Gentoo Server (diskuse)

[Tomáš]

Zkušenost je taková, že se to nastaví, rozpohybuje a potom "never touch running system" Aktualizace se nedělají, takže není potřeba se obávat toho, že se něco změní. Byl to server pro SQL server umístěný uvnitř firmy, takže kompromitace nehrozí.

[unknown_]

takže kompromitace nehrozí.

Což asi bude ten zásadní rozdíl mezi "server na hraní" a serverem "produkčním". A beztak je to jen pocit, že kompromitace nehrozí.

[Tomáš]

No nevím, server pro tři klienty na bázi windows xp embedded, záleží na celkové situaci podle mne. Někdy se to dá lajsnout.

[Zdeněk Burda]

Zkusme se bavit o serveru pro víc než jednotky klientů. Co takhle gentoo ve společnosti se stovkami/tisíci uživateli?

[Honza Jaroš]

Vcelku bez problémů (interní síť s cca 1800 PC, na nepříliš vytíženém serveru Samba + Firebird + Tomcat + VMWare Server s Win2003 a IIS), aktualizace dělám jen když začne nadávat glsa-check, obvykle mimo pracovní hodiny a za ty poslední dva roky si nevybavuju nějaký kiks, který by stál za zapamatování.

[Jan Drábek]

Konfiguráky se nepřepisují, pokud ale existuje nějaká změna v konfiguračním souboru, uloží se s prefixem tuším _ a na konci instalace vám vypíše kolik takových souborů v systému máte.

[prOm3TheuS]

Já můžu říct, že aktualizace je v klidu. Je dobré aktualizovat často, neboť když se pak dělá aktualizace jednou za rok, většinou se server odstávce nemine. Případně nefungují nějaké služby. Snad až na postgres není s gentoo problém. U postgresu se musí udělat pokaždé dump celé databáze, pak následně aktualizovat a ve finále nahrát dump zpět. Pak ještě můžu dodat, že pokud aktualizujete gentoo s oraclem, je dobré oracle také odzálohovat, po dobu updatu odstavit a pak zpětně spustit. Jednou jsem takhle oraclu podstrčil nový glibc za běhu a až po týdnu oracle spadnul a pak už nenaskočil - data byla kompletně pokažená a já musel pěkně vydloubávat zálohy, abych to zachránil.
Jinak co se týče přepisování nějakých konfiguráků, tak na to je přeci etc-update a ten umožňuje mít dokonalý přehled nad tím, co vám systém chce přepsat

[cthulhu]

vidim zde dve varianty, bud mate ten Oracle bez licence (tzv. "ukradenej") a nebo ty licence platite zbytecne, protoze Gentoo nepatri mezi oficialne certifikovane OS pro tuto databazi a tudiz nedostanete support. Ani jedna varianta mi neprijde optimalni:) Kdo si muze dovolit Oracle, uz mu jsou nejaky dalsi zlataky za RHEL/SLES celkem volny. toz tak.

[Zdeněk Burda]

A co Oracle XE?

[cthulhu]

Oracle XE povazuju za neco na zpusob technologickeho dema (asi jako Veritas Storage Foundation), neco, co pro realny provoz (ani testing) neni moc pouzitelne (max.1 cpu, 1GB RAM..), dokazu si to predstavit ve Vmware na PCcku, ale opet, neni to nic, co by bylo ofic. podporovane na Gentoo

[Max]

Souhlasím. Oracle XE nic moc :(. Dokonce třeba i na apex je lepší ostrá db a k ní doinstalovat apex. Na druhou stranu, dokážu si představit situace, kdy by byla použitelná. Vhodná by byla třeba pro OAS, nebo jako základ pro nějakou webovou službu s tím, že by to mohla být předdatabáze k nějaké ostré spojené db linkem atd.
Zdar Max

[Max]

A nebo OEL . Ten teď z toho asi vychází nejlépe.
Zdar Max

[prOm3TheuS]

Jedná se opravdu o Oracle XE Používáme to víceméně pro interní účely, že se v tom prý dá jednoduše naklikat aplikačka.

