Dotaz: Oracle Linux - nazory (Nahrada CentOS 8)

[polo23]

Ahoj,
chtel bych se zeptat na Vas nazor ohledne Oracle Linux. Zajimaji me hlavne, co mate proti tomuto distru. Ptam se proto, ze bych jim chtel nahradit CentOS 8. Predem diky za nazory.

Odpovědi

[bigBRAMBOR]

placena podpora za cizi praci, BTRFS, ZFS, divne UEK jadro

[polo23]

Oracle Linux neumoznuje mit ext4 filesystem?
To UEK kernel je tam default bez moznosti mit jiny kernel?

[bigBRAMBOR]

1- umoznuje vse co RHEL, tak i ext4 nebo xfs, ale protoze BRTFS i ZFS patri Oracle, tak jim zazlivam, ze ackoliv jsou ochotni zdimat cizi linuxovou distribuci, sami nejsou ochotni prispet treba zmenou licence nebo vlastni praci na zazleneni kodu pro tyhle dva FS do jadra

2 - ano, je tam i originalni RHEL jádro, UEK je vetsinou novejsi, mas na vyber, ale je to takovy vyber "hele taky delame neco vlastniho"

[Andrej]

Oracle Linux neumoznuje mit ext4 filesystem?

K čemu takové předpotopní béčko? To je jako ptát se, jestli má Tesla verzi s 2-taktním spalovacím motorem.

[bigBRAMBOR]

Tak jaky je stav modernich fs v rhel a jeho klonech vis a to smutnejsi ze oracle jeden takovy klon pytlikuje taky, maje brtfs a zfs.

[X]

Nezam nikoho kdo to realne pouziva.. Osobne mam pocit, ze se to pouziva hlavne na draha standalone reseni od Oracle(CRM, SAP, Java). Takova ta reseni na ktera nikdo nechce ani sahnout, potrebujes na ne specialistu za x desitek tisic a spravuje to externi firma ;).

[polo23]

Diky za prispevek. No, popravde to, ze se to pouziva na standalone reseni, ktera jsi vyjmenoval me az tak netrapi.

[PetebLazar]

Problémy které v průběhu životního cyklu OS vyplavou/řeší_se mohou mít značnou souvislost s využívanými aplikacemi. Pokud budete používat určitou aplikaci třetí strany na OL jako jediný a její problém bude tkvit v OS, řešení může být hůře dostupné a to i s placenou podporou než na jiné distribuci kde je tato využívána častěji.

[Pavel 'TIGER' Růžička]

Tak nějak nevidím důvod přecházet na Oracle linux, pokud na něm nechceš provozovat specifické služby. Vždyť tu je třeba Alpine Linux, který je na server jak dělaný. Pochopitelně hodně záleží na tom, co na serveru poběží a na základě toho bych vybíral distribuci.

[lertimir]

Poohled bych se po ClearOS. To je také distro postavené na CentOS/RHEL, a možná budou konzervativnější.

[Nuphar]

A proč z Centosu nepřejít na openSUSE? Aktuálně se velmi sbližuje se SUSE Linux Enterprise a připravovaná verze 15.3 má mít prakticky stejné jádro, jako SUSE Linux Enterprise 15 SP 3.

[mimi.vx]

Ehm , v Leapu je vzdy stejne jadro jako v odpovidajici verzi SLESu ( uplne stejny source balik, je buildnuty pro Leap) stejne jako spusta core baliku ( systemd, glibc etc).

Dosud je SLES shodny s Leapem co se tyce source baliku, ale build jede pro SLE a Leap zvlast

 

S prichodem Leap 15.3 Core baliky jako jadro, glibc , systemd .. etc ( dohromady okolo 1500 balkicku) budou shodne i binarne --> jenou vybuildene baliky pro SLE budou distribuovany take pro LEAP + v leapu budou balicky co ve SLESu nejsou ( ty se zas u SLE najdou v PackageHub repozitari)

[Michal Kubeček]

Ehm , v Leapu je vzdy stejne jadro jako v odpovidajici verzi SLESu ( uplne stejny source balik, je buildnuty pro Leap)

Zatím to tak nebylo, zdrojáky (upstream tarball a patche) sice byly stejné, ale lišila se konfigurace. Kromě toho, že Leap měl povoleno dost modulů navíc, tam byly i další drobné rozdíly. Největší byla preempce u kernel-default (Leap má PREEMPT_VOLUNTARY, SLE PREEMPT_NONE), pak tam byly IIRC i různé limity na počet procesorů atd.

