Podzielenie serwera dedykowanego na VPS`y

[Pawlo 0]

Witam wszystkich.

Posiadam serwer Kimsufi 24G i chciałbym go podzielić na VPS, np. żeby na jednym stało forum, na drugim chciałbym postawić Teamspeak3, na kolejnych jakieś serwery, typu Minecraft lub Counter Strike oraz żeby każde miało wydzielone swoje zasoby typu RAM, ilość wątków procesora, dysk, łącze.
Nie ukrywam, że dopiero zaczynam "zabawę" z administrowaniem, więc Linuxa znam dość słabo, umiem jedynie wklepać parę komend do SSH itp., jednak chciałbym się tego samemu nauczyć, dlatego zależy mi na zrobieniu tego osobiście. Stąd moja prośba do Was o trochę pomocy, czytałem trochę na ten temat, jednak nie ma to jak bezpośrednia odpowiedź do konkretnego problemu. Chciałbym się zatem poradzić Was, jaką wirtualizację wybrać pod to co planuję postawić, a także może jakieś wskazówki co do trudniejszych manewrów czy działań, jakie powinienem wykonać.
Moja dystrybucja to CentOS 6.4 z wgranym panelem Direct Admin.

Z góry dziękuję za pomocne odpowiedzi.
Pozdrawiam.

[chmuri 89]

OpenVZ i potem sie bawić z mniejsze kontenery.

[Gość Kamikadze]

Masz pewnie jeden IP to będą kombinacje alpejskie z NATem i przekierowaniami.

 

Wirtualizacja + panelik prosty do tego i dasz radę

[Pawlo 0]

Masz pewnie jeden IP to będą kombinacje alpejskie z NATem i przekierowaniami.

 

Wirtualizacja + panelik prosty do tego i dasz radę

 

Ok, dzięki za odpowiedzi, jednak niewiele mi to mówi, jakbym mógł prosić o rozwinięcie wypowiedzi, co dokładnie mam zrobić.

 

Co do adresu Ip, to mogę dokupić w razie czego kolejne.

[Gość Kamikadze]

http://wiki.centos.org/HowTos/Virtualization/OpenVZ

[McAs 28]

@Pawlo

w Kimsufi nie z obecnej oferty nie da się dokupić IP

[Pawlo 0]

Aha, czyli instaluje po prostu OpenVZ plus do tego jakiś panel, np. https://code.google.com/p/ovz-web-panel/
i wszystko będzie działać, jeśli postąpię zgodnie z instrukcją?
A co odnośnie tego NATU? Czy to jest jakaś przeszkoda lub utrudnienie? Działanie będzie się czymś różniło?

[Gość Kamikadze]

To jest nic innego jak to co masz w domu.

 

Czyli 1 adres IP i kilka urządzeń (np. komputer, laptop, router itp. w jednej sieci). Umożliwia to komunikację kilku urządzeniom w ramach jednej sieci i jednego publicznego adresu IP. Musisz zrobić to samo na serwerze jeżeli chcesz mieć różne usługi na różnych wirtualkach (VPSach).

 

Jeżeli skonfigurujesz sobie NAT to musisz w tedy zrobić przekierowanie portów.

 

czyli np.

 

WWW (port 80) przekierowuje na serwer VPS1

MySQL (port 3306) przekierowuje na serwer VPS2

FTP (port 21) przekierowuje na serwer VPS3

SSH (port 22) nie przekierowuje nigdzie czyli logujesz się do dedyka

 

itd. (IP jest ciągle jedno a tylko zmienia się port usługi). W praktycznie każdej usłudze da się zmienić port więc to jest praktycznie żadna przeszkoda

[Pan Kot 1535]

Pytanie tylko jaki jest sens dzielić maszynę na VPS'y, skoro to nigdy wydajniej od samej maszyny działać nie będzie, a tym bardziej na OpenVZ.

 

Ja bym się zainteresował tym co chcesz uzyskać, bo jeśli po prostu sobie "bezpiecznie" postawić dodatkowe usługi to da się to osiągnąć i bez tego. Tak samo z limitami (poza tym jeśli dana usługa wskakuje na limit to to jest sygnał, że coś jest nie tak, a limitowanie jej nie jest rozwiązaniem).

Edytowano Wrzesień 17, 2013 przez Archi (zobacz historię edycji)

[Pawlo 0]

Ok, rozumiem już o co chodzi, tylko chciałem właśnie, żeby forum stało na jednym, czyli rozdzielenie www i ftp nie ma za bardzo sensu.

 

To jest nic innego jak to co masz w domu.

