Erlebnisse eines Rootserver (Beinahe-) Neulings
Die letzten Tage hatte ich einen weissen Asus EeePC für einen Artikel (Test, Modding, Installation anderer Distributionen), der in etwa zwei Wochen in der Zeitschrift linuxlife erscheinen wird. Das Testgerät mit US-Tastatur ist auf dem Weg zurück in die Redaktion in München und weil weitere Zeitschriften Workshops zum EeePC geordert haben, steht neben mir noch ein schwarzes, noch originalverpacktes.
Die Ende 2005 erschienene SuSE 10.0 war die erste Nürnberger Distribution mit offener Beta-Phase, im Gegensatz zu den Vorgängern war sie sofort als Open Source Variante zum Download verfügbar. Angesichts der recht konservativen Softwareauswahl wäre aus technischer Sicht die Versionsnummer 9.4 wohl angemessener gewesen. Dennoch erlangte die 10.0 bei Providern nicht die Beliebtheit der Vorgängerversion 9.3.
Nun ist es also so weit: 10.0 wird abgekündigt, es folgen keine Updates mehr. Wer noch eine 10.0 oder 9.3 fährt, sollte schleunigst auf eine neuere Version umsteigen. Leider war der Update-Pfad in den letzten zwei Jahren bei SuSE besonders steinig: Gerade der zuerst in 10.1 eingeführte und den folgenden Versionen wieder entfernte Zenworks Management Daemon zickt gerne — eine saubere Neuinstallation ist deshalb oft die beste Lösung, glücklicherweise ist die per VNC problemlos durchzuführen, auch wenn man keinen physikalischen Zugriff auf den Server hat.
Mein Kritikpunkt der letzten Abkündigung, dass einige Anbieter von Rootservern noch die abgekündigte Version im Angebot haben, ist dieses Mal nicht nötig: Die meisten großen haben den direkten Sprung von 9.3 auf 10.1 vollzogen. Spannend wird es also wieder in sechs Monaten, wenn 10.1 abgekündigt wird.
Update, 17. Januar 2008: Xen 3.2 final wurde heute veröffentlicht. Golem berichtet darüber.
Ein großes Problem bei vielen Virtualisierungstechnologien ist die fehlende Möglichkeit, in einem Gastsystem “rohen” Zugriff auf einzelne Hardwarekomponenten zu erhalten. Zwar bieten VMware und andere das Durchreichen von USB-Geräten, doch das ist eine Lösung, die für physikalisch vom Netz des Wirts getrennte Firewalls oder RAID-Subsysteme nicht wirklich akzeptabel ist. Eine interessante Abhilfe bietet Xen, wo mit vertretbarem Aufwand Gäste direkten Zugriff auf PCI-Karten bekommen.
Nachdem Oracle bereits vor einigen Tagen seine Xen-Version vorgestellt hat, ist endlich Sun dran: Als xVM wird ein modifizierter (?) Xen-Hypervisor angeboten werden, der Solaris-Instanzen ausführen wird. Das Produkt passt hervorragend in Suns Angebotspalette: Wer Solaris virtualisieren wollte, musste bislang zur recht teuren Niagara-Architektur greifen — bei dieser gibt es einen massiv in Hardware unterstützten Hypervisor gratis dazu. Zu Einstiegspreisen ab ca. 3000€ netto bekommt man zwar gut auf I/O und Multithreading optimierte Hardware und die Möglichkeit dutzende Linux- und Solaris gleichzeitig zu starten, muss aber auf x86-Binärkompatibilität verzichten. Daneben bietet Sun mit den Solaris Zones eine Containerlösung, die ähnlich den BSD-Jails, Linux-VServer oder OpenVZ funktioniert — performant aber nicht ideal, es hilft auch nicht, dass man in eine Solaris-Zone dank Linux-ABI einen Linux-Container stecken kann: Es bleibt ein Solaris-Kernel mit allen Eigenheiten.
