[Comm] неправильный KVM?

[Comm] неправильный KVM?

[adobrovolskii]

Всем привет,
А в КВМ вообще предусмотрена возможность установки виртуальной машины
при отсутствующих Иксах локально? Ну или точнее, позволяет ли такое
сделать либвирт с его инструментами? Сколько вариантов запуска
virt-install не пробовал, всегда висим на этапе создания домена.
Виртуальный диск создается, а запуск процесса установки дистрибутива
так ни разу и не увидел...
Это так задуманно или у нас так собрано/сконфигурированно?
В документации режим работы на консоль вроде есть. Но не понятно
толком о какой консоли речь и как этим воспользоваться...
-- 
Regards,
Andrii Dobrovol`s`kyj

Re: [Comm] неправильный KVM?

[Alexei Takaseev]

----- Исходное сообщение -----
> От: "adobrovolskii" <adobrovolskii@gmail.com>
> Кому: "ALT Linux Community general discussions" <community@lists.altlinux.org>
> Отправленные: Суббота, 31 Март 2012 г 22:58:15
> Тема: [Comm] неправильный KVM?
> 
> Всем привет,
> А в КВМ вообще предусмотрена возможность установки виртуальной машины
> при отсутствующих Иксах локально? Ну или точнее, позволяет ли такое
> сделать либвирт с его инструментами? Сколько вариантов запуска
> virt-install не пробовал, всегда висим на этапе создания домена.
> Виртуальный диск создается, а запуск процесса установки дистрибутива
> так ни разу и не увидел...
> Это так задуманно или у нас так собрано/сконфигурированно?
> В документации режим работы на консоль вроде есть. Но не понятно
> толком о какой консоли речь и как этим воспользоваться...

Могу предположить, что "зависание" это когда процесс установки сгенерил и 
запустил виртуалку, и виртуалка по vnc ждет дальнейших ваших операций над нею.
Посмотрите, у вас там после "зависания" не открылись ли порты 5900-... ?

Re: [Comm] неправильный KVM?

[adobrovolskii]

On Sun, Apr 1, 2012 at 5:33 AM, Alexei Takaseev <alexei@taf.ru> wrote:
> ----- Исходное сообщение -----
>> От: "adobrovolskii" <adobrovolskii@gmail.com>
>> Кому: "ALT Linux Community general discussions" <community@lists.altlinux.org>
>> Отправленные: Суббота, 31 Март 2012 г 22:58:15
>> Тема: [Comm] неправильный KVM?
>>
>> Всем привет,
>> А в КВМ вообще предусмотрена возможность установки виртуальной машины
>> при отсутствующих Иксах локально? Ну или точнее, позволяет ли такое
>> сделать либвирт с его инструментами? Сколько вариантов запуска
>> virt-install не пробовал, всегда висим на этапе создания домена.
>> Виртуальный диск создается, а запуск процесса установки дистрибутива
>> так ни разу и не увидел...
>> Это так задуманно или у нас так собрано/сконфигурированно?
>> В документации режим работы на консоль вроде есть. Но не понятно
>> толком о какой консоли речь и как этим воспользоваться...
>
> Могу предположить, что "зависание" это когда процесс установки сгенерил и
> запустил виртуалку, и виртуалка по vnc ждет дальнейших ваших операций над нею.
> Посмотрите, у вас там после "зависания" не открылись ли порты 5900-... ?
Про вариант с vnc я в курсе. Меня интересует вариант с --nographics,
как там оно точно пишется. Когда все должно ити через локальную
консоль. Добиться работы этого режима не получается. Если под иксами
открыть терминал и при установленном virt-viewer запустить
virt-install оно открывает второе окно для показа консоли установки. И
можно установить вмашину.
А меня интересует работа связки virt-install virt-viewer при
отсутствующих Иксах.
Или это принципиально невозможно? И для создания ВМов нужны Иксы по определению?
-- 
Regards,
Andrii Dobrovol`s`kyj

Re: [Comm] неправильный KVM?

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 1287 bytes --]

On Sun, Apr 01, 2012 at 05:26:49PM +0300, adobrovolskii wrote:
> Про вариант с vnc я в курсе. Меня интересует вариант с --nographics,
> как там оно точно пишется.

--graphics none, но по поводу него в virt-install(1) написано:

             none

             No graphical console will be allocated for the guest. Fully
             virtualized guests (Xen FV or QEmu/KVM) will need to have a text
             console configured on the first serial port in the guest (this
             can be done via the --extra-args option). Xen PV will set this up
             automatically. The command 'virsh console NAME' can be used to
             connect to the serial device.

Подозреваю, что не всякий дистрибутив может успешно установиться в
такой ВМ (даже в RHEL6 текстовый установщик уже существенно порезан по
сравнению с графическим; впрочем, там есть ещё вариант, когда
установщик сам запускает VNC, не используя видеокарту в графическом
режиме, ну а через kickstart вообще можно сделать что угодно).

