чи готове виробництво ksplice?


15

Мені було б цікаво почути досвід спільноти за замовчуванням сервера з Ksplice у виробництві.

Швидке розмиття з Вікіпедії:

Ksplice - це вільне розширення з відкритим кодом ядра Linux, яке дозволяє системним адміністраторам застосовувати патчі безпеки до запущеного ядра без необхідності перезавантаження операційної системи.

і

Ksplice може, не перезавантажуючи ядро, застосувати будь-який патч вихідного коду, який потребує лише зміни коду ядра. На відміну від інших систем гарячого оновлення, Ksplice приймає за вхід лише уніфікований розріз та оригінальний вихідний код ядра, і він оновлює працююче ядро ​​правильно, не потребуючи додаткової допомоги людини. Крім того, використання Ksplice не потребує будь-якої підготовки до початкової завантаження системи (наприклад, запущене ядро ​​не потрібно спеціально компілювати). Для того, щоб генерувати оновлення, Ksplice повинен визначити, який код у ядрі був змінений патчем вихідного коду.

Отож кілька питань:

Якою була стабільність? якісь дивні проблеми, з якими ви стикалися з його "перезавантаженим живим виправленням" ядра? Паніка з ядрами або страшилки?

Я працював у кількох тестових системах, і до цих пір він працював як рекламується, але мене цікавить, який інший досвід роботи систематичних систем з Ksplice, перш ніж перейти на "все" і розгорнути це на наших виробничих серверах.

Отже, хто використовує Kspice у виробництві?

оновлення: хм, не бачачи жодної реальної активності з цього питання через пару годин (окрім якихось нагород і недоліків). Можливо, щоб розпалити якусь активність, я також запитаю ще кілька запитань і дізнаюся, чи зможемо ми розпочати цю дискусію ...

"Якщо вам відомо про Ksplice, чи є причина, що ви її не використовуєте?"

"Чи відчуваєте ви його все ще занадто кровоточить край, недоказаний чи неперевірений?"

"Чи Ksplice не вписується добре у вашу поточну систему управління патчами?"

"Ви ненавидите наявність систем, які тривалий час (і захищені) час роботи?" ;-)


1
Ну, я також тестував його лише в тестовій машині UMU Ubuntu 9.04. Але поки це чудово працює.
knweiss

Відповіді:


9

(По-перше, відмова від відповідальності: я працюю в Ksplice.)

Ми використовуємо його на власній виробничій інфраструктурі, природно, але що ще важливіше, тому ми робимо наших 500+ корпоративних клієнтів (кількість станом на грудень 10).

Один sysadmin задає те саме питання у списку розсилки користувачів Red Hat Enterprise Linux , і йому надано ряд відповідей, кілька з яких наведено нижче:

Ми кілька місяців працювали над Ksplice у виробництві на десятках хостів. Поки це працює як рекламується.

і

У мене> 500 машин під моїм керуванням, близько 445 з них підключено до треку (Rhel 4 і 5). Ми використовували ksplice для блокування декількох кореневих подвигів, перш ніж ми мали можливість перезавантажити машини. Оскільки ми все ще тестуємо, ми все одно розгорнули нове ядро, але я без проблем працював тижнями ksplice'd.

Люди висловлюють стурбованість не про стабільність, а про її інтеграцію з існуючими інструментами аудиту та моніторингу:

Єдиний "gotcha" щодо використання ksplice - це те, що ще немає доступних інструментів аудиту, "обізнаних у ksplice".

Як ви могли очікувати, зараз це сфера, в яку ми інвестуємо великі кошти.


Люди, я тут новачок, тож повідомте мені, якщо я цього не зробив правильно, і я радий виправити все як потрібно.
вдень

5

Я чув про Ksplice і в той час думав, що це гарна ідея. Немає часу, без перезавантаження. Але потім я заглянув у це трохи далі, і мені стало страшно спробувати це.