[Max]

My máme s XE špatnou zkušenost. Také jsme chtěli použít Apex pro rychlou tvorbu aplikačky. Pokaždé, když vyšla nová verze, tak jsem musel drsně hackovat XE db, abych tam novou verzi naládoval. Od trojkové řady(resp. asi 3.1) to konečně začal oracle podporovat a už není s update na novější verzi problém. Ovšem odezvy Apexu v XE verzi jsou strašný. A navíc se dost často stávalo, že se špatně generovala stránka. Nakonec v tom máme jednu aplikačku, ale to je tak asi všechno a navíc né na XE, ale apex máme nahozenej na plnohodnotné db. Je to zbytečný kanón na vrabce. Pokud chce člověk zase něco promyšlenějšího, tak je apex moc omezující. Navíc to samé napíšeš v php+mysql s o 80% menšími HW nároky.
Zdar Max

[prOm3TheuS]

Nejsem programátor, na to máme v práci jiný lidi. Já osobně jsem byl proti nasazení týhle věci, ale když s tím někdo přišel na poradě, naklikal tam během několika minut program, tak si z toho šéf sednul na zadek a nemohl jsem nic dělat

[Filip Jirsák]

Gentoo vám bez ptaní konfigurák nezmění, novou verzi uloží pod novým názvem a vy si pak musíte obě verze spojit. Měl jsem Gentoo na souborovém serveru i internetovém serveru na gymnáziu, updaty jsem dělal jenom pokud byla potřeba nová funkcionalita nebo pokud šlo o bezpečnostní update, a nebyl s tím žádný problém. Srovnání s ničím jiným nemám, protože jsem na serveru pořádně žádnou jinou distribuci neprovozoval. Teď mám Gentoo na svém serveru (kde je ale houby zátěž), a měnit nehodlám.

[Max]

Mít pár serverů viditelných na netu, tak bych se z toho zbláznil. Jako server do vnitřní sítě bych to ještě bral. Do gentoo na server bych šel v případě, že by ten server nebyl vidět na netu a potřeboval bych z toho železa vytřískat maximum, jinak ne.
Je to můj osobní názor. Jsem asi prostě jen lenivý se s něčím patlat :)
Proto používám Debian, CentOS a OEL.
Zdar Max

[snajpa]

No právě tohle slýchám dost často. A jde mi o to jestli se vyplatí poměr výkon/cena(čas admina) proti třeba CentOSu nebo Debianu. Osobně jsem na serverech neměl nikdy nic jiného než Debian, proto se ptám.

[Honza Jaroš]

U tohoto hodnocení mi ovšem schází informace, jaké zkušenosti s Gentoo máte vy sám...

[Max]

Používal jsem gentoo asi dva roky.
Zdar Max

[Honza Jaroš]

OK, díky za odpověď. Zajímalo mě to proto, že mám pod palcem i jeden malý veřejný gentoo server (byť je opravdu "kritický" pouze pro mě) a nemám pocit, že bych z toho bláznil. Většinu času o něm nevím. Holt asi máme každý jiné priority.

Každopádně podle mě nezáleží ani tak na tom, jestli je ten server na vnitřní síti nebo venku, jako spíš na tom, co přesně od něj potřebuji. A popravdě řečeno, pokud má Snajpa dobré zkušenosti s Debianem a má ho zažitý, asi bych - být jím - u něj zůstal.

[Max]

Ne, tady nejde o jeden server. Jeden se ještě dá, ale starat se a updatovat více serverů na gentoo je prostě mnohem náročnější, než spravovat ten samý počet debianů, RHELů apod.
A rozdíl mezi serverem ve vnitřní síti a na internetu spatřuji v tom, že o ten ve vnitřní síti se člověk nemusí tolik starat(v určitých případech samozřejmě). Někdy ho může nechat klidně rok ležet a updatovat, jak se mi zachce. Kdežto když ho máš přístupný na internetu, tak o jeho bezpečnost musíš víc pečovat a honit aktualizace, aby ho nenaboural třeba pitomej robot.
Zdar Max

[Honza Jaroš]

Popravdě se o totéž snažím i ve vnitřní síti, tam se totiž pitomej robot může objevit taky. Ale jinak víceméně souhlasím...