Bleibt zu hoffen, dass xVM nicht mit den langsam etablierten Xen-Schnittstellen bricht. Ich möchte in der Lage sein, auf einem normalen Xen eine openSOLARIS-Instanz auszuführen und umgekehrt unter xVM Linux-Instanzen mit xenifiziertem Distributionskernel. Dass ich viel Xen nutze, dürfte sich mittlerweile herumgesprochen haben. Ich durfte in der letzten Zeit so auch die Nachteile von Xen kennenlernen. Insbesondere Wünsche ich mir eine einfache Möglichkeit, leichtgewichtige Virtualisierung (aka Chroot-Erweiterungen) auf schwergewichtiger Virtualisierung (aka Xen) nutzen zu können — und so letztlich mehr aus der Hardware rauszuquetschen als mit Xen und dennoch deutlich flexibler zu sein als nur mit leichtgewichtiger Virtualisierung.
Scheint, dieser Traum könnte mit openSOLARIS-Zones auf Xen Wirklichkeit werden.
Ich warte ja schon seit einer Weile auf eine offene, freie, schnelle Firefox-Alternative. Dazu wünsche ich mir Plugin-Kompatibilität mit Firefox und die Wahl zwischen einem Gtk+- und einem Qt-Interface. Wunschtraum? Mitnichten. WebKit, die Browser-Engine, die als KHTML begann, von Apple weiterentwickelt wurde und nun — nach einigen Querelen — die Basis für künftige KDE-Browser abgibt, kann all das.
WebKit ist derzeit Hype: Origyn auf Internet Tablets wird Webkit als Engine verwenden, Safari kommt auch für Windows und Linuxer, die kein KDE wollen werden mit einem WebKit-Epiphany bedient. Dazu bringt Qt4.4 — und damit viele Windows-Anwendungen künftig Webkit als Rendering-Engine für Helpfiles etc. Webdesigner werden also nicht drumrumkommen, WebKit in die Liste der Testbrowser aufzunehmen.
Spasseshalber hab ich mir deshalb mal unter Gutsy Webkit aus dem SVN gezogen. Mondaybynoon zeigt recht gut, wie das geht. Der Startbefehl war beim Build vom 3. November 2007 etwas anders, aber ansonsten läuft das Ding:
WebKit/WebKitBuild/Release/bin/QtLauncher
Viel Browser ist noch nicht zu sehen: Es gibt keine Möglichkeit, die Schriftgröße zu setzen und die Navigation ist noch ziemlich einfach (vor, zurück, neu laden und abbrechen). Dennoch kann man sich bereits einen Eindruck über Bugs, Fähigkeiten und Geschwindigkeit verschaffen — trotz sehr geschwätziger Debug-Meldungen.
Am 18. Oktober soll Ubuntu 7.10 veröffentlicht werden. Die Pakete wurden schon vor ein paar Tagen eingefroren, so dass es mir möglich war, mit dem Netinstaller zwei VMware-Images zu erstellen. Die einzelnen Pakete entsprechen bereits der finalen Version allerdings hatte der Netinstaller in den letzten Tagen noch ein paar Bugs, so dass zu viele Pakete installiert wurden. Ich habe das von Hand korrigiert, indem ich offensichtlich unnötige Pakete entfernt habe.
Als Images stehen zur Verfügung:
Auf Images mit Kubuntu und Xubuntu verzichte ich zunächst. Installiert einfach in der Gnome-Version mit Synaptic die Metapakete kubuntu-desktop oder xubuntu-desktop nach. Für volles Kubuntu-Feeling muss danach noch mit dpkg-reconfigure kdm der Loginmanager umgestellt werden.
Auch an Suse-Fans habe ich gedacht:
Bei allen Images ist der Standardnutzer tux, sein Passwort ist leer — und damit bei Ubuntu das Passwort für sudo-Aktionen. Bei openSUSE ist auch das Root-Passwort leer. Achtung, Netzwerkmodus ist “Bridged, ggf. auf “NAT” umstellen!
Auf Single-Layer-DVDs passen bekanntlich nur 4,7 Mrd. Bytes, was verglichen mit aktuellen Festplattengrößen nicht besonders viel ist. Wer häufig Projektdateien (oder Logdateien) in einer Form archivieren muss, die später einen leichten Zugriff erlaubt, wird zudem schnell an die Grenzen der typischen CD- und DVD-Dateisysteme stoßen:
Früher habe ich mich damit beholfen, komprimierte Tar-Archive direkt (!) auf CDs und später DVDs zu schreiben. Der Nachteil dieser für Datenträger mit sequentiellem Zugriff konzipierten Lösung liegt auf der Hand: Um an einzelne Dateien heranzukommen muss der gesamte Datenträger eingelesen und das gesamte Archiv entpackt werden.
