Юниты systemd

Если описать systemd в общих чертах, то это система управления юнитами.

Юнитами могут быть много вещей. Одним из наиболее важных типов юнитов является сервис. 

Помимо сервисов, существуют другие типы юнитов, такие как сокеты, монтирование и другие.

Чтобы отобразить список всех доступных юнитов, введите systemctl -t help:

[root@server2 ~]# systemctl -t help
Available unit types:
service
socket
busname
target
snapshot
device
mount
automount
swap
timer
path
slice
scope

Основное преимущество работы с systemd по сравнению с предыдущими методами, используемыми для управления сервисами, заключается в том, что он обеспечивает единый интерфейс для запуска юнитов. Этот интерфейс определен в файле юнита.

⏺/usr/lib/systemd/system: системные юнит-файлы. Это юниты из установленных пакетов RPM — всякие nginx, apache, mysql и прочее.
⏺/etc/systemd/system: юниты, созданные нами, то есть админами. Переопределяют значения юнит-файлов по умолчанию.
⏺/run/systemd/system: runtime-юниты, которые генерируются автоматически.

Юнит-файлы пользовательских юнитов по аналогии хранятся в директориях /etc/systemd/<имя пользователя>, /run/sustemd/<имя пользователя> и /usr/lib/systemd/<имя пользователя>.

Юнит-файл на примере vsftpd

[Unit]
Denoscription=Vsftpd ftp daemon
After=network.target

[Service]
Type=forking
ExecStart=/usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf

[Install]
WantedBy=multi-user.target

Из этого примера юнит-файла видно, что его относительно легко понять.

Любой файл сервисного юнита systemd состоит из трех секций. (В других файл-юнитах могут быть другие секции, но эти три присутствуют во всех юнит-файлах.)

⏺[Unit]: Описывает юнит и определяет зависимости. Эта секция также содержит важный оператор After и, опционально, оператор Before. Эти операторы определяют зависимости между различными юнитами.

⏺[Service]: Эта секция описывает, как запустить и остановить сервис и запросить статус установки.

⏺[Install]: Описывает целевые юниты, которые должны включать данный юнит.

Пример файла-юнита типа mount

[Unit]
Denoscription=Temporary Directory
Documentation=man:hier(7)
Documentation=http://www.freedesktop.org/wiki/Software/systemd/
APIFileSystems
DefaultDependencies=no
Conflicts=umount.target
Before=local-fs.target umount.target

[Mount]
What=tmpfs
Where=/tmp
Type=tmpfs
Options=mode=1777,strictatime

[Install]
WantedBy=local-fs.target

Файл tmp.unit показывает интересную дополнительную информацию.

В секции [Unit] виден оператор Conflicts, который указывает, что этот юнит не может использоваться совместно с юнитом umount.target.

Секция [Mount] определяет, что и где надо монтировать.

Юнит socket

Сокет создает метод для приложений, чтобы общаться друг с другом.

Некоторые сервисы создают свои собственные сокеты при запуске, в то время как другим сервисам нужен файл-юнит сокетов для создания сокетов для них. Пример файла сокета:

[root@server202 system]# cat virtlockd.socket
[Unit]
Denoscription=Virtual machine lock manager socket

[Socket]
ListenStream=/var/run/libvirt/virtlockd-sock

[Install]
WantedBy=multi-user.target

Понимание целевых юнитов

Юнит-файлы используются для создания функциональности, необходимой на вашем сервере.

Чтобы можно было загружать их в правильном порядке и в нужный момент, используется определенный тип юнитов: целевой юнит.

Простое определение целевого юнита - это «группа юнитов».

[root@server2 system]# cat multi-user.target
[Unit]
Denoscription=Multi-User System
Documentation=man:systemd.special(7)
Requires=basic.target
Conflicts=rescue.service rescue.target
After=basic.target rescue.service rescue.target
AllowIsolate=yes

Целевой юнит определяет зависимости и порядок загрузки.

В секции [Install] он может быть определен как default.target, чтобы сервер запускался по умолчанию в этот целевой юнит.

Понимание Wants

Want в systemd определяет, какие юниты он хочет при запуске определенной цели. Want создаются путем создания символической ссылки в каталоге /etc/systemd/system.

🔥 Во второй части статьи о systemd разберемся, как управлять юнитами, зависимостями и целями.

Энтузиаст подключил Windows XP к интернету: через пару минут ОС заразилась вирусами

Как легко подцепить вирус в 2024 году, используя Windows XP?

Оказывается, даже простое подключение этой ОС к интернету подвергает её огромной опасности.