[Filip Jirsák]

Vždyť i na tom veřejně přístupném serveru je potřeba aktualizovat maximálně jádro, ssh server, web server, mail server a DNS server, na typickém serveru se nic jiného přístupného z venku neprovozuje. Počet bezpečnostních aktualizací těch síťových serverů se blíží nule, takže zbývá dělat bezpečnostní aktualizace jádra, což je úplně stejné, jako když na serveru s Debianem nebo RHEL máte vlastní jádro. A ani ve srovnání s použitím balíčkovaných jader na těchže distribucích to podle mne není nijak extra náročnější, těch asi 5 příkazů si klidně můžete dát do skriptu

[Max]

Vždyť i na tom veřejně přístupném serveru je potřeba aktualizovat maximálně jádro

Eh? Zřejmě jsi asi špatně přečetl můj komentář. Na veřejném se musí aktualizovat stále, což jsem psal. Ve vnitřní síti už tolik ne a v jistých případech vůbec. Také jsem psal, že pár serverů ok, ale větší množství serverů s gentoo a člověk se z toho zblázní. Gentoo je přecijen živější, nežli třeba debian, nebo centos. Na gentoo člověk může aktualizovat skoro každý den něco. Zautomatizovat jde samozřejmě všechno, ale otázkou je, jak velké riziko automatizace přinese. Debian třeba může checkovat, zda se neobjevili aktualizace, pokud ano, pošle mail a pod admin dohledem se aktualizace nainstalují. Od gentoo by mi chodily emaily stále a to by mně opravdu nebavilo.
ale jak říkám, je to můj názor, někomu to třeba vyhovuje.
Zdar Max

[Filip Jirsák]

Na veřejném se musí aktualizovat stále, což jsem psal.

Sice píšete jak často, ale už nepíšete, co. Samozřejmě nemusíte aktualizovat vše, stačí dělat bezpečnostní aktualizace aplikací, které používá někdo jiný (často jsou to jen ty, které jsem vyjmenoval v předchozím komentáři). A bezpečnostních aktualizací takových aplikací není mnoho (a jejich počet bude pro Gentoo i pro Debian zhruba stejný).

[Max]

Souhlasím, na gentoo by mi asi nic jiného nezbývalo (byl bych lenivý aktualizovat vše), nicméně rád vše aktualizuji. Asi jen kvůli hloupému osobnímu pocitu, ale když mám debian, tak se snažím, aby bylo vše planě aktuální, ač to někdy postrádá smysl :-/.
Jinak aktualizace není vše, nejvíc mi vadí, když potřebuji něco rychle vyřešit, tak kompilace je na dlouho.
Zdar Max

[Honza Jaroš]

Kam se podělo klasické inženýrské "nešťourej do věcí, které fungují..."?

[Max]

No, asi neprovozuji tolik věcí na jednom OS (i když už to přibývá, nu :-/). Kdybych měl třeba sambu+ftp+postfixe+vše třeba přes mysql a k tomu ještě webserver, tak bych se samozřejmě při updatech trochu bál. Ale jakmile mám tudle něco, tamhle něco, tak je případný problém vyřešen hnedle jedle a žádná kritická odstávka nehrozí. Stejně je to většinou ok. Nepamatuji si nějaký závažný problém na serveru, který by mi zkomplikoval život.
Zdar Max

[rADOn]

Kam se podělo klasické inženýrské "nešťourej do věcí, které fungují..."?

Potkalo klasické adminovské "nevrtej se více věcech najednou", smutně se usmálo a skočilo pod sběrnici.

[Honza Jaroš]

To je nesmysl, stačí si hodit do skriptu aby se pravidelně synchronizoval strom Portage a potom si vyjet seznam upozornění na nainstalované nebezpečné balíky přes glsa-check. Třeba ten stroj, o kterém jsem se zmiňoval, si takhle řekl o aktualizaci naposledy před měsícem.

[kolcon]

provozuju, je to super

rolling updates a etc-update nemaji chybu

[Honza Jaroš]

Co se týče updatů, s konfiguráky problém není, standardně se během aktualizace případné nové konfigurační soubory uloží pod jiným jménem a vypíše se upozornění, aby uživatel spustil příkaz etc-update, který mu pak ukáže rozdíly mezi starou a novou verzí a dá mu na výběr několik možností co má dělat. Spíš bývá problém se závislostmi - například když je nějaký program kompilovaný proti konkrétní verzi nějaké knihovny a po upgradu té knihovny přestane fungovat. Pro takové případy se používá příkaz revdep-rebuild (součást balíku gentoolkit), který projede systém, vypíše seznam postižených balíků a nabídne jejich překompilování (revdep-rebuild -- -av). Nefunguje úplně na 100%, ale už si nepamatuji, kdy jsem s ním měl naposledy problém tohoto typu na systému, který používá pouze ebuildy označené jako stabilní.

