服务器维护,服务器代维,安全设置,漏洞扫描,入侵检测服务

dirtysea 发表于 2017-9-10 18:45:04

Puppet的部署与应用

Puppet的部署与应用1、 案例概述作为一名系统管理员,维护服务器正常运行是最基本的职责,在管理几台到几十台服务器时,大部分管理员喜欢自己写小工具来维护,但随着服务器的数量曾多,任务量也逐渐增多,这时就需要简洁的、强大的框架来完成系统管理的任务,为了实现这一目的,我们引入了一些工具,这些工具是可编程的,系统管理员只需要为这个工具写上几行代码,它便会自动的完成所有的工作,这批工具就是运维自动化puppet,它可以针对多台服务器进行统一操作,如部署统一的软件、进行统一上线维护等,而且能快速完成上线部署,减少人力及人力误操作风险。2、 Puppet的工作原理Puppet的目录是让管理员只集中于要管理的目标,而忽略实现的细节。Puppet即可以运行在单机上,也可以以C/S结构使用。在大规模使用puppet的情况下,通常使用C/S结构,在这种结构中puppet客户端只运行puppeclient,puppet服务端只运行puppemaster。1、puppet具体的工作原理http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216011949597-1927072344.png

1)      客户端puppet调用fast探测出主机的一些变量,如主机名、内存大小、IP地址等。Puppet把这些信息使用SSL连接发送给服务器端2)      服务器端的puppetmaster通过fast工具分析检测客户端的主机名,然后找到项目的主配置文件manifest里面对应的node配置,并对该部分内容进行解析,fast发送过来的信息可以作为变量处理,node牵扯到的代码才被解析,没牵扯到的不解析,解析分为语法检查,如果语法没错,继续解析,解析结果生成一个结果‘伪代码’,然后把‘伪代码’发给客户端3)      客户端收到‘伪代码’并且执行,客户端把执行结果发给服务器4)      服务器端把客户端的执行结果写入日志2、puppet工作过程中的注意事项1)      为了保证安全,Client和Master之间是基于SSL和证书的,只有经Master证书认证的Client可以与Master通信2)      Puppet会让系统保持在人们所期望的某种状态并一直维持下去,如检测某个文件并保证其一直存在,保证SSH服务始终开启,如果文件被删除了或者ssh服务关闭了,puppet下次执行时(默认30分钟)会重新创建该文件或者启动SSH服务3、 项目环境 http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012001441-827344531.png

主机操作系统IP地址主要软件
PuppetmasterCentos6.5192.168.31.83Ruby-rdoc-1.8.7.352Ruby-libs-1.8.7.352Ruby-irb-1.8.7.352Ruby-1.8.7.352Puppet-2.7.21.tar.gzFacter-1.7.1.tar.gz
Puppetclient1Centos6.5192.168.31.184Ruby-rdoc-1.8.7.352Ruby-libs-1.8.7.352Ruby-irb-1.8.7.352Ruby-1.8.7.352Puppet-2.7.21.tar.gzFacter-1.7.1.tar.gz
Puppetclient2Centos6.5192.168.31.79Ruby-rdoc-1.8.7.352Ruby-libs-1.8.7.352Ruby-irb-1.8.7.352Ruby-1.8.7.352Puppet-2.7.21.tar.gzFacter-1.7.1.tar.gz
NTP serverCentos6.5192.168.31.224

