debianforum.de

hei,..

wie sind bei euch @work die Server organisiert ?

da wir zur zeit die übersicht (bei über 50 Server) verlieren, hab ich mir mal heut ein paar gedankten gemacht.... urteilt einfach drüber:

Jeder Server bei uns hatt 2 NICS, eine ins Offizielle Netz (100 Mbit), und eine 1 GB NIC ins netz der Netapp Filer, immo ist es so der Fall, das wenn ich Z.B. einen Webserver (LAMP) habe, liegen die Daten der Anwenung auf dem Filer und werden per NFS ins Apache Root reingemountet, apache läuft auf dem Rechner lokal,... (bei MYSQL das gleiche, nur das die DB Files auf dem Filer liegen) ..

Von den Files werden auf dem Filer halt dann Snapshots/Backups gemacht.

Nun, da immer mehr Server softwareseitig (Besonders Apache / php / ssl mässig) veralten, hab ich mich heut mal so gespielt und ich denke was akzeptables rausgebracht:

Ich baue eine chrooted Umgebung mit den neusten Sourcen von Apache[mod_ssl]/php/perl, und lege diese Sammt Anwendungsdaten auf dem Filer ab,..

Immo ist es so geplant, das jeder server seine eigene Chrooted Umgebung bekommt.. also z.b.:

chroot/
ch-serverip1
ch-serverip2 usw usw ..

Soll die Anwendung auf dem Server nun laufen, wird das entsprechende chroot verzeichniss auf /wwroot gemountet, -> chroot /wwwroot --> apachectl start[ssl] --> exit.

So, nun läuft der Apache auf dem Server in einer chrooted Umgebung und alles funzt wunderbar (ssl/perl/php/usw usw).., das ging heute Wunderbar..

Der Vorteil dabei ist halt..:

1. Es ist egal was drunter läuft, ich hab immer aktuellste Versionen, kommt ne neue Apache version wird halt neues chroot gebaut, ist in 10 Minuten gemacht und ab gehts.

2. Die chroot Umgebungen sind nicht allzu groß (9 MB hatte meine heut), und können locker weggesichert werden, was heisst das ich immer gleich die kompletten logs/config files/anwendungsdaten mitsichern kann..

3. Ich kann das Apache zeugs egal von welchem Server aus laufen lassen solang er verbindung zum Filer hatt.. d.h: Hardwareausfall, einfach mount von nem andren Server.

4. Sicher durch chrooting.

5. Kein gcc/g++ auf dem Server

Welche Nachteile seht ihr darin ?. bzw,.. wie würdet ihr das ganze mit mysql usw organisieren ?

Kleine Ergänzung zu dem Konzept (das IMHO gut klingt, aber in der Grössenordnung hatte ich noch nicht damit zu tun...):

mit mount -o bind /quelle /ziel kann man Verzeichnisse in anderen verzeichnissen verfügbar machen. Ich benutzte das an der Uni um Compartments für User zu realisieren: der User wird in ein Verzeichnis gechrooted. Damit dadrin aber trotzdem alles läuft mache ich (nur zum Beispiel) Damit bekommt der user in seinem chroot (unter /home/user) ein komplettes /usr Verzeichnis read-only zur Verfügung gestellt. Das Ganze hat den Vorteil, dass der Kram auch nur einmal vorhanden ist (unter /compartments/usr) aber alle User das innerhalb ihres Jails haben...

Ist manchmal ganz handlich, wenn man mehrere Jails auf einer Maschine braucht, ohne die Daten zu duplizieren: Einmal pro Maschine vom Server über NFS mounten, und dann in der Maschine selbst per bind-Mounts verteilen. Macht allen NFS Locking Problemen den garaus, weil man nur einen Zugriffspunkt hat

Ob Du's gebrauchen kannst? kA, aber das ist einfach recht unbekannt, aber enorm praktisch...

Patrick

ja, tipps wie ich innerhalb der chroots am besten die User verwalte sind immer willkommen, immo gibts ja nur ein(e) nobody/nogroup für apache, .. die meisten Entwickler wollen wohl allerdings ihre files per sftp/ftp uploaden, wie ich das am besten handel hab ich mir heut noch keine gedankten gemacht..(ausser wohl nen vsftp mit in das chroot aufzunehmen und entsprechende Benutzer ftp seitig auf ihr Anwendungsverzeichniss zu chrooten)

Hmm, mein Apache hat ein Gruppe www-data, die Zugriff auf die Daten in /var/www hat. Das ist latürnich nur eine platte Default Installation, aber damit kann man was anfangen...

Patrick

pdreker hat geschrieben:Hmm, mein Apache hat ein Gruppe www-data, die Zugriff auf die Daten in /var/www hat. Das ist latürnich nur eine platte Default Installation, aber damit kann man was anfangen...

Patrick

das ist logisch, der Apache in der Debian default installation läuft www-data/www-data, in der normalen Apache Install allerdings als nobody/nogroup (unter SuSE haben ses unter wwwrun/wwwrun laufen), kann man ja einstellen

hab mich jetzt dazu entschieden einen vsftpd mit ins chroot aufzunehmen, funzt auch wunderbar..
Jeder benutzer wird dann vom vsftpd aus nochmal auf sein www verzeichniss gechrootet..