Jinak doporučuji pozornosti příkaz glsa-check, který je mj. schopen vypsat všechny balíky v systému, u kterých je hlášena bezpečnostní chyba (glsa-check -t all).

[Honza Jaroš]

PS: ovšem doporučoval bych spíš nestrkat to na bezhlavě server dokud si to neosaháte. Spíš si chvilku hrát, dokud si nebudete jistý v kramflecích a rozhodnout se až pak. Koneckonců, co je špatného na vašem Debianu...?

[Martin Beránek]

S gentoo na desktopu jedu uz 3 roky - myval jsem ho na domacim servriku z ktereho se postupem casu stal i server verejny. Osobne sem nemel odvahu ho nechat hnit a tak sem delal postupne aktualizace... obcas se neco znefunkcnilo, ale nic kritickeho na domacim serveru (vetsinou sem to opravil do par hodin) - do produkce bych s tim ale nesel. Druhy server na gentoo sem provozoval v praci - takovy testovaci stroj - bezel tam vmware, samba, DB, web, streamovani TV,... - na nem sem delal "narazove" aktualizace, coz systemu moc nesvedcilo. Nakonec sem oba dva vymenil za debian (stable) a i kdyz s debianem vpodstate zacinam, jsem ted mnohem spokojenejsi a klidnejsi. Na desktopu ale nedam na gentoo dopustit.

[Petr Bravenec]

Pochybuju, že mýval. Spíš panda

[kouzer]

Mýval na serveru? A nedělá neplechu?

[CandySan]

Drive jsem pouzival gentoo na serverech bezne nakonec jsem toho po letech nechal. Cim vic ruznorodych veci ma na starosti jedna instalace, tim obtiznejsi se postupne jevi administrace toho serveru. Jakakoliv zmena pak casto znamena zkoumani rozdilu konfigu a to je nejen casove narocne, ale postupne i nezazivne. Nehlede na to, ze vzdy se objevilo neco co jsem prehlid a tudiz se neco zacalo chovat jinak (byt jen trosku) nez doposud (cim mene vyrazna odchylka to byla, tim pozdeji byla odhalena a tim obizneji se patralo po pricine zmeny - proste lahudky). Samotna aktualizace byla zdlouhava a s kazdym (dulezitym) serverem rostla spotreba casu dost neumerne (slovnik: dulezity je takovy, na kterem mi nejen zalezi, ale na kterem mi velmi zalezet i musi, protoze by to nekoho jineho nebo mne stalo penizky kdyby nejezdil spolehlive). Jelikoz bylo zcela nemozne drzet krok na vsech techto serverech (nebo to bylo v pohode mozne a jen sem delal neco vazne blbe..?), tak jsem prestal aktualizovat zcela. Jenze to skryvalo dalsi past. Nekdy bylo potreba neco pridat... treba neco velmi maleho, neduleziteho a tak neco bylo potreba emergnout nove a u te prilezitosti se clovek dozvi, ze to ma kdejake zavislosti, ktere na sebe navazuji atd... Nakonec se tedy stavaly az tak absurdni veci, ze kdyz bylo potreba prihodit nejakou php aplikaci, ktera vyzadovala nejakou soucast pehapka, ktera vyzadovala nejakou knihovnu, ktera ale nesla nainstalovat dokud nebyla aktualizovana jina knihovna, ktera nesla nainstalit dokud nebylo aktualizovano glibc, ktere neslo vyinstalit dokud nebylo aktualizovano gcc a vy tu jednu hovadinu potrebujete rozjet HNED (to jest v nasledujicich 24-ech hodinach, ktere uz ale byly naplanovane jinym pracovnim nebo nepracovnim zalezitostem), pak nezbyva nez si sednout, vzit hlavu do dlani a usedave plakat (aspon to bylo jedine co jsem mohl udelat ). Jeste bych doplnil, ze pokud se neaktualizoval seznam baliku, tak neslo nove veci pridavat, protoze uz neplatily stare cesty (v repository nebyly tehdejsi verze baliku). Dale bych doplnil, ze pokud by se toto stavalo jen obcas, tak by mi to zas tak nevadilo, ale bohuzel byl to celkem casty jev zpusoben tim, ze jeden server toho "umel prilis mnoho" nebo alespon chtel toho vic umet najednou... Nektere veci se mi postupem casu nedaly realizovat uz vubec (ujel mi vlak a uz to neslo bezpecne aktualizovat) a tak jsem se poucil. Nyni to delam tak, ze vyinstalim holy system, do toho virtualizaci a drobim server na povicero virtualnich serveru, ktere mam mezi sebou spojene vnitrni siti (resp. vlastni rozsah vnitrnich ip adres) a ven sluzby propaguju bud dnatem, nebo virtualnum davam ostre adresy. Timto stylem je muzu prehazovat ze strje na stroj, zalohovat je a uz vubec se nestresovat bohatou konfiguraci na jednom gentoo. Tedy bych to shrnul do vety: "s gentoo na serveru jsem mel nekolikaletou, ale vesmes spatnou zkusenost i pres moje velke nadseni na pocatku".