Ещё можно выставить --noautoconsole, если консоль совсем не нужна
(например, всё настроено для полностью автоматической установки).

Вообще же совершенно не обязательно запускать virt-* именно на той
машине, где фактически запущен libvirtd и создаются ВМ.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Comm] неправильный KVM?

[Dmitriy Kruglikov]

1 апреля 2012 г. 21:24 пользователь Sergey Vlasov написал:

> Подозреваю, что не всякий дистрибутив может успешно установиться в
> такой ВМ (даже в RHEL6 текстовый установщик уже существенно порезан по
> сравнению с графическим; впрочем, там есть ещё вариант, когда
> установщик сам запускает VNC, не используя видеокарту в графическом
> режиме, ну а через kickstart вообще можно сделать что угодно).
>
> Ещё можно выставить --noautoconsole, если консоль совсем не нужна
> (например, всё настроено для полностью автоматической установки).
>
> Вообще же совершенно не обязательно запускать virt-* именно на той
> машине, где фактически запущен libvirtd и создаются ВМ.
>

Вот тут и просится хороший, полнофункциональный TUI...
С некоторым демоном, типа alteratord...
Который бы отдавал одну и ту же форму доступа к единственному backend
разным клиентам (Gui, Tui, Wui)...

А пробрасывать virt-* к серверу за тремя NAT и через 5 ssh - не самое
увлекательное занятие.



-- 
Best regards,
 Dmitriy Kruglikov.
    QString at, dot, mail, XMPP;
    at = "@";
    dot = ".";
    mail = "Dmitriy.Kruglikov" + $at +"gmail" + $dot + "com";
    XMPP = $mail;

Re: [Comm] неправильный KVM?

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 1240 bytes --]

On Mon, Apr 02, 2012 at 09:25:45AM +0300, Dmitriy Kruglikov wrote:
> Вот тут и просится хороший, полнофункциональный TUI...
> С некоторым демоном, типа alteratord...
> Который бы отдавал одну и ту же форму доступа к единственному backend
> разным клиентам (Gui, Tui, Wui)...

Объясните это разработчикам дистрибутивов.

> А пробрасывать virt-* к серверу за тремя NAT и через 5 ssh - не самое
> увлекательное занятие.

Проброс virt-* сводится к пробросу ssh.  Единственная неочевидная
особенность - если даже локальный порт, перенаправленный на удалённую
машину, указан в ~/.ssh/config в директиве Port для соответствующего
хоста, этот же номер порта необходимо указывать и в URL для libvirt.
Например, пусть средствами ssh (или любыми другими) организовано
перенаправление соединений с 127.0.1.2:20022 на машину server1, после
чего, чтобы можно было использовать просто команду ssh server1, в
~/.ssh/config добавлено:

Host server1
	HostName 127.0.1.2
	Port 20022
	HostKeyAlias server1

В этом случае для libvirt следует использовать URI вида

	qemu+ssh://user@server1:20022/system

Без указания ":20022" libvirt вызывает ssh с опцией -p 22, которая
перекрывает значение Port, указанное в файле конфигурации.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 190 bytes --]

Re: [Comm] неправильный KVM?

[Michael Shigorin]

On Mon, Apr 02, 2012 at 02:09:50PM +0400, Sergey Vlasov wrote:
> Без указания ":20022" libvirt вызывает ssh с опцией -p 22, которая
> перекрывает значение Port, указанное в файле конфигурации.

Интересно, чем они думали, когда так делали...
бывает ещё и глобальный Port.

Спасибо за предупреждение.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] неправильный KVM?

[Dmitriy Kruglikov]

2 апреля 2012 г. 13:09 пользователь Sergey Vlasov написал:
.
>> Который бы отдавал одну и ту же форму доступа к единственному backend
>> разным клиентам (Gui, Tui, Wui)...
>
> Объясните это разработчикам дистрибутивов.
А что им объяснять, если такого инструмента у нас (у них) нет?

> Проброс virt-* сводится к пробросу ssh.
Устанавливается некотороый сервер, который находится глубоко внутри
локальной сети(клиента), доступ к которой возможен только через
пограничный сервер(клиента), к которому по SSH можно достучаться
только с некоторого сервера (support) в Инете, к которому можно
добраться по SSH со своей рабочей станции(типа я сотрудник support).
Последовательно, войдя на каждый из серверов в цепочке и выполнив там
в консоли ssh userN@hostN...
Это не самое увлекательное занятие...


-- 
Best regards,
 Dmitriy Kruglikov.
    QString at, dot, mail, XMPP;
    at = "@";
    dot = ".";
    mail = "Dmitriy.Kruglikov" + $at +"gmail" + $dot + "com";
    XMPP = $mail;

Re: [Comm] неправильный KVM?

