' disappeared

Решение:
Зайти в ~/.gconf/apps/nm-applet/
и удалить %gconf.xml. После чего logout-login, и все начинает работать.

Amazon EC2: обновление ядра linux в AMI

Одним из первых вопросов системных администраторов, которые начинают работать с сервисами Amazon, является: "а как обновить ядро в моем инстансе?".

До сравнительно недавнего времени ответ был один: "никак". Точнее, ядро можно было сменить, но только на одно из предоставляемых Amazon. Однако, ничто не стоит на месте. Появилось сразу два решения этой проблемы.

Первое: Амазон выпустил свой Amazon Linux (на базе RedHat Linux, но с массой изменений, в частности, kernel версии 3.х.х). В случае использования этого дистрибутива, проблемы нет вообще: обычное обновление инстанса через обычный yum с репозитариев Amazon.

Второе: Amazon наконец-то позволил обновлять ядра и сторонних дистрибутивов. Правда, не для запущенного инстанса, а для AMI, но все равно - это уже намного лучше, чем было. По крайней мере, если очень нужно, то можно сделать, хоть и с бОльшими трудозатратами.

Вот про этот второй способ я и расскажу.

OSSEC 2.7 - продолжаем патчить segfault

Проблемы с ossec 2.7, к сожалению, не закончились. Сегодня поймал просто сказочную багу.

Согласно документации настроил проверку логов, используя wilcards:
<localfile>
<log_format>apache</log_format>
<location>/var/log/nginx/*.log</location>
</localfile>

Разумеется, файлов с логами было довольно много, порядка 20-30 штук.
При попытке запустить ossec ловим segfault на вычитке конфигурации! Честно говоря, я был в шоке.
Убедился, что segfault вызывает именно наличие wildcard, и полез дебажить и читать исходники.

OSSEC - система IDS. Опыт начинающего :): ossec-logcollector segfault

Проблема детектирования вторжения и/или атаки рано или поздно встает перед любым админом.
Существует много разных IDS, базирующихся на разных принципах. От простых анализаторов логов до сложных аппаратно-программных комплексов.

Передо мной, собственно, поставили достаточно четкую задачу. Нужно пройти PCI DSS, в частности, решить проблему с широко известными в узких кругах пп.10.5 и 11.5 :)

Серверов много. Поэтому очень желательно решение с централизованным управлением и отчетами. Есть, конечно, коммерческие решения. Но они весьма и весьма недешевы. С другой стороны, меня заверили, что было немало прецедентов прохождения PCI с использованием OSSEC - Open Source Host-based Intrusion Detection System. Поэтому, закатав рукава, беремся за работу.

За основу была взята версия 2.7-beta. Выбор, может конечно, показаться несколько странным, но версия 2.6 имела ряд недостатков конкретно для существующего окружения и показала себя местами весьма нестабильной.

"Хозяйке на заметку" - Работаем вдвоем на одной консоли (шелл).Подводные камни при работе с ssh

Иногда в практике админа возникает необходимость проконтролировать, а что и как, собственно, делает пользователь и/или младший админ на консоли. Например, в процессе показа и обучения пользования ОС или какими-то ее особенностями. В частности, не так давно мне нужно было обучить junior админа некоторым небольшим фокусам в linux. Ну хорошо, если они (админ и обучаемый) сидят в одной комнате или хотя бы живут в одном городе. А если на разных континентах?

Очень удобно в таких случаях работать одновременно на одной консоли. Казалось бы - достаточно расшарить экран хотя бы по тому же скайпу. Но как быть, если учителю нужно набрать пару команд и показать результат и действия? Пользоваться платными сервисами для создания вебконференций? "Шурик, это же не наш метод!" (с) :) Все гораздо проще.

Баг в Adobe flash под linux (цветопередача)

На днях сделал yum update, и был неприятно удивлен. На youtube.com (и только на нем!) возникли проблемы с цветопередачей. Видео начало очень напоминать кадры из фильма "Аватар" - те же синие лица :(

Гугление показало, что проблема не только у меня, множество жалоб после обновления. Проблема наблюдается как под Firefox, так и под Chrome.

Собственно, можно решить проблему, переключившись на youtube на HTML5 ( http://youtube.com/html5 ), но как-то этот новый режим работает не очень устойчиво ( у меня видео зачастую просто не воспроизводилось).

Рецепт (проверенный), как починить:

# mkdir /etc/adobe
# cat > /etc/adobe/mms.cfg
EnableLinuxHWVideoDecode=1
OverrideGPUValidation=true

Т.е. создаем файлик /etc/adobe/mms.cfg с указанным выше содержимым. Перезагружать бровзер мне не потребовалось.

RHEL 5 SAN boot: подготовка HP ProLiant BL465c G7 к загрузке с SAN

В Enterprise системах надежность и минимизация времени простоя ставятся во главу угла. Кластерные системы это. конечно. замечательно, но в некоторых случаях использование кластеров невозможно. Это могут быть как софтверные ограничения, так и политика компании. Например, наши ДБА отказались от использования кластеров Oracle по причине некоторых ограничений в используемых приложениях (не совсем корректная работа с ДБ в режиме кластера).

