📧 🍁 🥗 दोस्तों टील्स के शीर्ष पर रिमोट सिस्टम के साथ गुणी-प्रबंधक 🀄️ ☠️ 🧕🏻

काम पर, हम libemirt के माध्यम से सक्रिय रूप से qemu / kvm- आधारित वर्चुअलाइजेशन का उपयोग करते हैं । मैं स्वयं लंबे समय तक लिनक्स में चला गया और अपने स्थानीय मशीन पर भी qemu / kvm का उपयोग करता हूं, जबकि अक्सर विभिन्न VM मापदंडों को कॉन्फ़िगर करने के लिए चित्रमय गुण-प्रबंधक का उपयोग करता हूं। मैं इसका उपयोग दूरस्थ सर्वर पर हाइपरवाइजरों के प्रबंधन के लिए करना चाहता था। यह कैसे करना है और चरण-दर-चरण निर्देशों के रूप में एक लेख होगा (वास्तव में, यह एक अनुवाद है और आधिकारिक प्रलेखन के "एक में मिश्रण")।

ट्रेनिंग

यह समझा जाता है कि सभी कार्य "वर्चुअलाइजेशन नोड" (जहां libvirtd खड़ा है, इस मामले में CentOS 6) पर किया जाता है और सेलिनक्स अक्षम होता है। हम कंसोल में निष्पादित करते हैं:

mkdir /tmp/certs cd /tmp/certs

एक स्व-हस्ताक्षरित रूट प्रमाणपत्र बनाएं

 mkdir ca cd ca

रूट प्रमाणपत्र (CA) मापदंडों के साथ एक खाका बनाएँ:

 cat > certificate_authority_template.info << 'EOF' cn = Name of your organization ca cert_signing_key expiration_days = 3650 EOF

"आपके संगठन का नाम" - तदनुसार, लैटिन में आपके संगठन का नाम, प्रमाण पत्र 10 वर्षों के लिए मान्य है।

CA के लिए एक गुप्त कुंजी उत्पन्न करें:

 (umask 277 && certtool --generate-privkey > certificate_authority_key.pem)

एक स्व-हस्ताक्षरित सीए बनाएं:

 certtool --generate-self-signed \ --template certificate_authority_template.info \ --load-privkey certificate_authority_key.pem \ --outfile certificate_authority_certificate.pem

हम "वर्चुअलाइजेशन नोड" (जहां libvirtd खड़ा है) के लिए प्रमाण पत्र उत्पन्न करते हैं

 cd .. mkdir kvm_host cd kvm_host

हम "वर्चुअलाइजेशन नोड" के लिए प्रमाणपत्र मापदंडों के साथ एक टेम्पलेट बनाते हैं:

 cat > host_server_template.info << 'EOF' organization = Name of your organization cn = server.name tls_www_server encryption_key signing_key EOF

"Server.name" - "वर्चुअलाइजेशन नोड" का नाम dns, जिसके लिए प्रमाण पत्र तैयार किया गया है,

हम "वर्चुअलाइजेशन नोड" के लिए एक गुप्त कुंजी उत्पन्न करते हैं:

 (umask 277 && certtool --generate-privkey > host_server_key.pem)

हम अपने "वर्चुअलाइजेशन नोड" के लिए एक प्रमाण पत्र उत्पन्न करते हैं:

 certtool --generate-certificate \ --template host_server_template.info \ --load-privkey host_server_key.pem \ --load-ca-certificate ../ca/certificate_authority_certificate.pem \ --load-ca-privkey ../ca/certificate_authority_key.pem \ --outfile host_server_certificate.pem

हम एक ग्राहक कनेक्शन के लिए एक प्रमाण पत्र उत्पन्न करते हैं।

 cd .. mkdir client cd client

ग्राहक के लिए प्रमाणपत्र मापदंडों के साथ एक खाका बनाएँ:

 cat > client_template.info << 'EOF' country = RU state = State locality = City organization = Name of your organization cn = client.host tls_www_client encryption_key signing_key EOF

"Client.host" - आपके विवेक पर ग्राहक का नाम, राज्य और इलाके भरता है।

हम ग्राहक के लिए एक गुप्त कुंजी उत्पन्न करते हैं:

 (umask 277 && certtool --generate-privkey > client_key.pem)