Teprve v 15.3 by to mělo být opravdu stejné jádro a lišit se jen tím, že Leap bude mít moduly navíc (jako samostatný subpackage).

[regine]

Více jak 15 let užíváme SLES pro rozsáhlou databázi s velkým počtem globálních klientů za firewall-em (demilitarizovaná zóna). Plná spokojenost. Bezpečnostní certifikát od NBÚ.

[bigBRAMBOR]

No, to moc neznamena, jeste na jare jsem mel platny NBU cert na pc s win XP a ted na podzim mi dali cert na PC bez kontroly, je covid, tak nikam nejezdi.

[LarryL]

Jen tak ze zvědavosti... ten certifikát od NBÚ je např. na to abys mohl na tom PC s Win XP projektovat/programovat třeba signalizační, poplachové, tísňové apod. systémy? To je něco jako certifikát kvality pro uvedené výrobky?

[bigBRAMBOR]

Na praci s dokumety oznacenymi prislusnou urovni zabezpeceni. Napr zadavacky od vojaku apod.

[xkucf03]

V první řadě je otázka, proč chceš provozovat distribuci typu RedHat/CentOS/OracleLinux. Typickým důvodem je třeba provoz Oracle DB – a v tom případě bych se použití jejich distribuce nebál, naopak bych to bral jako výhodu, protože když bude nějaký problém, máš OS i DB od jednoho dodavatele a ten by se měl starat (jasně, v praxi se budou vždycky na něco vymlouvat, ale takhle mají o jeden argument méně).

V ostatních případech (kdy to aplikace nevyžaduje) bych se RH a jeho klonům spíš vyhnul a šel cestou Debianu, Ubuntu nebo jiných distribucí.

Něco jiného je, když si někdo chce u RH zaplatit podporu – pak by za tebe měli řešit problémy a poskytovat ti nějaké služby, což oproti komunitním distribucím bez záruk nějaká výhoda je – ale to zjevně není tvůj případ, když se ptáš na náhradu CentOSu.

[asfethan]

Typicky dovod moze byt aj SELinux.

[Max]

Problém tohoto distra je to, že patří Oracle, tedy né moc k OSS vlídné firmě, která se nebojí zaříznout cokoli a zpoplatnit cokoli. Jedná se tedy o takovou nejistou sázku, zda Oracle třeba za rok neotočí a znepřístupní public repo.
Já OEL používám, ale jenom kvůli Oracle aplikacím. Tam kde nemám OracleDB či jiné jejich služby, tam mám CentOS nebo Debian.

A to je i důvod, proč vyčkávám, jak se situace do konce ledna vyvine, chci používat OEL jen pro nezbytně nutné věci.
Zdar Max

[Andrej]

Proti Oracle Linux mám totéž, co proti všem béčkovým distrům, která o 20 let zaspala dobu a dodnes nepochopila, že verzování se má týkat pouze jednotlivých balíčků, nikoliv distribuce jako celku.

[Michal Kubeček]

Proboha, lidi, dejte si studenou sprchu, přestaňte vyšilovat a trochu se zamyslete. OK, Red Hat změnil pojetí CentOSu, ještě dokážu pochopit, že to někdo bere jako zradu ideálů a tak vůbec, ale řešit to tím, že přejdete k Oraclu??? Ani jako vtip to nezní moc povedeně…

[pavele]

Někteří jako já potřebují stabilní OS, který se nemění, s co nejdelší dobou bezpečnostních aktualizací.

A Windows 10 to není - včera zkolaboval systém po aktualizaci dceři, bitlocker, který ani nenastavovala ani nepoužívala jí zamkl disky a veškeré data do školy jsou, ehm, v cloudu.

Takový bordel jsem ještě s Win nezažil, aby sám od sebe zašifroval disky - ty jsou samozřejmě OK, jen se nejde dostat k datům. Jo, doba jde kupředu.

Neříkám, že je linux super, ale abych se nedostal k datům, to se mi ještě nestalo.