Но что делать, если отдельный бокс (blade) вдруг поломается? Техника HP, конечно, весьма надежная, но, в моей практике был случай, когда блейд через почти два года аптайма повис и управлять им было невозможно до тех пор, пока его физически не вытащили из гнезда и не поставили на место. Все бы ничего, но до датацентра из самой ближней точки полтора часа на машине. Даунтайм совершенно неприемлемый.

Конечно, можно (и нужно) ставить "запасной" (standby) сервер. Вот только для его активации нужно время - перенастроить database, перенстроить приложения (а их очень немало).

И дело не только в аварии. Штатная операция по апгрейду (смене блейдов) выливается в массу затраченного времени, связанного с инсталляцией нового сервера. перенастройкой на него приложений, проверке всего и т.д. Идеально было бы просто переставить диски из старого сервера в новый, но так поступить нельзя по ряду причин (например, важная причина: старые диски уже отработали пару лет и неизвестно, сколько они проработают еще)

Ок, что же мы можем предпринять?

Citrix XenServer: xe-edit-bootloader trick

Иногда нужен доступ в FS гостевой VM (domU). В Citrix XenServer сделано много изменений и фокус, как в обычном Xen тут не проходит.
Самый простой способ (разумеется, речь идет о linux с его FS):
Логинимся на сервер. Далее:
# xe-edit-bootloader -n MyVM -p 1
где MyVM - имя виртуальной машины, 1 - номер раздела, на котором находится /boot (я обычно выношу в отдельный небольшой раздел, первый)

Данная команда позволяет загрузить в текстовый редактор (и отредактировать, конечно) меню grub гостевой VM. Это полезная фича, но есть еще не менее полезное побочное действие: появляется доступ к виртуальному диску из dom0.
Важное примечание - VM должна быть остановлена, иначе ничего не получится.

Citrix Xen: инсталляция RedHat по сети при помощи kickstart

Как известно, технология быстрой установки по сценарию (kickstart) позволяет сэкономить системному администратору массу времени. Я активно использовал эту технологию при установке виртуалок на VMware, но. к сожалению, у Citrix Xen это не совсем тривиальная задача. Проблема осложняется еще тем, что Citrix по непонятной причине не поддерживает PXE boot для PV VM.

Процедура установки по сети и использования kickstart есть в документации на Citrix XenServer. Я опишу просто способ, как наиболее быстро и легко в окружении. подобном моему, это реализовать, и некоторые тонкости.

Итак, окружение:

• в сети есть DHCP сервер


• в сети есть сторадж, доступный по NFS и FTP. Строго говоря, достаточно и FTP, просто по NFS установка происходит заметно быстрее


• есть хост с установленным Citrix XenServer версии 5.6 (я использую последнюю на текущий момент версию 5.6.100 SP2)


• есть хост, на котором запущен XenCenter (им просто удобно пользоваться)

Xen: Реинициализация загрузчика для переинсталяции VM

В Xen столкнулся с проблемой. Создаем новую VM, запускаем инсталляцию и тут по какой-то причине ее приходится прервать (ну, например, изменить параметры загрузчика или вообще не ту версию linux надо ставить). Если просто перезагрузить VM, то она уже не желает грузиться с DVD образа, а сообщает об ошибке: Failed: WARNING: /dev/xvda is not a disk image

Проблема связана с pygrub. Лечится очень просто. Нам понадобится uuid VM (можно посмотреть либо в Xencenter или другой GUI тулзе либо через команду xe). Логинимся на консоль сервера. Далее исправляем содержимое параметра PV-bootloader:

xe vm-param-set uuid=<VM UUID> PV-bootloader=eliloader

Cisco VPN клиент и мобильный интернет GSM через модем Huawei E1550

Купил себе на поиграться и на всякий случай как запаску модем Huawei E1550 от Киевстара с акционными 2мя месяцами инета. Коротко: модем работает нормально, скорость (у меня 2G пакет, за 199 грн) прыгает от 32к до 200к. 3G от Укртелекома, к сожалению, у меня дома почти не работает - очень слабое покрытие, т.к. то 200-256к, то вообще ничего.

Но основная проблема у меня возникла при попытке запустить Cisco VPN client. По UDP соединяется, проходит авторизацию, но трафик через VPN соединение не идет :( Попробовал переключиться на TCP - вообще не коннектится!

В то же время через PeopleNet (модем CCU-550) - все работает замечательно. Т.е. проблема не в локальном файрволе и не в VPN сервере.
Позвонил в техподдержку - меня заверили, что со стороны провайдера ограничений нет.

OS - Windows 7 Home Premium

В общем, после некоторого разбирательства причина найдена. В программе дозвона в настройках драйвера модема ("Общие") есть два режима работы: RAS и NDIS. По умолчанию установлен NDIS. Как только я переключил на RAS - все отлично заработало.

Subversion поверх HTTPS с авторизацией в LDAP - проблемы настройки искорости

Переезжаем на SVN. Всякие преимущества по сравнению с CVS расписывать не буду - в инете навалом.
Опишу несколько тонкостей и граблей, с которыми столкнулся.