Eine bessere Lösung liegt nahe: SQUASHFS kommt vor allem bei Live-Distributionen für den Container zum Einsatz, wird deshalb bei vielen Distributionen mitgeliefert. Dieses Dateisystem kann gemountet werden: So findet man schnell Einzeldateien ohne sich /tmp/ volllaufen zu lassen. Dank der Duplikatserkennung ist die Komprimierung zudem äußerst effizient. Ein SQUASHFS-Dateisystem wird wie ein ISO-Dateisystem erstellt:
mksquashfs /mein/projekt /tmp/projekt.sqfs
Gebrannt wird dieses als wäre es ein ISO9660-Dateisystem
growisofs -dvd-compat -speed=8 -Z/dev/scd0=/tmp/projekt.sqfs
So erstellte Datenträger können auf jedem Linux mit geladenem SQUASHFS-Modul gemountet werden:
mount -t squashfs /dev/scd0 /media/cdrom0
Fehlt das Kernelmodul, können Userspace-Tools zum Entpacken wie unsquashfs zum Einsatz kommen.
Nachtrag, 9. November 2007:
Endlich hat Xen Eingang in den Linux-Kernel gefunden. Bislang zwar nur als DomU, doch das ist schonmal ein guter Anfang: Dom0 ist bei den meisten Webservern, die Xen nutzen eh nur per SSH erreichbar, so dass das typische “Cracking-Szenario” — Shell-Exploit in einer Webanwendung und anschließender lokaler Root-Exploit kaum wahrscheinlich ist. Bei untervermieteten DomUs, deren Nutzer nicht gerade die sicherheitsbewußtesten sind, durfte man zwischen der Erkennung von Sicherheitslücken und der Verfügbarkeit gepatchter Kernel immer Tage bis Wochen bangen.
Noch habe ich 2.6.23 nicht getestet. Spannend bleibt insbesondere die Frage nach Aktualität und Xen-Kompatibilität: Zumindest in der Vergangenheit sind die Distributionskernel nicht immer durch 100%ige Kompatibilität zum Vanilla-Xen-Hypervisor aufgefallen. Bleibt zu hoffen, dass der Vanilla-Linux-Kernel zeitnah zum Original-Xen aktualisiert wird.
Siehe auch:
Und etwas Eigenwerbung:
Mehr als mißverständlich ist Gartners Studie, die im Kaffeesatz liest, dass es nach 2009 keine neuen Unix-Anwendungen gäbe. Klingt grausam? Wer näher hinschaut, muss feststellen, dass nicht etwa Unix plötzlich ohne Anwendungen dastehen soll, sondern nur die Rede ist von Anwendungen, die bislang ausschließlich für große, fette, unfreie Unices entwickelt wurden. Das ist bereits weitestgehend der Fall, lediglich einige sehr spezielle Anwendungen wie Opels FE-System “Regatta” benötigen Software, die auf ein Gesamtsystem (Hard- und Software) optimiert wurde.
Die Rolle des Brot- und Butter-UNIX von PDA bis zur zSeries hat bereits vor Jahren Linux übernommen. Dass sich damit nicht unbedingt die technisch beste Lösung durchgesetzt hat, kann ich verkraften, alleine der durch Linux erreichte Grad an Homogenität gegenüber der Situation vor etwa zehn Jahren ist eine deutliche Erleichterung für Anwender und Admins. Wirklich sterben werden die großen Unices nicht so schnell — they’ll just fade away — wenn es dann aber soweit ist, finden Dateisysteme und Konzepte aus “fremden” Kerneln den Weg in Linux und die BSDs.
Schon viele sterbende Sterne haben neue Sonnen geboren.