4、 项目实施1、      搭建puppetmaster1)      规划服务器主机名在小的规模puppet环境下,一般修改/etc/hosts文件,然而在上千台服务器的环境中,我们要搭建自己的DNS服务器来实现服务通过主机名来进行通信,此项目我们通过修改/etc/hosts文件来实现http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012022285-1404485428.png            修改HOSTNAME=master.zjz.cnhttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012038488-818956102.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012057175-1256592307.png                添加一下几行:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012114191-1883021574.png            还有一种方式来修改主机名,不用重启系统的方式http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012137800-1900176215.png2)      时间同步服务器由于facter使用SSL证书,依赖时间同步,所以需要搭建NTP服务器一、搭建NTP Serverhttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012200207-29180447.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012208082-573495500.png打开ntp的配置文件添加下面两行http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012220144-1686555414.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012233566-709655295.png其作用是当/etc/ntp.conf中定义的server都不可用时,将使用local时间作为NTP服务提供给NTP客户端启动NTP服务,并设置为开机自启 http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012356097-1247378139.png二、Puppetmaster 作为NTP客户端配置http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012413535-700667563.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012431129-456609679.png三、安装ruby一定按照一下先后顺序安装,先安装compat-readline5,也可以一并安装首先新建一个挂载系统盘的目录(因为我们安装的包,在系统盘中有,使用rpm直接安装)http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012443191-910349623.png挂载系统盘http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012452550-390927290.png切换到挂载目录的Packages目录中http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012501785-672457372.png开始安装http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012513941-1235093425.png       安装完成后,查看版本http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012526566-991342993.png四、Puppet、facter安装http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012538816-732940396.png通过facter工具分析检测客户端传输过来的信息安装factera)      解压源码包http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012549488-281887051.png新建一个存放安装包的目录,下载源码包http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012600175-1847068626.pngb)      编译安装源码包http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012608363-1155357734.png安装puppet:(一)解压源码包先下载源码包http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012622222-975882337.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012628785-416950715.png(二)编译安装http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012637035-796968821.png(三)复制配置文件http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012643379-1473434229.png(四)修改文件属性http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012650660-1629600669.png(五)创建puppet主目录http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012657410-1868778919.png注意:这两个目录的名称是固定的五、Puppet服务证书请求与签名生产环境中iptables默认是关闭的Master端配置http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012708832-1475725101.png(一)修改配置文件在【main】标题下添加以下一行:配置服务器模块的路径http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012717863-1713646511.png(二)启动puppet主程序http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012725660-1426027877.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012732238-965607731.png2、      搭建puppetclient首先配置puppetclient1,步骤如下:1)      规划服务器主机名http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012740347-1496584422.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012746832-1211094262.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012752785-1276579434.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012758082-1520725654.png添加一下几行http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012805972-1019839499.png确保可以通过域名ping同puppetmaster,即ping master.zjz.cnhttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012816050-749731744.png2)      服务器时间同步http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012823410-2119145008.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012828644-1560591723.png3)      安装ruby一定按照一下顺序安装,先安装compat-readline5,也可以一起安装 http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012834629-452358898.png安装同master安装步骤安装完成后检查版本http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012846425-1594516010.png4)      Puppet、facter安装http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012856550-2071744991.png通过facter工具分析检测客户端传输过来的信息安装facter:一、解压源码包http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012908707-291727721.png http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012952019-529220504.png二、编译安装源码包http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216012957925-422029358.png安装puppet:一、解压源码包http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013011457-693571450.png二、编译安装源码包http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013019816-1976988022.png三、复制配置文件http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013026910-1957335481.