हम ग्राहक के लिए एक प्रमाण पत्र तैयार करते हैं:

  certtool --generate-certificate \ --template client_template.info \ --load-privkey client_key.pem \ --load-ca-certificate ../ca/certificate_authority_certificate.pem \ --load-ca-privkey ../ca/certificate_authority_key.pem \ --outfile client_certificate.pem

प्रमाणपत्र / कुंजियाँ libvirt से जोड़ना

 cd /tmp/certs

निम्नलिखित कार्यों में से सभी या तो sudo के माध्यम से या मूल उपयोगकर्ता के रूप में किए जाने चाहिए:

 mkdir -p /etc/pki/libvirt/private chmod 755 /etc/pki/libvirt chmod 750 /etc/pki/libvirt/private cp ./ca/certificate_authority_certificate.pem /etc/pki/libvirt/cacert.pem cp ./kvm_host/host_server_certificate.pem /etc/pki/libvirt/servercert.pem cp ./kvm_host/host_server_key.pem /etc/pki/libvirt/private/serverkey.pem ln -s /etc/pki/libvirt/cacert.pem /etc/pki/CA/ chgrp qemu /etc/pki/libvirt \ /etc/pki/libvirt/servercert.pem \ /etc/pki/libvirt/private \ /etc/pki/libvirt/private/serverkey.pem chmod 440 /etc/pki/libvirt/servercert.pem chmod 444 /etc/pki/libvirt/cacert.pem chmod 640 /etc/pki/libvirt/private/serverkey.pem

Server-key.pem पर 640 अधिकारों की आवश्यकता है ताकि आप vnc कनेक्शन के लिए एक ही कुंजी का उपयोग कर सकें, जबकि गुण-पक्की-मान्य उपयोगिता यह कसम खाएगी कि अधिकारों को 600- पर ध्यान नहीं दिया जाना चाहिए।

प्रमाणपत्र / चाबियाँ कनेक्ट करने के लिए vnc

 mkdir /etc/pki/libvirt-vnc ln -s /etc/pki/libvirt/cacert.pem /etc/pki/libvirt-vnc/ca-cert.pem ln -s /etc/pki/libvirt/servercert.pem /etc/pki/libvirt-vnc/server-cert.pem ln -s /etc/pki/libvirt/private/serverkey.pem /etc/pki/libvirt-vnc/server-key.pem chgrp qemu /etc/pki/libvirt-vnc chmod 750 /etc/pki/libvirt-vnc

Libvirtd डेमन को कॉन्फ़िगर करना

/Etc/libvirt/libvirtd.conf फ़ाइल में, निम्न मानों को संबंधित मापदंडों के लिए सेट किया जाना चाहिए:

 listen_tls = 1 tls_port = "16514" auth_tls = "none" key_file = "/etc/pki/libvirt/private/serverkey.pem" cert_file = "/etc/pki/libvirt/servercert.pem" ca_file = "/etc/pki/libvirt/cacert.pem" crl_file = "/etc/pki/libvirt/crl.pem" #tls_allowed_dn_list = ["DN1", "DN2"] log_level = 3 log_outputs="4:syslog:libvirtd 3:file:/var/log/libvirt/libvirt.log" audit_level = 2 audit_logging = 1 keepalive_interval = 5 keepalive_count = 5

परिणामस्वरूप, हम tls को सक्षम करते हैं और लॉगिंग को कॉन्फ़िगर करते हैं।

Tls_allowed_dn_list में, प्रमाणपत्रों का dn (विशिष्ट नाम) पंजीकृत है, जिसे libirirtd से जोड़ा जा सकता है

/ Etc / sysconfig / libvirtd फ़ाइल में, LIBVIRTD_ARGS पैरामीटर को "--listen" पर सेट किया जाना चाहिए:

 LIBVIRTD_ARGS="--listen"

Qemu / kvm डेमन कॉन्फ़िगरेशन

/Etc/libvirt/qemu.conf फ़ाइल में, निम्न मानों को संबंधित मापदंडों के लिए सेट किया जाना चाहिए:

 vnc_tls = 1 vnc_tls_x509_verify = 1 vnc_allow_host_audio = 0 cgroup_controllers = [ "cpu", "devices", "memory", "blkio", "cpuset", "cpuacct" ] save_image_format = "lzop" clear_emulator_capabilities = 1