 

Czyli 1 adres IP i kilka urządzeń (np. komputer, laptop, router itp. w jednej sieci). Umożliwia to komunikację kilku urządzeniom w ramach jednej sieci i jednego publicznego adresu IP. Musisz zrobić to samo na serwerze jeżeli chcesz mieć różne usługi na różnych wirtualkach (VPSach).

 

Jeżeli skonfigurujesz sobie NAT to musisz w tedy zrobić przekierowanie portów.

 

czyli np.

 

WWW (port 80) przekierowuje na serwer VPS1

MySQL (port 3306) przekierowuje na serwer VPS2

FTP (port 21) przekierowuje na serwer VPS3

SSH (port 22) nie przekierowuje nigdzie czyli logujesz się do dedyka

 

itd. (IP jest ciągle jedno a tylko zmienia się port usługi). W praktycznie każdej usłudze da się zmienić port więc to jest praktycznie żadna przeszkoda

Ok, rozumiem o co już chodzi, tylko ja właśnie chciałem, żeby osobno każdy VPS miał ftp swoje, a rozdzielanie forum na 2 vspy,(www i forum), nie wiem czy jest sens.

 

Pytanie tylko jaki jest sens dzielić maszynę na VPS'y, skoro to nigdy wydajniej od samej maszyny działać nie będzie, a tym bardziej na OpenVZ.

 

Ja bym się zainteresował tym co chcesz uzyskać, bo jeśli po prostu sobie "bezpiecznie" postawić dodatkowe usługi to da się to osiągnąć i bez tego. Tak samo z limitami (poza tym jeśli dana usługa wskakuje na limit to to jest sygnał, że coś jest nie tak, a limitowanie jej nie jest rozwiązaniem).

Ogólnie chciałem, żeby forum miało zagwarantowane zasoby (serwery nie zabierają mu zasobów i nie powoduję gorszego działania) i było bezpieczne, tzn. jakby coś się sypnęło z serwerem Minecraft, żeby forum nic się nie stało.
Chodzi mi też o rozdzielenie dostępów, żeby np. serwer Minecraft mogły postawić osoby, nie mając tym samym dostępu do forum lub innych rzeczy.

Edytowano Wrzesień 17, 2013 przez Pawlo (zobacz historię edycji)

[Pan Kot 1535]

No i to da się osiągnąć bez zbędnej wirtualizacji, zamykając usługi w chrootach, rekompilując kernela z grsecurity i ustawiając limity. Nic trudnego dla kogoś siedzącego w temacie.

 

Wirtualizacja jest Ci potrzebna jeśli chcesz postawić niezależny system np. na innej dystrybucji czy nawet Windowsie. Poza tym przydaje się jeśli chcesz używać różnych adresów IP i generalnie przy dzieleniu dedyka na mniejsze części. Pewnie, również można użyć dla oddzielenia usług i limitowania zasobów, ale czy jest sens skoro to samo można zrobić bez tego?

Edytowano Wrzesień 17, 2013 przez Archi (zobacz historię edycji)

[Pawlo 0]

No i to da się osiągnąć bez zbędnej wirtualizacji, zamykając usługi w chrootach, rekompilując kernela z grsecurity i ustawiając limity. Nic trudnego dla kogoś siedzącego w temacie.

 

Wirtualizacja jest Ci potrzebna jeśli chcesz postawić niezależny system np. na innej dystrybucji czy nawet Windowsie. Poza tym przydaje się jeśli chcesz używać różnych adresów IP i generalnie przy dzieleniu dedyka na mniejsze części. Pewnie, również można użyć dla oddzielenia usług i limitowania zasobów, ale czy jest sens skoro to samo można zrobić bez tego?

Ok, rozumiem, a mógłbym prosić o jakieś wskazówki czy porady odnośnie tego albo jakieś poradniki, bo jak już wspominałem wcześniej, jestem słabo obeznany w temacie

[Pan Kot 1535]

O chroocie i kernelu z grsec masz w dziale bezpieczeństwo, tutek nawet napisany przeze mnie.

 

O limitach powie Ci więcej słowo "ulimit", które nawet na tym forum możesz wyszukać bo już też w którymś temacie pisałem jak je dobrze ustawić.

 

Poza tym jest jeszcze google.

Edytowano Wrzesień 17, 2013 przez Archi (zobacz historię edycji)

[spindritf 240]

Pytanie tylko jaki jest sens dzielić maszynę na VPS'y, skoro to nigdy wydajniej od samej maszyny działać nie będzie, a tym bardziej na OpenVZ.