In meinem privaten Blog entsteht derzeit eine kleine Serie zum Wiedernutzbarmachen eines alten Subnotebooks (im konkreten Fall geht es um ein Fujitsu-Siemens Lifebook B142). Die Installation auf dem Gerät ohne CD-Laufwerk und Netzwerkkarte dürfte auch den einen oder anderen Rootserveradmin interessieren, der für unterwegs ein billiges, leichtes “Admin-Frontend” sucht und darauf Linux installieren möchte:
Es ist soweit. Nach fast acht Jahren FreeBSD und praktisch nahtlose Updates seit FreeBSD 3.2 bis 6.2 steht nun eine Ablösung auf meinem Desktop an. Das beste wird durch das zweitbeste aller Betriebssysteme ersetzt. Die Gründe sind vielfältig, aber der Schritt zu Linux ist nun einfach vernünftiger:
Ein FreeBSD-Rechner bleibt wohl im Büro, sei es nur zu Testzwecken. Auf dem Server werde ich bei FreeBSD bleiben. Ich betreibe zwar auch drei Server mit Xen und einigen Linux-Instanzen, aber FreeBSD hat doch den einen oder anderen Vorteil: (more…)
Mit dem Umzug unseres büroweiten DHCP-Servers auf eine eigene Xen-Instanz haben wir die Gelegenheit genutzt, auch den Bootserver neu aufzusetzen: Für Distributionstests, Arbeiten an Kundenrechnern oder Backups — die leichter durchzuführen sind, wenn keine geöffneten Dateien vorliegen — leisten wir uns schon seit einer Weile eine Xen-Instanz, die PXE fähige Clients mit einer Auswahl verschiedener via Netzwerk gestarteter Systeme und Linux-Installer zu versorgen. Viel Aufwand ist das Aufsetzen eines Bootservers nicht: Es genügt ein richtig konfigurierter DHCP-Server und ein TFTP-Daemon. Hilfreich, aber keinesfalls zwingend erforderlich ist ein NFS-Server. Linux-Distributionen und BSDs, die einen NFS-Server benötigen, werde ich deshalb zu gegebener Zeit separat behandeln.
Erster Schritt: DHCP-Server
Erster Schritt bei der Konfiguration ist der DHCP-Server, ideal ist die weit verbreitete und extrem konfigurable Version des Internet Software-Consortiums, die bei debianesken Distributionen als dhcp3-server verfügbar ist. Sollte ein DHCP-Server im DSL-Router vorhanden sein, deaktivieren Sie diesen dauerhaft: Zwei DHCP-Server, von denen einer Boot-Informationen ausliefert und der andere nicht, können ganz schön Verwirrung stiften. Eine kompakte, aber für den Start per PXE ausreichende Konfigurationsdatei /etc/dhcp3/dhcpd.conf kann wie folgt aussehen: (more…)
Wer das 4MB Mini-Linux bauen möchte oder einfach ein kompaktes statisches Binary beispielsweise der BusyBox oder des Dropbear-SSH-Servers benötigt, sollte das in einer uClibc-Chroot-Umgebung tun. Denn uClibc führt nicht nur zu kompakteren Binaries, sondern vermeidet jegliche dynamisch gelinkten Bibliotheken — beim Bauen einiger Tools gegen glibc, die Login-Funktionen nutzten, werden einige glibc-Komponenten immer dynamisch verwendet. (more…)
Fast hätte ich es vergessen: Seit gut zwei Wochen gibt es keine Sicherheitsupdates mehr für SuSE 9.3. Das ist nichts außergewöhnliches, denn SuSE kündigt den Support — je nach Beliebtheit einer Distribution — regelmäßig 24 bis 30 Monate nach deren Erscheinen ab und nennt rechtzeitig ein Datum für die Einstellung des Supports. Bei SuSE 9.3 war dies am 8. März der Fall — umso erstaunlicher, dass heute noch einige Provider Server mit SuSE 9.3 anbieten: Strato (beim Einstieigerangebot “PowerServer” als Option SuSE 9.3, 10.0 und Debian 3.1) und 1&1 als einziges beworbenes Betriebssystem bei den 1&1 “Root Servern”. Immerhin kann man nach meinem Kenntnisstand aus dem Kundenmenü heraus einfach aktuellere Systeme installieren.