Перво-наперво описание задачи.
Очевидные требования: криптование, централизованная авторизация.

После ряда размышлений остановился на связке SVN поверх HTTPS в связке с LDAP.

svn+ssh неудобно администрировать при большом количестве девелоперов и не-девелоперов, кому нужен доступ (анонимного доступа к репо нет)
Да и с LDAP там не так просто - на консоль сервера девелоперов пускать не стоит.

Первый этап - конфигурация Apache + SVN + LDAP. SSL коснемся отдельно - там закопаны здоровенные грабли. которые у меня отняли с неделю разборок :)

NAS Openfiler - установка на USB flash в зеркале

На днях для нужд местного офиса собирали NAS.

От FreeNAS пришлось отказаться по двум серьезным причинам:

• Не умеет Active Directory. Хотя в тамошнем FAQ и написано. что кому-то как-то удалось прикрутиться, но официально поддержка не заявлена


• Файловая система не журналируемая

Рассматривали NexentaStor, штучка симпатишная. Возникли траблы при подключении к AD, нормально не удалось подключиться к контроллеру на базе W2k8

Остановились пока на OpenFiler. В нем свои грабли, разумеется, тоже есть.

Tomcat 6 - включение APR и управление web приложениями

Ставил tomcat6. Возникла небольшая проблема - не активировался apr, в логах ошибка:

INFO: The APR based Apache Tomcat Native library which allows optimal performance in production environments was not found on the java.library.path

Простая доустановка libapr-1 ( пакет apr ) не помогает, tomcat все равно не хочет работать
Погуглил. Как-то все невнятно описано, пришлось глубже разбираться.

Sysadmins day

Всех админов с профессиональным праздником!

Много пива, дружественных юзеров и чтобы все стояло и не падало!

:)

Установка Mac Os X в эмуляторе virtualbox на linux

В последнее время все больше народу на просторах бывшего Союза ;) интересуются продукцией Apple. Ну, про iPhone с iPad я рассказывать ничего не буду, зато смогу немного про MacOS X. Точнее даже не про нее, а про то, как с ней познакомиться, не покупая дорогущую железку.

В самом деле, платформа у маков - Intel. Вполне логично поставить эмулятор и внутри него развернуть MacOS. Hackingtosh - вещь хорошая, но! Это патченый дистрибутив, с изменениями в ядре системы. И никто не гарантирует, что какой-то вылезший глюк - не есть результат патча.

К счастью, Oracle очень сильно помог потенциальным любителям надкусанных яблок, включив в virtualbox поддержку MacOS. Официально в эмуляторе можно запустить макос только при условии, что хост-платформа тоже Mac. На деле все оказывается гораздо приятнее - можно установить оригинальный дистрибутив MacOS X в эмулятор!

Информации в сети по этому вопросу много. Однако мне не удалось найти 100%-го решения, на практике пришлось собирать информацию по частям и действовать методом научного тыка. Далее я опишу полностью рабочую последовательность. Разумеется, я не могу гарантировать, что все сработает как надо на другой машине, но у меня все получилось

SAN storage - изменение размера диска (RHEL5)

Достаточно частая задача - увеличить размер диска, выделенного на SAN
Как правило ко мне с такой задачкой регулярно обращаются DBA, когда их база в очередной раз норовит заполнить выделенное пространство :)
Разумеется, никто не мешает поступить максимально просто - выделисть новый виртуальный диск на SAN, подключить его скопировать данные на новое место. Однако, для больших дисков (а для баз данных 100-200 гигабайт это вполне заурядный размер) это занимает массу времени. А если нужно проделать операцию для 2х-5ти серверов?

Гораздо быстрее будет увеличить виртуальный диск средствами SAN, а потом изменить размер FS средствами OS.
Делается это очень просто. Рассмотрим случай для RHEL 5

IspCP Omega 1.0.5 - новая версия

В очередной раз попросили поставить IspCP Omega, неплохую хост-панель. Последняя версия на текущий момент - 1.0.5

Ну, что можно сказать - заметное улучшение, много багов пофиксили.

Один, правда, остался, со статистикой. Если awstats запускать в режиме static pages, неверно в кроне генерится путь к awstats_buildstaticpages.pl

Bash и кавычки внутри переменной

Сегодня бился головой об стенку.

Имеем проблему: некий bash-скрипт подтягивает переменную из файла и передает ее как параметры на выполнение приложению. Грубо говоря, где-то так:

PARAMS="-par1 parameter"

/usr/local/bin/application $PARAMS

Собственно все элементарно и банально. Проблемы начались, когда в качестве параметра понадобилось передать значение, содержащее двойные кавычки и пробелы.

HP EVA - ч.2

Продолжаем играться.

Сторадж не любит больших нагрузок :(
В общем, на днях наступили на грабли (и HP признали баг, ждем патча) - в определенных ситуациях, при нагруженном сторадже работа со снапшотами привела к ребуту обоих контроллеров (!). В результате получили даунтайм 4 мин стораджа и минут 40 - серверов (пока все приложения повосстанавливали).

Особенно досталось Ораклу - линукс перевел сетевой сторадж в RO, оракл обиделся....