Dnes se budeme věnovat tomu, jak rychle a poměrně jednoduše na jednom fyzickém serveru rozběhnout několik virtuálních serverů s různými operačními systémy. Každému systémovému administrátorovi to umožní centrálně spravovat celou IT infrastrukturu firmy a ušetřit obrovské množství zdrojů. Použití virtualizace pomáhá co nejvíce abstrahovat od fyzického serverového hardwaru, chránit kritické služby a snadno obnovit jejich funkčnost i v případě velmi vážných poruch.
Bez jakýchkoli pochybností jsou většině systémových administrátorů známé techniky práce s virtuálním prostředím a pro ně nebude tento článek žádným objevem. I přesto existují firmy, které nevyužívají pružnost a rychlost virtuálních řešení kvůli nedostatku přesných informací o nich. Doufáme, že náš článek pomůže na příkladu pochopit, že je mnohem jednodušší jednou začít používat virtualizaci, než si procházet nepříjemnostmi a nedostatky fyzické infrastruktury.
Naštěstí je vyzkoušet, jak funguje virtualizace, poměrně jednoduché. Ukážeme, jak vytvořit server ve virtuálním prostředí, například pro přenos CRM systému používaného ve firmě. Prakticky jakýkoli fyzický server lze přetvořit na virtuální, ale nejprve je třeba zvládnout základní techniky práce. O tom se bude mluvit níže.
Jak to funguje
Když se mluví o virtualizaci, mnohým začínajícím specialistům se obtížně chápe terminologie, proto si vysvětlíme několik základních pojmů:
- je aplikace běžící na fyzickém stroji, která emuluje fyzické zdroje, na nichž běží virtuální stroje. Někdy se v literatuře a na internetu slovo „hypervisor“ používá jako synonymum pro „host“. – speciální software, který umožňuje vytvářet virtuální stroje a spravovat je;
- Virtuální stroj (dále VM) – to je systém představující logický server uvnitř fyzického se svým vlastním souborem charakteristik, úložišti a operačním systémem;
- Hostitel virtualizace – fyzický server, na kterém běží hypervisor.
Aby server mohl fungovat jako plnohodnotný hostitel virtualizace, jeho procesor musí podporovat jednu ze dvou technologií – buď Intel® VT, nebo AMD-V™. Obě technologie plní zásadní úkol – poskytování hardwarových zdrojů serveru virtuálním strojům.
Klíčovým rysem je to, že jakékoli akce virtuálních strojů Jsou prováděny přímo na úrovni hardwaru. Přitom jsou od sebe izolovány, což umožňuje snadnou správu každého z nich zvlášť. Samotný hypervizor hraje roli kontrolního orgánu, přiděluje prostředky, role a priority mezi nimi. Také hypervizor emuluje tu část hardwaru, která je potřebná pro správnou funkci operačního systému.
Zavedení virtualizace umožňuje mít více spuštěných kopií jednoho serveru. Kritická chyba nebo problém během provádění změn v takové kopii nijak neovlivní fungování aktuálního servisu nebo aplikace. Při tom se také odstraní dvě hlavní problémy – škálovatelnost a možnost mít „zoo“ různých operačních systémů na jednom hardwaru. To je ideální příležitost pro kombinaci různých služeb bez nutnosti zakoupit samostatný hardware pro každou z nich.
Virtualizace zvyšuje odolnost služeb a nasazených aplikací. I když fyzický server selže a je nutné ho nahradit jiným, celá virtuální infrastruktura zůstane plně funkční, pokud jsou disky v pořádku. Fyzický server může být dokonce od jiného výrobce. To je obzvlášť aktuální pro společnosti, které používají servery, jejichž výroba byla zastavena a bude potřeba přejít na jiné modely.
Nyní vyjmenujme nejpopulárnější hypervizory, které existují v současnosti:
- VMware ESXi
- Microsoft Hyper-V
- Open Virtualization Alliance KVM
- Oracle VM VirtualBox
Jsou všechny dost univerzální, nicméně každá z nich má určité vlastnosti, které je třeba vždy vzít v úvahu při výběru: náklady na nasazení/údržbu a technické specifikace. Cena komerčních licencí VMware a Hyper-V je velmi vysoká a v případě výpadků je řešení problémů s těmito systémy vlastními silami velmi obtížné.
KVM naopak, je zcela zdarma a dost jednoduchý na práci, zejména v rámci hotového řešení založeného na Debian Linuxu s názvem Proxmox Virtual Environment. Tento systém můžeme doporučit pro první seznámení se světem virtuální infrastruktury.
Jak rychle nasadit hypervizor Proxmox VE
Instalace většinou nevyvolává žádné otázky. Stáhněte aktuální verzi obrazu oficiálních stránek a zapište ji na jakékoliv externí zařízení pomocí nástroje Win32DiskImager (v Linuxu se používá příkaz dd), poté server načteme přímo z tohoto média. Naši klienti, kteří si u nás pronajímají dedikované servery, mohou využít dva ještě jednodušší způsoby – jednoduše připojit potřebný obraz přímo z KVM konzole, nebo využít náš PXE server.