Блогер Эрик Паркер продемонстрировал в своём видео, что достаточно оставить систему подключённой к сети всего на несколько минут, и диспетчер задач уже показывает признаки вирусной активности.

⏺Паркер отключил брандмауэр на Windows XP для большей наглядности, но даже с включённым брандмауэром, пакет безопасности, не обновлявшийся десятилетиями, едва ли справился бы с современными угрозами.

После короткого сеанса работы в сети, Эрик установил бесплатный антивирус Malwarebytes, который обнаружил восемь вирусов-троянов, программы для удалённого доступа, изменяющие настройки DNS, и рекламное ПО.

Кроме того, он обнаружил неизвестную учётную запись «admina», что указывало на попытки удалённого подключения к компьютеру через FTP.

Аналогичный эксперимент с Windows 2000 дал ещё более удручающие результаты.

В течение нескольких минут после подключения к интернету, когда все порты, включая SMB, были открыты, вирусы проникли в систему и привели к «синему экрану смерти».

Таким образом, использование устаревших операционных систем в наше время крайне не рекомендуется.

Если вы ностальгируете по старым версиям Windows, лучше ограничиться их обоями. 

😉 А если ваш руководитель не желает обновляться на современные ОС, покажите ему эти видео.

Юниты systemd. Часть 2

Первая часть тут

Управление юнитами через systemd

Для управления юнитами используется команда systemctl. Например, установим пакет php-fpm:

[root@server2]# yum install -y php-fpm.x86_64

Запускаем сервис:

systemctl start php-fpm

Проверяем статус:

[root@server2 system]# systemctl status php-fpm.service
● php-fpm.service - The PHP FastCGI Process Manager
   Loaded: loaded (/usr/lib/systemd/system/php-fpm.service; disabled; vendor preset: disabled)
   Active: active (running) since Thu 2019-08-15 14:19:59 +10; 46s ago

Чтобы сервис запускался при загрузке системы:

[root@server2 system]# systemctl enable php-fpm.service

Используя команду systemctl status, вы можете увидеть состояния юнитов:

⏺Loaded: Юнит-файл обработан и юнит активен
⏺Active (running): Сервис запущен
⏺Inactive: Сервис не запущен
⏺Enabled: Будет запущен при загрузке системы

Команды для управления юнитами

systemctl --type=service  # Показать только сервисные юниты
systemctl list-units --type=service --all  # Показать все сервисные юниты
systemctl --failed --type=service  # Показать все сервисы, которые не удалось запустить
systemctl status -l <имя_сервиса>  # Показать детальную информацию о сервисе

Управление зависимостями

Юниты systemd могут иметь зависимости. Чтобы узнать зависимости юнита:

[root@server2 system]# systemctl list-dependencies php-fpm

Для просмотра юнитов, которые зависят от указанного юнита:

[root@server2 system]# systemctl list-dependencies --reverse sshd

Изолирующие цели

Некоторые цели в systemd можно изолировать, что позволяет запускать систему в определённом состоянии.

Примеры целей:

• poweroff.target: уровень запуска 0
• rescue.target: уровень запуска 1
• multi-user.target: уровень запуска 3
• graphical.target: уровень запуска 5
• reboot.target: уровень запуска 6

Для изоляции цели:

[root@server2 system]# systemctl isolate rescue.target

⚡️ Таким образом, вы можете управлять юнитами, зависимостями и целями в systemd, используя команды systemctl.

4 забавных команды в Linux, которые оживят ваш терминал.
Часть 3

Продолжим смотреть на интересные и порой забавные команды, которые помогут вам отвлечься от работы и взглянуть на терминал Linux по новому!

⏺"Крейзи" команда

Данная «крейзи» команда будет экспоненциально запускать свои копии до тех пор, пока не исчерпаются все системные ресурсы и система не зависнет.

Перед тем, как испробовать всю мощь данной команды, сохраните и закройте все другие программы и файлы, и только после этого введите в терминале:

# :(){ :|:& }:



⏺Команда rig

Команда rig каждый раз генерирует случайное имя и адрес.

Сначала нужно установить rig:

$ sudo apt install rig

А затем можно использовать:

$ rig

⏺Команда aview

Как насчет просмотра изображений в ASCII-формате прямо в терминале?

Сначала нужно установить aview:

$ sudo apt install aview

А затем можно использовать:

$ asciiview [путь_к_картинке]



⏺Команда cowthink

Эта команда похожа на команду cowsay, с той лишь разницей, что вывод отображается в виде мысли.