[Michael Shigorin]

On Mon, Apr 02, 2012 at 01:53:20PM +0300, Dmitriy Kruglikov wrote:
> > Проброс virt-* сводится к пробросу ssh.
> Устанавливается некотороый сервер, который находится глубоко внутри
> локальной сети(клиента), доступ к которой возможен только через
> пограничный сервер(клиента), к которому по SSH можно достучаться
> только с некоторого сервера (support) в Инете, к которому можно
> добраться по SSH со своей рабочей станции(типа я сотрудник support).

Проброс на суппорт-сервер :22 с некотороыого сервера
через служебный логин на пограничном сервере при помощи
чего-то вроде ssh -L "$PROXYPORT:$PROXYIP:22" -Nv "$ACCESS"
заметно увеличивает дальнобойность одного отдельно взятого ssh.

Соответственно после установления соединения можно
протуннелировать пачку портов через получившийся "мостик":
ssh $FORWARDS -p $PROXYPORT -N proxy@127.0.0.1, где

for p in $PORTS; do
        FORWARDS="$FORWARDS -L $p:$TARGET:$p"
done

(если пригодится, пиво Нетчу :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] неправильный KVM?

[Dmitriy Kruglikov]

2 апреля 2012 г. 15:31 пользователь Michael Shigorin написал:

> Проброс на суппорт-сервер :22 с некотороыого сервера
К сожалению, или к счастью, но для меня это не новость...
Хотя и приятным времяпровождением я это процесс не назвал бы.

> (если пригодится, пиво Нетчу :)
Мне бы пригодирся нормальный инструмент для управления системой...
Что под нормальным понимаю я, лично, тема для отдельного обсуждения.

-- 
Best regards,
 Dmitriy Kruglikov.
    QString at, dot, mail, XMPP;
    at = "@";
    dot = ".";
    mail = "Dmitriy.Kruglikov" + $at +"gmail" + $dot + "com";
    XMPP = $mail;

Re: [Comm] неправильный KVM?

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 2567 bytes --]

On Mon, Apr 02, 2012 at 01:53:20PM +0300, Dmitriy Kruglikov wrote:
> Устанавливается некотороый сервер, который находится глубоко внутри
> локальной сети(клиента), доступ к которой возможен только через
> пограничный сервер(клиента), к которому по SSH можно достучаться
> только с некоторого сервера (support) в Инете, к которому можно
> добраться по SSH со своей рабочей станции(типа я сотрудник support).
> Последовательно, войдя на каждый из серверов в цепочке и выполнив там
> в консоли ssh userN@hostN...
> Это не самое увлекательное занятие...

Более того, это не лучший способ с точки зрения безопасности - при
такой схеме, когда устанавливаются отдельные соединения между узлами в
цепочке, в случае компрометации одного из промежуточных серверов
окажутся скомпрометированными и все последующие (поскольку данные,
передаваемые между процессами sshd и ssh, не будут защищены и могут
быть модифицированы).

Более безопасный вариант — использование перенаправления портов, когда
при установке соединения с промежуточным сервером выполняется
перенаправление локального порта рабочей станции через это соединение
на порт sshd следующего сервера, и последующее соединение ssh
устанавливается как бы напрямую между рабочей станцией и очередным
сервером в цепочке.  В этом случае на промежуточном сервере невозможно
скрытно модифицировать данные, передаваемые между рабочей станцией и
следующим сервером, поскольку они передаются через промежуточный
сервер только в виде, защищённом средствами протокола SSH (защита от
подмены сервера, как обычно, обеспечивается проверкой ключа сервера
при установлении соединения).  Также для защиты от возможной
компрометации промежуточных серверов необходимо использовать на них
аутентификацию по ключу, а не по паролю (поскольку на
скомпрометированном сервере sshd может быть модифицирован с целью
кражи паролей).

См., например, рекомендации Openwall (для промежуточных серверов, если
на них не требуется выполнять какие-либо команды, можно ещё добавить
опцию -n, а также явно указать ForwardAgent no, если значение по
умолчанию было изменено):

  http://openwall.info/wiki/internal/ssh#How-to-access-intranet-servers

Сейчас есть альтернативный вариант, не требующий предварительного
запуска ssh для перенаправления портов:

Host final
	ProxyCommand ssh -W %h:%p intermediate
	
Хотя соединение таким способом будет устанавливаться дольше, и пароли
(либо запросы разрешения на использование ключей) будут запрашиваться
несколько раз подряд при каждой установке такого соединения.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Comm] неправильный KVM?