[AraxoN]

Máme gentoo serverov viditeľných z internetu asi tak 10. Updatujem to raz týždenne - ak je čo (a väčšinou je). Nie je to žiadna extra práca, ak nepočítam kernel. Vyššie verzie kernelu dám zamaskovať a s updatovaním čakám kým nebudem mať cestu okolo serverovne - raz sa mi stalo, že server po reštarte s novým jadrom nenabehol, a také srandy druhýkrát nechcem zažiť, takže sa reštartu s novým jadrom podľa možnosti účastním osobne.

Konfigurácie emerge neprepisuje, a že by softvér prestal s konfiguráciou fungovať sa stane len občas pri zmene major verzie. Na to mám testovací server, keď sa mení major verzia tak si dávam väčší bacha. Ale toto hrozí s hocijakou distribúciou, nielen s gentoo.

A či sa oplatí gentoo na server? Ťažko mi súdiť, inštalácie nových servrov sú pipľačka. Toho by som sa rád zbavil. Na druhej strane človek ten systém pozná do takých detailov, že keď sa niečo doserie, tak to vie opraviť. Mali sme na pár serveroch ešte Debian, Whitebox (založený na RedHate) a OpenSUSE, ale na nich keď sa niečo pokazilo, tak to už nikto nedal dohromady. Ale príčina kľudne mohla byť medzi klávesnicou a stoličkou...

[fixinko]

Mam par selinux hardened serverov a idu bez problemov, az na pociatocne nastavenie selinux policy :), to jedine dalo zabrat. Aktualizujem priebezne a zatial som nemal vaznejsi problem :).

[rADOn]

Provozoval jsem taky par gento oserveru, a zkusenost je zhruba nasledujici.

Pokud je to prace nebo admin typu "nainstalovat a zapomenout" tak gentoo neni spravna cesta. Delat jednou za rok upgrade debiana nebo redhota je sice voser, ale aspon clovek ma predstavu na co muze narazit. Udelat totez na gentoo znamena jednim vrzem narazit do vseho od baselayoutu az po gcc, v unikatni konfiguraci - neco takovyho nemuze dobre dopadnout.

Pokud je vykon, bezpecnost nebo nejake specialni nastaveni dulezitejsi nez investovany cas tak se gentoo vyplati. Kdyz muzu fungovat s tim co dostanu po 'apt-get install apache', je to fajn. Kdyz si musim delat vlastni balicky - a to dela treba u apache hodne lidi - pak muzu tehoz dosahnout na gentoo daleko snaz.

Celkem bych rekl, ze se gentoo hodi na masinu ktera ma delat jednu vec, ale ma ji delat poradne. Samotny webserver nebo samotna databaze a system vyladeny podle toho. A admin ktery na to staci.

Na lidi mam takovy male soukrome pomerovatko - test kernelem. Clovek ktery si neumi nebo nechce zkompilovat kernel by se nemel snazit kompilovat zbytek systemu.