OpenVZ to nie jest prawdziwa wirutalizacja, to kontener. Różnica jest taka, że kontenery są lżejsze i nie wymagają sprzętowego wsparcia. Zamknięcie aplikacji w kontenerze nie będzie miało istotnego wpływu na jej wydajność.

 

OpenVZ i potem sie bawić z mniejsze kontenery.

Jeśli zdecydujesz się na kontenery, to nie używaj OpenVZ, ani vserver. Użyj lxc (LinuX Container). Nie dlatego, żeby to było jakieś zdecydowanie lepsze rozwiązanie -- one wszystkie działają z grubsza tak samo -- ale lxc zostało włączone do linuksa i będzie działało na każdym w miarę nowym kernelu (od 3.8 chyba wszysktie większe bugi wyprasowali) bez konieczności kompilacji własnego i bez niepotrzebnych zgrzytów.

 

No i to da się osiągnąć bez zbędnej wirtualizacji, zamykając usługi w chrootach, rekompilując kernela z grsecurity i ustawiając limity. Nic trudnego dla kogoś siedzącego w temacie.

Dlaczego należy unikać kompilowania własnego kernela? Bo potem musisz kompilować go od nowa przy każdej ważnej aktualizacji. Dużo wygodniej jest zostać przy jądrze dystrybucji, które jest regularnie aktualizowane przez profesjonalistę (można mieć nadzieję). Z tego samego powodu upierdliwy będzie grsec. Poza tym, grsec skompilowany przez nooba (no offence) nie zachwyci stabilnością.

 

Posiadam serwer Kimsufi 24G i chciałbym go podzielić na VPS, np. żeby na jednym stało forum, na drugim chciałbym postawić Teamspeak3, na kolejnych jakieś serwery, typu Minecraft lub Counter Strike oraz żeby każde miało wydzielone swoje zasoby typu RAM, ilość wątków procesora, dysk, łącze.

Zrób tak:

 

Założ każdej z tych usług konto użytkownika (normalnego unix usera przez adduser). Zaloguj się na każde z tych kont (su nazwa_konta z roota) i tam skonfiguruj odpowiednio teamspeaka, csa, minecrafta, etc. Najprawdopodobniej nie będziesz potrzebował żadnych ograniczeń na zasoby poza tymi, które możesz nałożyć na poziomie aplikacji, np. uruchamiając minecrafta możesz javie polecić zajęcie, powiedzmy, 2GB pamięci

java -Xmx2048M -Xms2048M

i to najpewniej zupełnie wystarczy. Jeśli będą problemy, to zaczniesz kombinować.

 

Ale i wtedy nie słuchaj żadnych podszeptów o OpenVZ. LXC to zaakceptowany standard.

Edytowano Wrzesień 19, 2013 przez spindritf (zobacz historię edycji)

[Pan Kot 1535]

@spindritf

 

Kernela się nie aktualizuje z dnia na dzień, tylko ja tak robię. Poza tym jakbyś zerknął jakie kernele są z dystrybucjami to byś się mocno zdziwił. Sam make localmodconfig, który wywala 90% nieużywanych przez nasz serwer modułów zmniejsza jego rozmiar o przynajmniej 2-3x, a to przekłada się również na jego szybkość. Poza tym nie raz udowadniałem, że grsec jest super zabezpieczniem na 0day i jeśli chodzi o możliwe bugi czy dziury to akurat bardziej obstawiałbym grseca nieruszanego rok niż jądro dystrybucji aktualizowane co tydzień.

 

Może to ja mam jakieś skrzywienie na tym punkcie, ale akurat sam aktualizuje kernel najczęściej 2x w jednej wersji, a przesiadkę do 3.11.1 zrobiłem z 3.10.3. Więc raz na miesiąc-dwa sobie można zaktualizować moim zdaniem.

Edytowano Wrzesień 19, 2013 przez Archi (zobacz historię edycji)

[Pawlo 0]

OpenVZ to nie jest prawdziwa wirutalizacja, to kontener. Różnica jest taka, że kontenery są lżejsze i nie wymagają sprzętowego wsparcia. Zamknięcie aplikacji w kontenerze nie będzie miało istotnego wpływu na jej wydajność.

 

 

Jeśli zdecydujesz się na kontenery, to nie używaj OpenVZ, ani vserver. Użyj lxc (LinuX Container). Nie dlatego, żeby to było jakieś zdecydowanie lepsze rozwiązanie -- one wszystkie działają z grubsza tak samo -- ale lxc zostało włączone do linuksa i będzie działało na każdym w miarę nowym kernelu (od 3.8 chyba wszysktie większe bugi wyprasowali) bez konieczności kompilacji własnego i bez niepotrzebnych zgrzytów.