Мої причини уникати цього:

  • Ядро Linux вже дуже складне. Ksplice додає складності. Більше складність = більше, щоб не вдається.

  • Експериментувати з Ksplice на віддаленому сервері буде нерозважливо, коли збій може спричинити тривалий час простою та дорогий ремонт.

  • Єдиною перевагою в моєму випадку була б більша статистика роботи.


2
+1 для додавання складності. Кілька хвилин простою набагато краще, ніж проведення операції на відкритому серці на ядрі в середині виробництва.
Урда

4

Я використовую Ksplice на своєму домашньому сервері (де час роботи не є критичним, але це є приємним). У мене взагалі не було проблем - періодичні оновлення через Apt до клієнта, ніколи не виникало проблем із самим оновленням ядра та відсутність (помітної) нестабільності.

Звичайна відмова від відповідальності "YMMV", однак! ;-)


1
+1 для цього, я використовував його на некритичному сервері, і це чудово виконується.
JamesHannah

2

Ksplice - це розширення ядра з відкритим кодом, але майте на увазі, що, хоча програмне забезпечення є безкоштовним і доступним для будь-якого користувача, воно створене спеціально для компанії, яка здійснює управління патчами Linux (також називається "Ksplice"). Ksplice (модуль ядра) дійсно корисний лише в тому випадку, якщо для вашого ядра є патчі, які можна використовувати ksplice, і які ви, ймовірно, ніколи не побачите, якщо у вас немає контракту на підтримку з Ksplice (компанією).

Отже, хоча ksplice (інструмент) досить зрілий, це дійсно актуально лише в тому випадку, якщо ви плануєте використовувати Ksplice (компанія) для управління патчем.


1

Гарне питання. Мій початковий відповідь була б що - то вздовж ліній «чому б мені це потрібно?»

Швидше за все, це не потрібно. Навіть при встановленні п'яти дев'яти, "планове технічне обслуговування" часто є пунктом у домовленості про домовленість, який дозволяє передбачати такий простій. Якщо у вас є налаштування HA, перейдіть до режиму відмови, встановіть ядро ​​на одне поле, перезавантажте та повторіть в іншому. Якщо ви не можете дозволити собі навіть п’ять хвилин простою на коробці, тоді вам все одно потрібна установка на відмову.

Хоча це нова технологія, я поки що не бачу в цьому багато прагматичного використання. Оновлення безпеки ядра необхідні, звичайно, і повинні бути зафіксовані якнайшвидше, але скільки часу / зусиль / турбот це заощаджує вас проти просто встановлення нового ядра та перезавантаження? Що робити, якщо щось піде не так? Скільки часу ви втратили після повторної обробки системи, припускаючи, що вам пощастило мати варіант відновлення типу PXE?

Також, як згадувалося вище, віддалений експеримент із такою технологією може стати катастрофою, якщо він піде не так на декількох серверах. Чи використовуєте ви під час тестування таке саме обладнання, як і в DC? Те, що добре грає на одній машині, може не грати добре на іншому.

Тільки мої 0,02 долара.


1
Так, обладнання в моєму тестовому стані відображає дзеркала.
несправний сервер

-1

Це вже давно, але те, що може зробити для вас Ksplice - це багато…

  • Покращена безпека, оскільки дозволяє виконувати виправлення під час льоту без простоїв, це може бути надзвичайно важливим у високочутливих умовах.

  • Покращена стабільність, оскільки це дозволяє виконувати виправлення під час льоту без простоїв, все може покращитися, поки немає часу для перезавантаження.

  • Покращена продуктивність, оскільки це дозволяє виправляти льоту без простоїв, застосовуючи лише те, що вам потрібно для того, щоб це зробити.

  • Покращена активність, оскільки це дозволяє виконувати виправлення під час льоту без простоїв, тому налаштування тестової ферми для нових гарячих патчів можлива при легкому поверненні до попереднього стану.

Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.