Dotaz: Konfigurace vice serveru shodneho typu

[MP]

Ahoj,

poohlizim se do nasi infrastruktury po necem, co by umelo pro tuto chvili zakladni konfiguraci serveru shodneho typu. Vsechny servery mame unikatni "pets", ale to se ma zmenit, takze budou "cattles". Jedna se o kompletni servery, ne kontejnery.

Mam tu tedka 2 priklady:

1] HAproxy - konfigurace pro HA

2] Apache - virtualhosty

Co dlouhodobe aspon trochu sleduji bity a bajty, tak jsou tu hlavni 2 moznosti - CM, sdileny FS.

Sdileny FS vypada nejjednoduseji napr. NFS, ale pak ty konfiguracni soubory jsou pres symlinky dostupne jen v pripade dostupnosti NFS. Resi to shodne soubory, neresi moc rozdilne (muze ale byt pres promenne).

Dalsi moznosti je napriklad Glusterfs. Velka vyhoda, ze se vsechny soubory vyskytuji lokalne. Nevyhoda, pro vice ruznych skupin serveru by bylo potreba nakonfigurovat samostatne glusterfs clustery, nebot si myslim, ze jeden gluster pro vsechny typy by se casem nevyplatilo. Rozdilnost v souborech je podobny pripad jako NFS.

No a pak je tu ten CM. Zde tezko vybrat, kazdy ma nejaky preference a kdyz se zeptam na ruznych diskusnich forech, dostanu aspon 4 odpovedi (puppet, ansible, chef, salt...).

Do ceho by jste v dnesni dobe sli, pokud by jste meli cisty stul? V tuhle chvili jde o zakladni veci, jako udrzeni shodne nainstalovaneho sw, na coz se da pouzit treba aptly/foreman, ale jde spis hlavne o udrzeni konfigurace sjednocene a nemuset to konfigurovat stroj za strojem.

Jo, primarne neco, co funguje na Debianu. Zatim se mi libi "jednoduchost" glusterfs, ale vaham nad nekterym CM. NFS cesta je takova osemetnejsi.

Diky za podnety.

Odpovědi

[Aleš Kapica]

Ansible pro správu a podle toho kolik těch strojů bude buď GlusterFS nebo Ceph.

[MP]

Uloziste je vyresene, gluster ani ceph to nakonec neni, kazdy z jinych duvodu.

O tom ansible dost uvazuji jako protivahu glusteru, pripadne jsem zahledl jeste neco jako syncthing/lsyncd.

[Aleš Kapica]

Šmankote, vždyť to je něco úplně jiného. Ansible je nástroj jak to spravovat a nezbláznit se z toho.

[MP]

Vsak jo. Upresnim ten priklad na HAproxy. Co vlastne tam na active/passive kombinaci potrebuju?

1] mit stejny konfig na obou stranach pro haproxy 2] mit stejne certifikaty/klice na obou stranach, nektere se budou casto menit (letsencrypt)

Kdyz tam pouziju gluster, tak si muzu symlinknout original 1],2] na lokalni kopii v glusteru. Kdyz pouziju ansible, tak muzu modifikovat 1], ale 2] mi to jednoduse neporesi.

[Josef Kufner]

Nedělal bych rozdíl v tom, zda jde o fyzický server nebo o kontejner. Klidně koukni i na nástroje pro správu kontejnerů.

Pokud jde o distribuci a synchronizaci konfigurace, vyhnul bych se síťovým filesystémům. Důvod je prostý: Pokud server chcípne, je server bez /etc. Lokální kešování a podobné věci mohou menší výpadky pomoci ustát, ale je to zbytečná komplikace.

Co použít Git? Etckeeper (git + pár hooků) se v Debianu stará o verzování /etc a je napojený na APT, takže se dělají automaticky snapshoty před a po upgrade. Pokud chceš mít servery identické, upravil bych konfiguraci na jednom, commit, push, na druhém serveru pak pull. Rozhodně by to pomohlo při porovnávaní konfigurací serverů a podobně. Pokud se přidá export seznamu nainstalovaných balíčků a skript, který balíčky ze seznamu na/do-instaluje, mohlo by to celkem stačit.

[MP]

Umim si predstavit etckeeper lokalne. Ale uz hure se mi to predstavuje centralizovanejsi. Obecne ani s gitem moc zkusenosti nemam.

[Josef Kufner]

Při použití etckeeper je /etc prostě pracovní adresář Gitu, takže přenosy konfigurace mezi servery jsou prostě běžná práce s Gitem.

[Aleš Kapica]

Jo, akorát že se k tomu git zrovna nehodí. I když jsou konfigurační soubory stejné, stejně tu a tam potřebují upravit podle konkrétního stroje.

Já jsem používal puppet, ale po upgrade ze 3.x na 4.x se mi nechtělo přepisovat všechny třídy kvůli tomu, že se někdo opět rozhodl drbnout do syntaxe, takže jsem přešel na Ansible, který pochopitelně v gitu mám.

Puppet byl jinak prima především proto, že si agent hlídal jestli někdo nedrbnul do konfigurace způsobem jakým neměl. Ovšem moc se nehodil pro reinstalaci stroje od bodu nula do full stavu - na rozdíl od Ansible, kterému na to stačí pouze rozjeté ssh.

[hates]

pokud chces udrzovat stejne konfigurace na vsech serverech a s tim i certifikaty tak puppet. Ja si takto nastavuji nekolik serveru ktere jsou identicke a certifikaty mam pres letsencrypt nasazovane na vsechny servery.

Nad puppetem je GIT a tam je vse ukladane a verzovane. Sitove FS jsou pouzite ke sdilenem datum napriklad webu, ale ne pro konfigurace. To bych byl blazen pokud bych to delal. GlusterFS se vyhni obloukem. Je to pomale. Zkousel jsem to uz nekolikrat, ale rozumna rychlost se mi z toho nepodarila dostat.

Moc se do toho zamotavas. Jdi tou uplne nejjednodussi cestou. cim min ptakovin tim spolehlivejsi a prehlednejsi.

Puppet se zda byt jako kanon na vrabce, ale v praci tim spravuji stovky serveru rozdelenych do skupin jak fyzicke tak virtualni. Doma jich mam nekolik desitek, ale kontejneru a zpravuju je taktez puppetem Jsou to virtualni servery ve FORPSI a v tom je posazeno mraky LXC kontejneru. Co kontejner to sluzba. Planuji prechazet na kubernetes a to bude taktez zpravovane puppetem. Ansible je tresnicka na dortu.

[MP]

Prave, ze takhle kdyz to ma clovek rozjet, to vypada vse strasne slozite a riskantni...

[alkoholik]

Jestli je ochotny jit do Foremana, tak ma Puppet tak nejak v cene.

[MP]

Myslel jsem, ze je Foreman i neplacena verze. Pokud je placeny, tak je mimo hru, firma nic takoveho nezaplati, zvlast, kdyz drtiva vetsina serveru je Debian. Vicemene muzu pouzit jen free nastroje, nebo to delat "postaru".

[alkoholik]

Foreman i s Puppetem jsou i ve free verzi.