Чтобы использовать эту команду, просто введите:

$ cowthink [строка]

Например:

$ cowthink Hmm, I know kung-fu

💬 Вопрос на собеседовании для сисадмина

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Как узнать версию BIOS сервера из командной строки?

✅Ответ: С помощью команды dmidecode можно получить версию bios:

# dmidecode -t bios
# dmidecode 2.12
SMBIOS 2.8 present.

Handle 0x0010, DMI type 0, 24 bytes
BIOS Information
Vendor: HP
Version: P79
Release Date: 04/01/2014
Address: 0xF0000
Runtime Size: 64 kB
ROM Size: 16384 kB

3 лучших системы мониторинга заданий Cron

В эпоху, когда многие процессы автоматизированы, люди постоянно ищут способы эффективно выполнять задачи.

А почему бы и нет? Дорога каждая секунда!

Совершенно аналогично, если вы используете Unix-подобную операционную систему, вы можете сэкономить свое время, прибегнув к автоматизации задач посредством заданий Cron.

Что такое задание Cron?

Задание Cron – это программа-утилита, которая планирует сценарии и команды на сервере. 

У этой встроенной команды есть запланированное время и дата для автоматического запуска без ручной реализации.

Задания Cron созданы для автоматизации повторяющихся задач, например, удаления файлов, перезагрузки сервера или выполнения других функций.

Основные элементы задания Cron

Задание Cron работает с тремя важными компонентами: Сценарий – первое, что внедряется в задание Cron и вызывается для исполнения.

Расписание определяет, когда необходимо запускать указанные сценарии.

Действие – это порядок, в котором должен появляться результат после выполнения сценария.

1️⃣ Better Uptime

Better Uptime – это современная служба мониторинга, объединяющая мониторинг cron-заданий и периода работоспособности, управление инцидентами и страницы состояний. Настройка занимает всего 3 минуты.

Основные особенности: проверки Cron-заданий, API, Ping, HTTP(s) соединений, срока действия SSL и TLD; неограниченное количество уведомлений посредством телефонных звонков; простое планирование по требованию; скриншоты и журналы регистрации ошибок и инцидентов; более 100 интеграций, включая Slack, Teams, Heroku, AWS.

2️⃣ HealthChecks

HealthChecks – одна из лучших систем мониторинга Cron-заданий за счет своей простоты и эффективности. 

Основные особенности: уникальный URL-адрес для каждого задания; информационная панель, обновляющаяся в режиме реального времени; параметры «Grace Time» и «Period» для различных подходов и статусов мониторинга; интеграция со Slack, электронной почтой, Webhook, Microsoft Teams и т.д.

3️⃣ Cronitor

Cronitor помогает в планировании заданий и предоставляет быстрые уведомления.

Основные особенности: мониторинг различных типов Cron-заданий, включая AWS, Microsoft, Jenkins, Kubernetes и Java; гибкие политики уведомлений и правила; мониторинг периода работоспособности веб-сайта, API, хранилища S3 и т.д.

😅 Всё, что было терминологией программистов и сисадминов, превратилось в апликухи.

Дистрибутив TENS

Еще один дистрибутив с шифрованием данных.

Из особенностей:

⏺Мастер шифрования
⏺Несколько редакций
⏺Отсутствует менеджер пакетов

TENS (Trusted End Node Security) — это live-дистрибутив на базе Linux (ранее именуемый как «LPS» от «Lightweight Portable Security»), разработанный Научно-исследовательской лабораторией ВВС Министерства Обороны США.

Он предназначен для того, чтобы позволить пользователям работать на компьютере без риска подвергнуть свои учетные и личные данные воздействию вредоносных программ, кейлоггеров и других угроз.

Дистрибутив использует рабочее окружение Xfce, которое настроено таким образом, чтобы имитировать Windows ХР. 

Макет рабочего стола, размещение и название программы запуска приложений, а также оформление окон будут выглядеть аналогично Windows.

Одним из уникальных аспектов дистрибутива является приложение Мастера Шифрования (Encryption Wizard).

Вы можете перетаскивать файлы внутрь него и указывать пароль для их блокировки.

Вы также можете зашифровать файлы с помощью файла сертификата или сгенерировать безопасный пароль, чтобы получить более устойчивую к дешифровке парольную фразу.

Он использует 128- и 256-битное AES-шифрование и поддерживает сжатие зашифрованных архивов.
TENS выпускается в двух редакциях:

⏺Deluxe-издание включает в себя обычные настольные приложения для повседневного использования, такие как: LibreOffice, Totem Movie Player, Evince PDF reader, Firefox, Thunderbird и другие.
⏺Регулярный выпуск включает в себя приложение шифрования и некоторый небольшой набор дополнительных программ.