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 587 bytes --]

On Tue, Apr 03, 2012 at 12:07:32AM +0400, Sergey Vlasov wrote:
> Сейчас есть альтернативный вариант, не требующий предварительного
> запуска ssh для перенаправления портов:
> 
> Host final
> 	ProxyCommand ssh -W %h:%p intermediate
> 	
> Хотя соединение таким способом будет устанавливаться дольше, и пароли
> (либо запросы разрешения на использование ключей) будут запрашиваться
> несколько раз подряд при каждой установке такого соединения.

А для минимизации избыточных запросов с промежуточных хостов
имеет смысл настроить себе ControlPath и ControlMaster.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 198 bytes --]

Re: [Comm] неправильный KVM?

[adobrovolskii]

On Mon, Apr 2, 2012 at 11:34 PM, Dmitry V. Levin <ldv@altlinux.org> wrote:
> On Tue, Apr 03, 2012 at 12:07:32AM +0400, Sergey Vlasov wrote:
>> Сейчас есть альтернативный вариант, не требующий предварительного
>> запуска ssh для перенаправления портов:
>>
>> Host final
>>       ProxyCommand ssh -W %h:%p intermediate
>>
>> Хотя соединение таким способом будет устанавливаться дольше, и пароли
>> (либо запросы разрешения на использование ключей) будут запрашиваться
>> несколько раз подряд при каждой установке такого соединения.
>
> А для минимизации избыточных запросов с промежуточных хостов
> имеет смысл настроить себе ControlPath и ControlMaster.
Сергею и Диме спасибо за пояснения. Особенно Сергею.
Осталось все это усвоить... :)
Но, попытаюсь обязательно.
-- 
Regards,
Andrii Dobrovol`s`kyj

Re: [Comm] неправильный KVM?

[adobrovolskii]

Блиииин.... Я охреневаю с этим нашим квм-ом...
На рабочей станции пытаюсь создать квм-виртуалку. Стартует
вирт-менеджер. Просит ввести пароль для дополнительных полномочий.
Ввожу рутовый пароль. Ругается, что не тот. Ввожу свой. Радостно
захлопывает окошко. И... при попытке создать ВМ так же радостно
заявляет, что нет связи с гипервизором....
Проверяю от рута:
service libvirtd status
libvirtd is running
grep vm /etc/group
vmusers:x:61:andriy
virsh list --all
 ID Назва           Статус
----------------------------------
Что могло случиться? Почему оно вдруг не работает? Куда копать?
-- 
Regards,
Andrii Dobrovol`s`kyj

Re: [Comm] неправильный KVM?

[adobrovolskii]

On Sun, Apr 1, 2012 at 9:24 PM, Sergey Vlasov <vsu@altlinux.ru> wrote:
> Вообще же совершенно не обязательно запускать virt-* именно на той
> машине, где фактически запущен libvirtd и создаются ВМ.
Я про это постоянно слышу, но ничего не получается...
У меня есть работающий ssh на сервер, но запустить туда virt-* не удается...
Не работает это у меня на р6.
И никакого внятного описания как оно должно работать я тоже не нашел.
Дайте ссылку, если я плохо ищу. Очень нужно...
-- 
Regards,
Andrii Dobrovol`s`kyj

Re: [Comm] неправильный KVM?

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 1461 bytes --]

On Mon, Apr 02, 2012 at 01:31:10PM +0300, adobrovolskii wrote:
> On Sun, Apr 1, 2012 at 9:24 PM, Sergey Vlasov <vsu@altlinux.ru> wrote:
> > Вообще же совершенно не обязательно запускать virt-* именно на той
> > машине, где фактически запущен libvirtd и создаются ВМ.
> Я про это постоянно слышу, но ничего не получается...
> У меня есть работающий ssh на сервер, но запустить туда virt-* не удается...
> Не работает это у меня на р6.

Нужно как минимум модифицировать /etc/libvirt/libvirtd.conf -
например, для разрешения доступа только членам группы vmusers:

unix_sock_group = "vmusers"
unix_sock_ro_perms = "0770"
unix_sock_rw_perms = "0770"
auth_unix_ro = "none"
auth_unix_rw = "none"

По умолчанию для аутентификации сейчас используется PolicyKit, который
не даст управлять libvirt через ssh-соединение.  При назначении прав
следует учитывать, что действия, доступные через libvirtd, могут
давать возможность получения прав root на хосте.

С такими настройками должны работать, например, команды вида

  virsh -c qemu+ssh://user@host/system

(часть "user@" указывать не обязательно, ":port" - нужно в случае
использования нестандартного порта, как указано в соседнем письме).
Для нормальной работы ещё требуется либо добавление ключей в ssh-agent
заранее, либо установленный x11-ssh-askpass (в этом случае возможна и
аутентификация по паролю, но для virt-manager и virt-viewer пароль
будет запрашиваться более одного раза).

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]