Ob der erforderliche Mehraufwand zumutbar ist, soll jeder für sich selbst entscheiden. Da häufig eine andere Partitionierung erforderlich ist, setzen zumindest erfahrene Nutzer ihren Server gleich am Anfang neu auf. Bei Suse geht das ganz nett per VNC mit Kernel und Ramdisk der Installations-DVD: openSUSE 10.1 Remote-Installation im Hetzner-Wiki (klappt auch bei anderen Providern und mit 10.2).
Update: Entgegen ursprünglicher Ankündigungen wurde das letzte Update am 18. Juni veröffentlicht. 1&1 hat seine Rootserverangebote mittlerweile auf openSUSE 10.1 umgestellt. Strato listet beim PowerServer immer noch ein optionales 9.3.
Für Wartungsaufgaben habe ich immer ein Knoppix auf USB-Stick am Schlüsselbund, mit dem sich beim Kunden vor Ort auch mal schnell havarierte Server flott machen oder Datensicherungen erstellen lassen. Ich habe “meinen” Stick nun mit Bootmenü versehen und zusätzlich den openSUSE-Installer darauf untergebracht (erspart Windows-Support im Freundeskreis).
Ihr könnt das “Komplettpaket” unter news.mattiasschlenker.de herunterladen.
Ich gebe es zu: So ganz passt die FRITZ!Box nicht in das übliche Beuteschema dieses Blogs. Doch neuere Boxen mit USB-Anschluss lassen sich in einen per DynDNS ständig erreichbaren Server umbauen. Als Webserver kann sogar ein Apache mit PHP dienen und auf Wunsch lädt der Bittorrent-Client ctorrent auch nachts ohne aktivem PC im Netz selbständig Linux-ISOs aus dem Netz.
Wie es funktioniert? Eine uClibc-Chroot-Umgebung auf USB-Festplatte und ein Script, das die Umgebung mountet und einen Dropbear SSH-Server in ihr startet, genügt. Ich habe alle Komponenten vorbereitet und biete sie zum Download an.
Gehen Sie wie folgt vor, um die Chroot-Umgebung zu starten: (more…)
Betreiber von Rootservern, die noch unter SuSE 9.2 laufen, sollten sich sputen: der Support wurde vor bald drei Wochen eingestellt, es wird keine Sicherheitsupdates mehr geben. Das einst stabile Haus ist dem Verfall preis gegeben. Mit der Einstellung von 9.2 tickt auch die Uhr für SuSE 9.3: Im April wird es
die letzten Sicherheitsupdates geben.
Unterdessen wurde openSUSE 10.2 veröffentlicht. Nach anfänglichen Glitches beim neuen, libzypp-basierten Paketemanagement in 10.1 (kaum bemerrkbar bei Internet-Installation, teilweise aufgefangen durch eine “Remastered Version”) soll 10.2 nun von Anfang an sauber laufen. Im Serverbereich wurde vor allem Versionskosmetik durchgeführt, Desktop-User dürfen ein neues Startmenü ausprobieren und Xen mit einem neuen grafischen Assistenten einrichten.
Wie aufwendig muss ein minimales Linux-Rettungssystem sein? Die Multicall-Binaries Dropbear und Busybox zeigen, dass ein vollwertiges Linux auf weniger als vier Megabyte Platz hat. Das System kann auf Rootservern benutzt werden, um Backups zu erstellen und zurückzuspielen oder eine Firewall zu realisieren. Im Beispiel boote ich mit einem auf Platte installierten GRUB. Da nur eine Initrd und kein Root-Dateisystem benötigt wird, ist der Boot via PXELINUX aber genauso gut möglich.
Das hier vorgestellte System basiert auf den Komponenten:
Update: Auf cdprojekte.mattiasschlenker.de steht ein fertiges ISO-Image mit vielen IDE- und SATA-Treibern zur Verfügung. Dieses sollte nicht in Produktivumgebungen eingesetzt werden, da es seine IP-Adresse per DHCP bezieht und ein schwaches Rootpasswort (“test”) verwendet!