🔥 В отличие от других дистрибутивов, TENS не поддерживает установку большего количества программного обеспечения и в нем отсутствует менеджер пакетов.

Исследователи MIT представили генеративный ИИ для баз данных

Исследователи Массачусетского технологического института представили GenSQL — инструмент генеративного ИИ, который упрощает выполнение сложного статистического анализа табличных данных.

Основные возможности

GenSQL помогает делать прогнозы, обнаруживать аномалии, угадывать пропущенные значения, исправлять ошибки и генерировать синтетические данные.

Например, при анализе медицинских данных GenSQL может выявить аномальные показания артериального давления у пациента.

Интеграция и модели

GenSQL автоматически интегрирует табличные данные и генеративную вероятностную модель ИИ, которая учитывает неопределённость и корректирует решения на основе новых данных.

Этот инструмент также подходит для создания и анализа синтетических данных, когда исходная информация конфиденциальна.

GenSQL разработан на основе SQL.

«Исторически SQL научил мир бизнеса тому, на что способен компьютер. Мы думаем, что при переходе к моделированию данных нам понадобится аналогичный язык», — отмечает соавтор разработки Викаш Мансингхка.

Преимущества модели

Запросы к модели могут дать более глубокое понимание данных.

Пользователю нужно загрузить данные и вероятностную модель, которую система автоматически интегрирует.

Это позволяет выполнять более сложные запросы и получать точные ответы.

Эффективность и точность

GenSQL работает в 1,7–6,8 раза быстрее, чем нейронные сети, и обеспечивает более точные результаты. 

В тематических исследованиях система выявила неправильно маркированные данные клинических испытаний и генерировала точные синтетические данные для геномики.

Будущие планы

Исследователи планируют расширить применение GenSQL для крупномасштабного моделирования популяций.

☄️ Они хотят сделать систему более мощной и простой в использовании, добавив новые средства автоматизации и возможность выполнять запросы на естественном языке, создавая аналог ChatGPT для баз данных.

💬 Вопрос на собеседовании для DevOps-инженера

Давайте разберем один из частых вопросов, который может быть задан на собеседовании и как на него отвечать.

❓Вопрос: Назовите три способа, которые вы бы использовали для защиты Jenkins.

✅Ответ: Этот вопрос целиком и полностью зависит от того, какой подход предпочитает DevOps инженер. В этом плане у вас есть некоторая вольность в ответе, но давайте рассмотрим некоторые варианты в качестве примера:

• Запускать периодические аудиты безопасности.
• Настроить лимит доступа к данным, хранящимся на Jenkins.
• Убедиться в том, что опция “global security” включена.

Как защитить серверы Linux с помощью SELinux?

В наше время безопасность – это крайне важный компонент разработки программного обеспечения и управления серверами.

Если вы пользуетесь Linux, то у вас есть мощная функция SELinux, которая добавляет дополнительный уровень защиты.

Что такое SELinux?

SELinux (Security Enhanced Linux) был разработан АНБ для выполнения правительственных задач в области безопасности.

Он предоставляет системным администраторам контроль над доступом к файлам и процессам через контексты, что позволяет ограничить доступ для определённых пользователей и процессов.

SELinux по умолчанию присутствует в большинстве дистрибутивов Linux, таких как Fedora. Для работы с ним вам потребуются права root или sudo.

Файл конфигурации SELinux находится здесь: /etc/sysconfig/selinux.

Режимы SELinux

В файле конфигурации вы можете выбрать один из режимов:

⏺Enforced: Политики применяются, доступ ограничивается.
⏺Permissive: Политики не применяются, но все попытки доступа записываются в логи.
⏺Disabled: SELinux отключен (не рекомендуется).

Проверить текущий режим можно с помощью команд:

getenforce
sestatus

Для изменения режима на текущий сеанс:

sudo setenforce 0  # Permissive
sudo setenforce 1  # Enforced

Политики SELinux

Политики определяют доступ пользователей к ролям, ролей к доменам, и доменов к файлам. Политики управляются через логические переключатели.

Просмотреть и изменить переключатели можно так:

getsebool -a | grep httpd  # Все переключатели для httpd

getsebool httpd_can_connect_ftp  # Проверить состояние переключателя
setsebool -P httpd_can_connect_ftp 1  # Включить переключатель

Флаг -P сохраняет изменение после перезагрузки.

Устранение неисправностей и логи SELinux

Логи SELinux находятся здесь: /var/log/audit.

Для диагностики проблем можно включить режим Permissive, чтобы записывать все события в логи.