LINUX.ORG.RU
ФорумTalks

Прозрение Штульмана

 ,


1

2

Штульман повзрослел, стал на год взрослее.

А было вот что.

Я последний год внедрял в нашей конторке всякие штуки, то Proxmox вместо пиратской VMWare, то Let’Encript, то собственное облако, то мониторинг, то настаивал на необходимости оповещений о значительный отвалах сервиса, то продвигал идею обезличивания одной ИС, которая ела кучу денег на защиту, но при этом совершенно неоправданно.

Чем все кончилось.

Не далее чем вчера, зашел на наш main_router и добавил на него правило. Отвалилась консоль и интернет в офисе.

Ну что же, старшему коллеге объяснил, что мол добавлял сервис SNMP и хотел ограничить доступ к нему только локалкой. Добавил правило, указал порт, но не указал протокол, применил; после чего отпало управление и интернет в офисе. Все по честноку, это вообще мой принцип.

Ну что же, на то чтобы прошить микротик прошивкой из архива месячной давности у коллеги ушло 8 часов. За это время всем коллегам была внедрена мысль что сделал все это я специально, что это саботаж.

Через час после инцидента, мне позвонила босс: «ну что у нас?». Я сказал: «добавлял сервис SNMP и хотел ограничить доступ к нему только локалкой. Добавил правило, указал порт, но не указал протокол, применил; после чего отпало управление и интернет в офисе», что для босса прозвучало «ДАОШРвЫДШоарфыдвтфмдоывамтдошукфитфткмдфгшукмтгшдффжщукшпомтжкф, я все сломал»

Утром мне сказали что теперь микротик будут администрировать столько с ее ведома, что все её одинесники сказали что лезть в микротик нельзя.

Я перечислил ей другие случаи глобальных сбоев: «аттестованная сертифицированная контора разослала на випнеты наших клиентов пустой список IP координаторов, время полного восстановления 180 дней», «внедрили линукс, наш главный одинесник 2 недели доказывал что линукс глючный и не может как винда, при этом клиенты почти не могли работать, после выделения серверу необходимых ресурсов работа нормализовалась», «наш главный одинесник пил 3 месяца – данный опыт бесценен».

Никто не говорил о саботаже.

Да похоже даже в глазах коллег я всего лишь мальчик который носит трубку и соединяет с «Викой».

А какой у тебя был факап, после которого ты потерял всю репутацию?

PS. Да, в этот раз, похоже действительно пора увольняться.



Последнее исправление: Shulman (всего исправлений: 1)
Ответ на: комментарий от WitcherGeralt

Самая простая. БД с неизвестными багами неизвестно как поведёт себя. В плане открытого порта можно потерпеть и пойти на определённые риски, но не более того.

turtle_bazon ★★★★★
()
Ответ на: комментарий от WitcherGeralt

Смотрит она в локалхост, но собранная в системе может зацепиться к системе и посмотреть в твой локалхост. А в контейнере она смотри в свой локалхост контейнера. Етить, основы.

turtle_bazon ★★★★★
()
Ответ на: комментарий от alpha

Ты говоришь что производительность просядет по I/O.

Я говорю про n экземпляров на одном винте/хосте. Иначе какой смысл запускать жирную базу в контейнере.

crutch_master ★★★★★
()
Ответ на: комментарий от Nervous

Усложняем задачу — надо запустить 17 одинаковых постгрей.

Ничего не говорю, это оправдано, если у тебя 17 микропостргей или там всякая ботва типа пострги + jasper report/подобный софт на вынос и надо запускать всё это пачками по 5 раз на дню.

crutch_master ★★★★★
()
Ответ на: комментарий от turtle_bazon

А в контейнере она смотри в свой локалхост контейнера.

И зачем? Обычно ей всё равно надо смотреть во вн. сеть. Ты же не будешь хостить приложение вместе с базой.

crutch_master ★★★★★
()
Ответ на: комментарий от Harald

что конфигам из /etc мешает точно так же в гите лежать

Ничего не мешает. Ничего не мешает их также автоматически накатывать на автоматически разворачиваемые хосты. Кто как хочет, тот так и дрочит, лишь бы не вручную.

Но не будем отвлекаться. Значит, ты согласен, что качок набросил чепуху про недопустимость БД в контейнере?

Nervous ★★★★★
()
Последнее исправление: Nervous (всего исправлений: 1)
Ответ на: комментарий от dimgel

не будет иметь отношения к исходной задаче

Не было никакой исходной задачи, был жирный наброс, что БД в контейнере ай-яй-яй и ровные посоны так не делают.