Grub ist zu komplex und LILO zu umständlich? Warum nicht einmal den Bootloader EXTLINUX probieren? Der muss wie GRUB nicht nach jeder Kernel-Installation neu aufgerufen werden, ist aber so simpel handzuhaben wie LILO und bietet sogar Menüs. Die Bootloader der Syslinux-Familie kennt man sonst nur von Installations-CDs oder USB-Sticks. Absolut zu unrecht, denn auch auf einer EXT2/EXT3-Partition fühlt sich dieser Loader wohl. (more…)
Nur eine verschwindend geringe Zahl von Hostern bieten Rootserver mit Ubuntu 606-LTS (“Dapper Drake”) an. Mit etwas Geschick und einem Rettungssystem lässt sich das “menschenfreundliche Linux” aber leicht auf jedem Rootserver installieren. (more…)
Hier geht es lang: Neue Version dieser Anleitung für Ubuntu 10.04 (Lucid Lynx) und folgende auf Xen 3.4 oder 4.0 (oder höher)
Dieser Text ist veraltet und dürfte nur noch für Softwarearchäologen sinnvoll sein:
Mit Version 6-06 LTS (Long Term Support) und der erstmals erhältlichen Variante für den Servereinsatz wird Ubuntu auch für Web- und Mailserver zu einer echten Alternative zu Debian, Suse und Redhat. Doch ein Feature fehlt: Unterstützung für Xen. Wie Sie schlanke Ubuntu-XenU-Domains einrichten, zeigt dieser Artikel. (more…)
Für alle, die Xen austesten wollen, habe ich zwei Demo-Images vorbereitet. Beim Ersten handelt es sich um ein frisch gebautes uClibc-Rootfilesystem, das nun mit GCC 4.0.3 und einer gegen die Header von Kernel 2.6.12 gebauten C-Bibliothek für den produktiven Einsatz taugt und trotzdem kompakt ist.
Das zweite ist openSUSE 10.1. Bei diesem ist SSH und XDMCP offen, es dient mehr zum Testen des Desktops und zum Angeben: wer einen schnellen Prozessor und genug RAM hat, kann auf jeder virtuellen Konsole den Desktop einer anderen Distribution laufen lassen.
Mehr Infos derzeit noch in meinem privaten Blog. Eine offizielle Ankündigungen und Torrents folgen.
In Kundenbeständen habe ich noch einige Warenwirtschaftsserver, die seit ein paar Jahren ohne große Updates laufen. Auf einem tut S.u.S.E. (damals noch mit Punkten) 6.3 seinen Dienst. Diese Rechner wurden nie groß aktualisiert, doch gelegentlich erfordert die sie umgebende Infrastruktur ihren Tribut: mal ist ein neuer Kernel fällig, weil eine Netzwerkkarte gestorben ist und die neue von 2.2.5 nicht erkannt wird, mal will ein RSYNC-Backup in die sich fortentwickelnde Infrastruktur eingebunden werden.
Ich bin nach vielen Problemen dazu übergegangen, die behutsamsten aller Updates vorzunehmen um Seiteneffekte möglichst auszuschließen. Mein Favorit sind derzeit statisch gegen uClibc und die beim Kunden installierten Kernel-Header gelinkte Binaries, die ich per Softlink gegen die alten austausche. Diese sind kompakt und bereiten praktisch keinen Ärger.
Beim Kompilieren hilft das uClibc-RootFS-Image (lässt sich Loopback mounten) und ein gutes Dutzend Configure-Flags sowie ein paar nachträglich installierte Bibliotheken (zlib, openssl…).
Solch eine Aktion mag vordergründig betrachtet dem Kunden teurer kommen als die Lizenzkosten für ein simples Windows-Update. Unterm Strich dürfte jedoch das Unix- oder Linux-System, das einfach mal sieben oder acht Jahre durchläuft mehr Punkte sammeln.
PS: Der betreffende Host ist nur wenigen Kassenterminals “ausgesetzt”. Das mit dem Hacken braucht Ihr gar nicht erst zu probieren…
Ih habt Euch schon öfters die Frage gestellt, wie Ihr alle Tabellen und Inhalte einer MySQL-Datenbank schnell und unkompliziert auf einen anderen Server kopiert? Mit einer kleinen Pipeline geht das ganz schnell:
mysqldump -u mattias –password=’geheim’ sourcedb | \
ssh -C mattias@ziel.xyz \
“mysql -u mattias –password=’geheim’ draindb”