[Max]

Nevěřím, že si Windows 10 sami vymyslí nějaké heslo, vygenerují klíče a uloží si to do TPM. Navíc Bitlocker nemá s cloudem nic společného. Možná tam nějaké propojení bude podobně jako s firemním Active Directory, kam lze syncovat recovery klíče (když uživatel zapomene heslo/pin do TPM), ale to by předpokládalo, že někdo jí do PC přihlásil/založil cloudový účet.
Ale i v takovém případě si Windows 10 nic sami nevymyslí. Spíše bych věřil tomu, že uživateli nabídly vyšší zabezpečení a uživatel s právy administrátora to odbouchl a naťukal tam něco, co už neví.
Takže otázkou je, zda ti dcera nepracuje na PC pod admin právem a neodbouchla něco omylem?

Bitlocker používáme ve velkým a mám zkušenosti s jeho nasazováním, takže se mi to zdá fakt jako úlet.
A ohledně dat, dostaneš se k nim podobně jako v linuxu, prostě se podíváš do poslední zálohy, ale předpokládám, že to jsi slyšet nechtěl :D.
Zdar Max

[pavele]

Stačí se podívat na pár odkazů google - after update bitlocker locked disc...

Týká se to speciálně HP pro notebooků, kde se současně aktualizoval i BIOS.

Data v cloudu jsem myslel jako v čoudu, tedy v perdeli.

[Max]

Našel jsem spoustu odkazů, jak se lidem sám zašifroval externí disk. To se týkalo Dellů, které se distribuovaly se zapnutým bitlockerem.
Pak jsem narazil na to, že po update biosu se v HP notebooku zašifroval disk. To jde ale pak na bedra HP, nikoli MS.
Update biosu totiž dělá to, že vypíná bitlocker, provede update biosu a po úspěšném bootu jej zase zapne. Je to z toho důvodu, že když Windows detekují změnu hw, což by ten update biosu mohl udělat, tak pak chtějí recovery klíč. A ještě jsou tam další drobnosti, proč to tak dělat.
Jinými slovy, je spíš na 99% pravděpodobné, že to posralo HP a po update biosu ti aktivovalo bitlocker.
Jinak je možné, že i Dell mohl mít podobný bug nebo nějakou neotestovanou kombinaci.
Zdar Max

[Petr]

Ty mas verzi P? Protoze v H je BL k nicemu, proto jsem vypnul sluzbu. Dle vyjadrovani P nejsi ale faky ti jdou. Instalace BIOSu automaticky pokud to zase neni fake je teda prasarna, kdyz to muze udelat u negramota cihlu.

[pavele]

Dám vědět, jak to dopadlo, dali jsme to do HP servisu, na tohle fakt nemám.

Jestli se povede obnova dat, tak všechno zazálohuju, povypínám a odinstaluju všechen software od HP a MS a vypnu aktualizace, seru na ně, budu je zapínat ručně v bezpečném období.

Se na to můžu vykašlat, server ve firmě mi běží čtvrtým rokem uptime a debilní slušný notebook s oficiálním OS a MSOffice, do kterého nikdo nerýpe, udělá tohle. Debilní bezpečnost, každý utřinos má asi doma v NTB plány jaderné elektrárny a nebo pracuje pro ABC společnosti.

[bigBRAMBOR]

esli ti v servisu dešifrují data tak je neco spatne.....

[pavele]

Ještě mě napadlo, že jsou šifrovaná data jen pomocí TPM, disky vidím, ale jak je odšifrovat, když je vše přes TPM a klíč ani heslo není.

[Max]

Takto to nefunguje. Windows mají x úrovní certifikátů. Jeden zpřístupňuje další, co zpřístupňuje ten, co dělá to šifrování. Nějaké info z mé interní dokumentace, co jsem si kdysi jen tak z nudy dělal:

• VMK (Volume Master Key)
• FVEK (Full Volume Encryption Key)
• KDF (Key Derivation Function)

TPM je pak k několika věcem:

• umožňuje generovat zabezpečené klíče (růčí za jedinečnost a bezpečnost algoritmu pro generování klíče)
• každé zařízení má v sobě od výroby unikátní a tajný RSA klíč, který by měl jít přegenerovat, ale už né přečíst
• od roku 2006 je většina ntb prodávána s TPM čipem
• verze TPM 2.0 je povinná pro PC, které chtějí mít certifikaci Windows
• TPM slouží k ukládání šifrovacího klíče BitLockeru, otisku prstů a dalších věcí
• jedná se vlastně o takový lepší Token, který je přímo součástí hardware

Bezpečnost:

• některé TPM generují slabé klíče a celkově je bezpečnost TPM nedůvěryhodná
• je otázkou, jak silný a unikátní je klíč, který je generován v TPM a slouží ke generování dalších klíčů aj. věcí
• objevuje se spousta bezpečnostních děr kolem, např. nedávno v Intel AMT MEBx, kdy pokud nemá do MEBx nastavený uživatel heslo, tak lze lokálně obejít heslo do biosu i pin do TPM (v tomto případě je to sw implementace Intelu pomocí ME)

Klíč pro obnovení (Recovery Key)

• Jedná se o 8x6 čísel oddělených pomlčkou.
• klíč lze automaticky zálohovat do Active Directory (pokud máme firemní síť a je toto nastaveno v rámci firemních politik)
• klíč lze automaticky zálohovat na onedrive / microsoft live účet
• Recovery Key jde do KDF, jehož výstup je použit pro decryptování VMK a to je následně použito pro decryptování FVEK

Pokud na PC používáš online účet (= propojený s MS), tak je možné, že recovery key budeš mít k dispozici na OneDrive/Microsoft účtu.
Ještě je možné, že k PC byl připojen jiný disk a tam bude recovery key v txt podobě.
Zasílání ntb do servisu vidím jako zbytečnost, kde jednak nevidím možnost, že by ti to odemkli a navíc riskuješ, že ti ty data smáznou (to člověk riskuje vždy, když něco posílá do servisu, protože jeden z jejich prvních kroků je totální tovární nastavení).

Zdar Max

[Max]

Chlubit se vysokým uptime je úlet, to značí díru jak vrata :).
Zdar Max

[bigBRAMBOR]

Ne

[Pavel 'TIGER' Růžička]

S každou novou verzí Windows tlačí do přihlášení přes MS účet, když se v poslední verzi podíváš do vlastností Tento počítač, tak Bitlocker také čím dál více zviditelňují. Po každé nové verzi to zakazovat a skrývat je čím dál náročnější. Prostě MS chce, abys sytém používal podle jejich představ a ne podle sebe (i to je asi důvod, proč nejsou běžně k sehnání čisté windows bez balastu). No a pokud uživateli vyskočí během používání nějaké upozornění, nedivím se, že jej odklikne a na potíže může být zaděláno. Je smutné, že uživatelsky je systém tak nepříjemný, protože technologicky to není vůbec špatné.

[PetebLazar]

Zajímavostí je, že když si v rámci velkých Update Windows 10 několikrát automaticky restartují počítač (nezdálo se mi že by šlo jen o restart OS) se zadáváním hesla k BitLockeru se nezdržují.

[Peter Golis]

Kedysi sa Bitlocker distribuoval len ako súčasť Proffesional a Enterprise distribúcií OS Windows (alebo niektorých serverových), a nedávali to do Home a podobných verzií. Nejako sa mi nezdá že by MS ten nástroj sám nanútil užívateľom, ale s nástupom cloudu by som sa tomu v prípade poslednej aktívne vyvíjanej verzie ani nedivil. V tom prípade by som sa ale pozrel či nie je ten kľúč k dispozícii na MS Cloude.

Nejaké info by sa nenašlo o verzii takto kompromitovanej distribúcie Windows, použitom AV riešení, alebo potvrdenie z napr. dislockera či sa naozaj jedná o Bitlocker a nie o nejaký vydierací ramsonware? Bez toho mi to pripadá len ako znudený hejt, v diskusii kde znudení ITčkári hejtujú RH, alebo aj rôzne FS.

[Michal]

Své dceři také nainstaluji Linux držím palce ať se vám přechod podaří.

[billgates]

Ja momentalne stale tlacim CentOS 8 a moje ocakavania su, ze do konca roka 2021 vznikne aspon jedna pouzitelna distribucia, na ktoru sa bude dat prejst jednoduchym prepisanim adries v /etc/yum.repos.d/. Ci uz to bude Rocky Balboa linux alebo nejaky iny projekt.

A ak sa to nahodou nestane, tak tie stocky serverov proste vypnem a pojdem zit do Panamy. Kazdopadne, teraz este nie je cas panikarit.

[k3dAR]

ad Balboa, nikoliv => Vzpomínám na první dny projektu CentOS, který se mnou spoluzakládal Rocky McGaugh. Už není mezi námi a nemohl tedy vidět úspěch CentOSu. Smekám před ním a představuji vám Rocky Linux. viz

[pavele]

Víc se mi líbil ten návrh na Rock linux, Rocky je tam taky a vypadá to líp.

[denrel]

Info Cern Fermilab