इसलिए हम vnc के माध्यम से वर्चुअल मशीन कनेक्ट करने के लिए tls चालू करते हैं, ऑडियो ट्रांसमिशन बंद करते हैं (हमें इसकी आवश्यकता नहीं है, यदि आपको इसकी आवश्यकता है, तो इसे चालू छोड़ दें), मेमोरी स्नैपशॉट के लिए संपीड़न चालू करें (लाइव बैकअप के लिए उपयोगी, यदि कोई दिलचस्पी है, तो हम जिस तरह से पहले थे हमने बैकअप लिया है। वहां रखी गई, मैं इसे एक लिंक के रूप में उद्धृत करता हूं), और इसी cgroups समूहों को सक्षम भी करता हूं (सामान्य तौर पर, यह डिफ़ॉल्ट रूप से चालू होता है, लेकिन मैंने इसे कठिन सेट किया है)

इस संपादन के बाद ही हम libvirtd को पुनः आरंभ करते हैं:

 service libvirtd restart

पहले से ही चल रही आभासी मशीनों के लिए, टीएनएस पर वीएनसी कनेक्शन केवल तब ही संभव होगा जब वे बंद हो जाएंगे और फिर से (वायरल शटर / टी)

Iptables सेटअप

Libvirtd और vnc से कनेक्ट करने के लिए, निम्नलिखित नियम INPUT श्रृंखला में दर्ज किए जाने चाहिए (यदि आप ipadables का उपयोग करते हैं):

 iptables -I INPUT -m state --state NEW -m tcp -p tcp --dport 16514 -j ACCEPT iptables -I INPUT -m state --state NEW -s 192.168.40.0/24 -m tcp -p tcp --dport 5900:6000 -j ACCEPT

यह समझा जाता है कि vnc कंसोल 5900 से 6000 तक बंदरगाहों पर सीटी बजाएगा। उसके बाद, कमांड के साथ वर्तमान iptables नियमों को सहेजें:

 iptables-save>/etc/sysconfig/iptables

यदि आपके पास पहले से ही स्व-हस्ताक्षरित रूट प्रमाणपत्र / क्लाइंट प्रमाणपत्र है

इस स्थिति में, 1. और 2. को छोड़कर सभी चरणों का पालन करें, रूट सर्टिफिकेट और उचित मापदंडों में इसकी कुंजी को इंगित करते हुए (- लोड-सीए-सर्टिफिकेट, लोड-सीए-प्राइवेट), यदि आवश्यक हो तो आइटम को छोड़ दें 4. यदि आवश्यक ग्राहकों के लिए पहले से ही प्रमाण पत्र उत्पन्न हो चुके हैं।

क्लाइंट सेटअप (लिनक्स)

इस मामले में लिनक्स का मतलब सेंटोस / फेडोरा है

यह रिमोट सिस्टम पर किया जाता है जिसमें से "वर्चुअलाइजेशन नोड्स" को प्रशासित किया जाएगा।

पहले आपको संबंधित प्रमाणपत्र के लिए फ़ोल्डर बनाने की आवश्यकता है:

 mkdir -m 750 -p /etc/pki/libvirt/private mkdir -m 700 ~/.pki/libvirt-vnc

अगला, स्थानीय मशीन पर आवश्यक रास्तों के साथ सर्वर से उपयुक्त फाइलें डालें, जिनके साथ कनेक्शन होगा:

/tmp/certs/ca/certificate_authority_certificate.pem /etc/pki/CA/cacert.pem में डाला गया

/tmp/certs/client/client_key.pem /etc/pki/libvirt/pStreet/clientkey.pem में डाला गया

/tmp/certs/client/client_certificate.pem /etc/pki/libvirt/clientcert.pem में डाला गया

 chmod 444 /etc/pki/CA/cacert.pem chmod 440 /etc/pki/libvirt/clientcert.pem \ /etc/pki/libvirt/private/clientkey.pem chown -R root:wheel /etc/pki/libvirt cd ~/.pki/libvirt-vnc/ ln -s /etc/pki/libvirt/clientcert.pem clientcert.pem ln -s /etc/pki/libvirt/private/clientkey.pem clientkey.pem

इन सेटिंग्स के साथ, व्हील समूह में स्थानीय उपयोगकर्ता और रूट उपयोगकर्ता libvirtd / vnc से रिमोट सर्वर से जुड़ सकते हैं।