Instalační program má grafické rozhraní a položí pouze několik otázek.
- Vyberte disk, na který bude instalace provedena. V sekci Options můžete také zadat další parametry rozdělení.
- Uveďte regionální nastavení.
- Uveďte heslo, které bude používáno pro autentizaci superuživatele root a e-mailovou adresu administrátora.
- Uveďte síťová nastavení. FQDN znamená plně kvalifikované doménové jméno, například node01.vasefirma.com.
- Po dokončení instalace je možné server restartovat pomocí tlačítka Reboot.
Webové rozhraní pro správu bude dostupné na adrese
https://IP_adresa_serveru:8006
Co dělat po instalaci
Existuje několik důležitých kroků, které je třeba provést po instalaci Proxmox. O každém z nich vám podrobněji povíme.
Aktualizovat systém na aktuální verzi
K tomu vstoupíme do konzole našeho serveru a deaktivujeme placený repozitář (dostupný pouze těm, kteří zakoupili placenou podporu). Pokud to neuděláme, — apt nám hlásí chybu při aktualizaci zdrojů balíčků.
- Otevřete konzoli a upravte konfigurační soubor apt:
nano /etc/apt/sources.list.d/pve-enterprise.list - V tomto souboru bude pouze jeden řádek. Před něj vložíme symbol #, abychom vypnuli příjem aktualizací z placeného repozitáře:
#deb https://enterprise.proxmox.com/debian/pve stretch pve-enterprise - Kombinací kláves Ctrl + X provedeme odhlášení z editoru s odpovědí Y na dotaz systému o uložení souboru.
- Provedeme příkaz pro aktualizaci zdrojů balíčků a systému:
apt update && apt -y upgrade
Postarat se o bezpečnost
Můžeme doporučit nainstalovat populární nástroj Fail2Ban, která chrání před útoky hrubou silou. Princip jejího fungování spočívá v tom, že pokud útočník překročí určité množství pokusů o přihlášení v určeném čase s neplatným jménem / heslem, bude jeho IP adresa zablokována. Délku blokace a počet pokusů lze nastavit v konfiguračním souboru.
Na základě praktických zkušeností během týdne provozu serveru s otevřeným ssh portem 22 a externí statickou IPv4 adresou došlo k více než 5000 pokusům o uhádnutí hesla. A asi 1500 adres bylo úspěšně zablokováno nástrojem.
Pro provedení instalace přinášíme malý návod:
- Otevřeme konzoli serveru přes webové rozhraní nebo SSH.
- Aktualizujeme zdroje balíčků:
apt update - Nainstalujeme Fail2Ban:
apt install fail2ban - Otevřeme konfigurační soubor nástroje k úpravě:
nano /etc/fail2ban/jail.conf - Upravíme proměnné bantime (počet sekund, na které bude útočník zablokován) a maxretry (počet pokusů o zadání jména / hesla) pro každou jednotlivou službu.
- Kombinací kláves Ctrl + X provedeme odhlášení z editoru s odpovědí Y na dotaz systému o uložení souboru.
- Restartujeme službu:
systemctl restart fail2ban
Stav funkce nástroje, například odstranění statistik blokací zablokovaných IP adres, ze kterých proběhly pokusy o uhodnutí hesla SSH, lze zkontrolovat jedním jednoduchým příkazem:
fail2ban-client -v status sshdOdpověď nástroje bude vypadat přibližně takto:
root@hypervisor:~# fail2ban-client -v status sshd
INFO Načítání konfigurací pro fail2ban z /etc/fail2ban
INFO Načítání souborů: ['/etc/fail2ban/fail2ban.conf']
INFO Načítání souborů: ['/etc/fail2ban/fail2ban.conf']
INFO Používání souboru socket /var/run/fail2ban/fail2ban.sock
Status pro vězení: sshd
|- Filtr
| |- Aktuálně neúspěšné: 3
| |- Celkem neúspěšných: 4249
| `- Seznam souborů: /var/log/auth.log
`- Akce
|- Aktuálně zablokováno: 0
|- Celkem zablokováno: 410
`- Zablokovaný seznam IP:Podobným způsobem lze uzavřít webové rozhraní před těmito útoky vytvořením příslušného pravidla. Příklad takového pravidla pro Fail2Ban lze nalézt v oficiálním průvodci.
Začínáme
Je třeba zdůraznit, že Proxmox je připraven na vytváření nových strojů ihned po instalaci. Doporučujeme však provést předběžná nastavení, aby bylo možné systém snadno spravovat. Praxe ukazuje, že hypervizor a virtuální stroje by měly být rozloženy na různé fyzické nosiče. O tom, jak to provést, bude řeč níže.
Nastavit datové úložiště
Dalším krokem je nastavení úložiště, které bude možné použít pro ukládání dat virtuálních strojů a záloh.