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013032332-971682625.png四、修改文件属性http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013039004-224125993.png五、Puppet服务证书请求与签名生产环境中iptebles默认是全部关闭的http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013049519-1850045546.pngPuppetclient1和puppetclient2一样,如下操作修改client配置文件http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013059754-1044544205.png在【main】标题下加上一行,设置服务器的域名http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013108519-1457986272.pngPuppetclient2和puppetclient1配置过程类似,注意将主机名修改为client2申请和注册Client端:分别在puppetclient1和puppetclient2上进行注册http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013117394-57044132.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013122425-1314565640.png此时可以按Ctrl+C结束,因为puppet一直在等待任务,但是已经从server查看到了申请信息Master端查看申请注册的客户端:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013131222-801944787.png将未注册的客户端进行注册http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013156629-23643429.png可以通过目录查看已注册的客户端http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013204050-1822116016.png此时客户端已经完成了证书的请求和签名3、      配置实例1.      配置一个测试节点节点信息:/etc/puppet/manifests/nodes模块信息:/etc/puppet/modules为了保护Linux的ssh端口爆破,批量修改客户端sshd端口,将端口22修改为9922,并实现重启工作创建ssh模块,模块目录为ssh,模块下面有三个文件:mainfests、templates和filesMainfests里面必须要包含一个init.pp文件,这是该模块的初始文件,导入一个模块的时候,会从init.pp开始执行。可以把所以的代码写到init.pp文件里面,也可以分成多个pp文件,init再去包含其他文件,定义class类名的时候必须是ssh,这样能实现调用Files目录是该模块的文件发布目录,puppet提供一个文件的分发机制,类似rsync的模块Templates目录包含erb模型文件,这个和file资源的template属性有关(很少用)Master端:1)      创建需要的必要的目录http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013215363-624152641.png此时/etc/puppet/modules/ssh/目录下结构:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013240629-1746213851.png2)      创建模块配置文件install.pphttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013248972-1733627719.png输入一下信息:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013255285-332650225.png3)      创建模块配置文件config.pphttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013303566-313115826.png输入一下信息:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013310832-1825786337.png4)      创建模块配置文件service.pphttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013319144-2088892573.png输入一下信息:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013325457-1425846482.png5)      创建模块主配置文件init.pphttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013334675-1301666269.png输入一下信息:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013355707-229226561.png此时/etc/puppet/modules/ssh/manifests目录下有四个文件:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013403379-17334496.png6)      建立服务器端ssh统一维护文件由于服务器端和客户端的sshd_config文件默认一样,此时将服务器端/etc/ssh/sshd_config复制到模块默认路径http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013537300-1495418520.png7)      创建测试节点配置文件,并将ssh加载进去http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013544894-2094025114.png 输入一下信息:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013552785-1427476648.png8)      将测试节点载入puppet,即修改site.pphttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013600535-1088346493.png输入一下信息:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013606675-1196082459.png9)      修改服务端维护的sshd_config配置文件http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013614894-1619464742.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013625925-1821293006.png10)   重新启动puppethttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013633332-606647268.png2.      客户端主动拉取一般在小规模自动化集群中,如代码上线需要重启服务时,为了防止网站暂时性的无法访问的问题,每台客户端运行一次puppet agent –t命令,选择模式根据客户端集群规模的大小,根据经验,一般运维工程师puppet服务器到各客户端会建立ssh信任,然后自定义shell脚本,ssh批量让客户端执行puppet同步命令Client端:192.168.31.184(puppetclient1)端执行命令如下:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013641300-760675803.png此时在Client端已经执行成功,验证如下:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013648566-1387112398.png查看服务器ssh服务是否重启,端口是否生效:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013701519-1577133151.png3.      服务器推送同步当大规模部署时采用服务器推送模式Client端:192.168.31.79(puppetclient2)端修改:1)      修改配置文件:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013709613-1306948624.png最后一行添加如下:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013718113-457104681.png修改auth.confhttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013726925-21235155.png最后一行添加如下:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013738050-1085233454.png2)      启动puppet客户端http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013748394-1897093034.png查看/etc/ssh/sshd_config的内容如下:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013755191-1908033916.png确认启动ssh服务:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013803332-1686039831.pngMaster端:3)      开始往客户端推送http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013810222-2114857063.png4)      校验结果:此时Client端已经执行成功,验证如下:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013819879-623070340.pnghttp://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013826394-214961310.png查看服务器ssh服务是否重启,端口是否生效:http://images2015.cnblogs.com/blog/1072166/201702/1072166-20170216013832660-2020727628.png5、 注意说明如果分不清在那一台主机上做的操作,我们可以根据主机名来进行判断,其中puppetclient2上一开始安装的操作因为和puppetclient1上类似就是修改主机名不一样,所以安装步骤省略掉了,不会影响整体的操作,本文中也介绍了一写原理的问题,希望对大家有帮助,有什么不明白的可以联系我,在

来源 http://www.cnblogs.com/brianzhu/p/6404081.html?utm_source=itdadao&utm_medium=referral
页: [1]
查看完整版本: Puppet的部署与应用