एक उदाहरण:

virsh:

 virsh -c qemu+tls://server.name/system, virsh -c qemu+tls://kvm_server.local/system

महत्वपूर्ण! server.name यहां ठीक उसी नाम है जिसे हमने "वर्चुअलाइजेशन नोड" (प्रमाण पत्र के cn क्षेत्र) के लिए प्रमाण पत्र बनाते समय संकेत दिया था, इसे क्लाइंट पर आईपी में सही ढंग से परिभाषित किया जाना चाहिए।

Virt-manager:

पुण्य-प्रबंधक में, कनेक्शन प्रकार का चयन करें - "प्रमाण पत्र के साथ ssl / tls", उपयोगकर्ता नाम रिक्त है, होस्ट नाम server.name है, जिसका उल्लेख ऊपर किया गया था।

Virt-दर्शक:

गुण-दर्शक -c qemu + tls: //server.name/system vm_name

क्लाइंट सेटअप (Windows, vnc कंसोल एक्सेस केवल)

यह रिमोट सिस्टम पर किया जाता है जिसमें से "वर्चुअलाइजेशन नोड्स" को प्रशासित किया जाएगा।

आप के माध्यम से कनेक्ट कर सकते हैं:

virt-दर्शक

मुझे काम नहीं मिला

ssvnc

Ssvnc के लिए, क्लाइंट की कुंजी और प्रमाणपत्र एक ही फ़ाइल में होना चाहिए, आप इसे इस तरह से कर सकते हैं (इसका मतलब है कि आप उस सर्वर पर हैं जहां प्रमाण पत्र मूल रूप से उत्पन्न हुए थे):

 cd /tmp/certs/client cat client_certificate.pem client_key.pem >client.pem

हम सर्वर और /tmp/certs/ca/certificate_authority_certificate.pem से परिणामी क्लाइंट लेते हैं।

हम ssvnc शुरू करते हैं - मुख्य विंडो सेट में "SSL का उपयोग करें", "MyCerts" में "Certs" पर क्लिक करें, "ServerCem" में पथ को इंगित करें, "ServerCert" में प्रमाणपत्र_authority_certificate.pem के लिए पथ निर्दिष्ट करें, फिर "विकल्प" -> "उन्नत" पर क्लिक करें और सेट करें। "सर्वर Vencrypt ssl एन्क्रिप्शन का उपयोग करता है" के विपरीत एक चेकमार्क। मुख्य विंडो में, "Vnc Host: Display" फ़ील्ड में, क्रमशः सर्वर एड्रेस और vnc पोर्ट नंबर निर्दिष्ट करें। "कनेक्ट" पर क्लिक करें।

परिणाम:

नतीजतन, हम स्थानीय रूप से अपने वर्चुअल मशीनों को virsh, virt-manager (केवल उन फ़ंक्शन जो सर्वर का समर्थन करता है उपलब्ध हैं) के माध्यम से प्रबंधित कर सकते हैं। इस समाधान के नुकसान यह हैं कि VM का रिमोट कंट्रोल लॉग्स में प्रदर्शित नहीं होता है (या मैं इसे हासिल नहीं कर सकता), अर्थात, यह लॉग में दिखाई नहीं देगा कि शटडाउन / आदि की शुरुआत ऐसे और ऐसे आईपी से ऐसे उपयोगकर्ता द्वारा की गई थी।

upd

जैसा कि टिप्पणियों में उल्लेख किया गया है, आप रूट के लिए ssh c बिना पासवर्ड के शीर्ष पर कनेक्ट कर सकते हैं (उपयोगकर्ता को सेंटो के लिए libvirt समूह में जोड़ने पर लागू नहीं होता है), हाँ, लेकिन vnc सीधे जाएगा और "स्क्रीन को देखने" का विकल्प अभी भी है, जिस स्थिति में, आप भी उपयोग कर सकते हैं vnc के लिए ssh सुरंगें।

व्यक्तिगत रूप से, हर बार ssh सुरंगों को बढ़ाने की तुलना में एक बार कॉन्फ़िगर करना और उपयोग करना आसान है।

दोस्तों टील्स के शीर्ष पर रिमोट सिस्टम के साथ गुणी-प्रबंधक