POZOR! Níže uvedený příklad diskové struktury lze používat pouze pro testovací účely. Pro skutečné použití důrazně doporučujeme využít softwarový nebo hardwarový RAID, abyste předešli ztrátě dat při selhání disků. O tom, jak správně připravit diskový systém k práci a jak postupovat v případě havarijní situace, si přečtete v některém z dalších článků.
Předpokládejme, že fyzický server má dva disky — /dev/sda, na kterém je nainstalován hypervisor, a prázdný disk /dev/sdb, který má být použit pro ukládání dat virtuálních strojů. Aby systém mohl novou úložiště vidět, lze použít nejjednodušší a nejefektivnější metodu — připojit ho jako běžný adresář. Ale před tím je nutné provést některé přípravné úkony. Jako příklad si ukážeme, jak připojit nový disk /dev/sdb, jakékoliv velikosti, formátováním do souborového systému ext4..
- Rozvrhujeme disk vytvořením nového oddílu:
fdisk /dev/sdb - Stiskneme klávesu o nebo g (pro rozdělení disku na MBR nebo GPT).
- Dále stiskneme klávesu n (pro vytvoření nového oddílu).
- A nakonec w (pro uložení změn).
- Vytvoříme souborový systém ext4:
mkfs.ext4 /dev/sdb1 - Vytvoříme adresář, do kterého budeme připojovat oddíl:
mkdir /mnt/storage - Otevřeme konfigurační soubor k úpravě:
nano /etc/fstab - Přidáme tam nový řádek:
/dev/sdb1 /mnt/storage ext4 defaults 0 0 - Po provedení změn je ukládáme stisknutím kláves Ctrl + X, odpovídáme Y na otázku editora.
- Pro ověření, že vše funguje, restartujeme server:
shutdown -r now - Po restartu zkontrolujeme připojené oddíly:
df -H
Výstup příkazu by měl ukázat, že /dev/sdb1 je připojen do adresáře /mnt/storage. To znamená, že naše úložiště je připraveno k práci.
Přidat nové úložiště do Proxmox
Přihlásíme se do ovládacího panelu a přejdeme do sekcí Datacenter ➝ Úložiště ➝ Přidat ➝ Adresář.
V otevřeném okně vyplníme následující pole:
- ID — název budoucího úložiště;
- Adresář — /mnt/storage;
- Obsah — vybereme všechny možnosti (pořád klikáním na každou možnost).
Poté stiskneme tlačítko Přidat. Tímto je nastavení dokončeno.
Vytvořit virtuální stroj
Pro vytvoření virtuálního stroje vykonáme následující sekvenci činností:
- Rozhodneme se pro verzi operačního systému.
- Předem stáhneme ISO obraz.
- V menu vybereme Úložiště právě vytvořené úložiště.
- Klikneme Obsah ➝ Načíst.
- Vybereme z seznamu ISO obrazu a potvrďte výběr stisknutím tlačítka Načíst.
Po dokončení operace se obraz zobrazí v seznamu dostupných.
Vytvoříme náš první virtuální stroj:
- Klikneme Vytvořit VM.
- Pořadí parametrů vyplňujeme postupně: Jméno ➝ ISO obraz ➝ Velikost a typ pevného disku ➝ Počet procesorů ➝ Velikost RAM ➝ Síťový adaptér.
- Po výběru všech požadovaných parametrů stiskneme Dokončit. Vytvořený stroj se zobrazí v menu ovládacího panelu.
- Vybereme jej a klikneme na Spuštění.
- Přejdeme do sekce Konzole a nainstalujeme operační systém stejným způsobem jako na běžném fyzickém serveru.
Pokud je třeba vytvořit další stroj — zopakujeme výše uvedené operace. Jakmile budou všechny připraveny, lze s nimi pracovat současně, otevřením několika oken konzole.
Nastavit automatický start
Ve výchozím nastavení Proxmox stroj automaticky nespouští, ale to lze snadno vyřešit dvěma kliknutími myši:
- Klikneme na název požadovaného stroje.
- Vybereme kartu Možnosti ➝ Spouštění při zavádění.
- Zaškrtneme políčko vedle stejnojmenného názvu.
Nyní, v případě restartu fyzického serveru, bude VM automaticky spuštěn.
Pokročilí administrátoři mají také možnost uvést další parametry spuštění v sekci Pořadí spuštění/vypnutí. Můžete jasně určit pořadí, v jakém se mají stroje spouštět. Rovněž můžete určit čas, který má uplynout před spuštěním další VM a dobu zpoždění vypnutí (pokud operační systém nedokončí práci, hypervisor ho násilně vypne po určitém počtu sekund).
Závěr
V tomto článku byly uvedeny základy toho, jak začít pracovat s Proxmox VE a doufáme, že pomůže začínajícím specialistům udělat první krok a vyzkoušet virtualizaci v praxi.
Proxmox VE je skutečně velmi mocný a pohodlný nástroj pro každého systémového administrátora; hlavní je nebát se experimentovat a pochopit, jak to ve skutečnosti funguje.
Pokud máte nějaké dotazy, vítáme vás v komentářích.
Zdroj: habr.com