 

 

Dlaczego należy unikać kompilowania własnego kernela? Bo potem musisz kompilować go od nowa przy każdej ważnej aktualizacji. Dużo wygodniej jest zostać przy jądrze dystrybucji, które jest regularnie aktualizowane przez profesjonalistę (można mieć nadzieję). Z tego samego powodu upierdliwy będzie grsec. Poza tym, grsec skompilowany przez nooba (no offence) nie zachwyci stabilnością.

 

 

Zrób tak:

 

Założ każdej z tych usług konto użytkownika (normalnego unix usera przez adduser). Zaloguj się na każde z tych kont (su nazwa_konta z roota) i tam skonfiguruj odpowiednio teamspeaka, csa, minecrafta, etc. Najprawdopodobniej nie będziesz potrzebował żadnych ograniczeń na zasoby poza tymi, które możesz nałożyć na poziomie aplikacji, np. uruchamiając minecrafta możesz javie polecić zajęcie, powiedzmy, 2GB pamięci

java -Xmx2048M -Xms2048M

i to najpewniej zupełnie wystarczy. Jeśli będą problemy, to zaczniesz kombinować.

 

Ale i wtedy nie słuchaj żadnych podszeptów o OpenVZ. LXC to zaakceptowany standard.

 

 

 

Ok, podoba mi się Twoje rozwiązanie z tymi kontami. Tylko pytanie: czy mogę wydzielić te konto osobie, która będzie mogła tylko w zakresie tego konta postawić teamspeaka i mieć dostęp tylko do niego?

I pytanie jeszcze, czy jest możliwe nałożenie aplikacji użycia procesora?

 

[Kszysiu 136]

 

czy jest możliwe nałożenie aplikacji użycia procesora?

cpulimit

[spindritf 240]

Ok, podoba mi się Twoje rozwiązanie z tymi kontami. Tylko pytanie: czy mogę wydzielić te konto osobie, która będzie mogła tylko w zakresie tego konta postawić teamspeaka i mieć dostęp tylko do niego?

Jak najbardziej. Do tego służą w ogóle konta użytkowników, żeby dać komuś ograniczony dostęp.

 

Ustawiasz hasło (albo lepiej: importujesz jego publiczny klucz ssh) i zawodnik normalnie się loguje po ssh. Tak samo jak Ty, tylko na swoje konto.

[Pan Kot 1535]

Jak najbardziej. Do tego służą w ogóle konta użytkowników, żeby dać komuś ograniczony dostęp.

 

Ustawiasz hasło (albo lepiej: importujesz jego publiczny klucz ssh) i zawodnik normalnie się loguje po ssh. Tak samo jak Ty, tylko na swoje konto.

 

No chroot to to nie będzie...

[Pawlo 0]

Jak najbardziej. Do tego służą w ogóle konta użytkowników, żeby dać komuś ograniczony dostęp.

 

Ustawiasz hasło (albo lepiej: importujesz jego publiczny klucz ssh) i zawodnik normalnie się loguje po ssh. Tak samo jak Ty, tylko na swoje konto.

Tak zrobiłem, najpierw zrobiłem grupę, później usera do niej przypisanego, w katalogu home, jednak mam problem z zalogowaniem się do ssh przez dane tego usera - authenticaton failed. Aczkolwiek wydaje mi się, że wszystko ok jest, przez roota normalnie mogę przejść poprzez "su".

[Łukasz Ostrowski 593]

A jaką ten user ma powłoke?

[Gość Kamikadze]

Zaloguj się na roota i daj:

 

passwd user_co_nie_dziala

 

wpisz hasło jakie chcesz mu ustawić i w tedy spróbuj. Zobacz jeszcze czy ma przypisany katalog domowy /home/nazwa_usera

[Pawlo 0]

A jaką ten user ma powłoke?

 

 

Zaloguj się na roota i daj:

 

passwd user_co_nie_dziala

 

wpisz hasło jakie chcesz mu ustawić i w tedy spróbuj. Zobacz jeszcze czy ma przypisany katalog domowy /home/nazwa_usera

 

powłokę ma taką samą jak root, bodajże bin/bash czy jakoś tak.

co do hasła usera to właśnie tak ustawiałem i nie działa. Katalog domowy również jest utworzony.

Edytowano Wrzesień 21, 2013 przez Pawlo (zobacz historię edycji)

[Pawlo 0]

Hmm, nie wiem czy to może mieć znaczenie, ale gdzieś wyczytałem, że to może być wina tego, że mam panel Direct Admin zainstalowany.

[Pawlo 0]

Problem już rozwiązany, trzeba było dodać usera do AllowList.