Nervous ★★★★★
()
Ответ на: комментарий от dimgel

Задним умом все крепкие. А тогда персоналки были натуральной НЁХ.

Я кстати вспомнил на ютубчике распаковку древнего компа, который так и не был в своё время продан, кажется уровня 286, там в коробке кроме самого компа книжечка в мягкой обложке толстенькая была.

То есть книга должна была с самим компом продаваться, если это был натуральный IBM PC XT. а не клон.

Xenius ★★★★★
()

на то чтобы прошить микротик прошивкой из архива месячной давности у коллеги ушло 8 часов

Вот тут твоя ошибка. Сам накакал - надо было самому бежать кабанчиком и убирать. У коллеги, очевидно, квалификация не та.

slowpony ★★★★★
()
Ответ на: комментарий от slowpony

я нахожусь за 4000 км, коллеге не нужно было изображать рембо, и послушать что ему по телефону скажут.

Shulman
() автор топика
Ответ на: комментарий от Harald

Меня всегда умиляет эта логика.

- X не нужен, можно _просто_ сделать то-то
- А вот тут будет проблема
- Да мы _просто_ добавим вот это
- А с этим что ты будешь делать?
- Да _просто_ вот тут ещё подкрутим
...
- А вот это?
- Да что нам мешает _просто_ вот там и вот тут ещё добавить такую штуку..
- Поздравляю, вы написали X версии 0.0.1-pre-alpha, то есть каким он был 7 лет назад. У вас впереди ещё много интересного.

В данном случае если тебе придется подобные конфиги, с правками не только инит-скрипта но и всех конфигов, вспомогательных утилит с контролем их версий, регулярным обновлением и т.п., писать больше двадцати раз и не только для одного постгреса, то ты сначала изобретешь SCL. Потом поймешь что с таки подходом тоже куча проблем особенно когда упаковывать приходится приложение типа Jira, которое считает что кроме него в мире ничего больше не существует и все попытки его как-то ограничить игнорирует.

После чего ты начнёшь переизобретать логику докера, cgroups и systemd, опять же на баше, потому что другие средства разработки - это для хипстеров.

К счастью не всем интересно проходить этот путь с нуля каждый раз заново и каждый раз через все те же костыли и грабли, которые уже сто тыщ пятьсот раз изучены и решены.

alpha ★★★★★
()
Ответ на: комментарий от Nervous

Нет, не согласен. Какой смысл в 17 экземплярах одного сервера БД на одном физическом сервере? Производительности это явно не добавит, разделение по юзерам и привилегиям все нормальные СУБД умеют, что мешает хостить БД для 17 приложений в одном экземпляре?

Harald ★★★★★
()
Ответ на: комментарий от Nervous

Ну надо.

Во, наш человек. :)))

БД-не БД, а вот десяток экземпляров exim на машину у одного из топовых спамеров я видел. Не помню, как они были разнесены (виртуалки или exim-у можно подсовывать пути в командную строку), помню только что все рабочие каталоги были в tmpfs. Звучит странно, но видимо им виднее, небось успели попробовать и так и эдак.

dimgel ★★★★★
()
Ответ на: комментарий от dimgel

у одного из топовых спамеров я видел

а расскажи-ка поподробнее, откуда у тебя, мил человек, доступ к машинам топовых спамеров )

Harald ★★★★★
()
Ответ на: комментарий от Harald

и как это помогало в рассылке спама и почему один экземпляр не мог делать всё то же самое

Написал же:

Звучит странно, но видимо им виднее, небось успели попробовать и так и эдак.

dimgel ★★★★★
()
Ответ на: комментарий от Harald

(пожимаю плечами) Работал на них. Официально это конечно называется по-другому – email-маркетинг (e.g. см. MailChimp.com), но от перемены мест слагаемых названия сущность не меняется.

dimgel ★★★★★
()
Ответ на: комментарий от dimgel

рабочие каталоги были в tmpfs

Зато как миллиарды баунсов дропать удобно.

slowpony ★★★★★
()
Ответ на: комментарий от Nervous

Сейчас мы ему что-нибудь увеличивать будем.

/me смотрит заинтересованно :)

dimgel ★★★★★
()

Интернет в офисе уронить - это не такой уж факап.

Уронить основное бузинесс-приложение на полсотне, а то и более магазинчиков, просто включив UAC на богомерзкой семерочке - бесценно.

FixingGunsInAir
()
Ответ на: комментарий от turtle_bazon

В нормальной системе разные сервисы запущены под разными пользователями и не имеют прав доступа к чужим директориям и файлам

Harald ★★★★★
()
Ответ на: комментарий от Harald

Давай ещё будем разговаривать про «нормальные системы». А что ты скажешь по поводу того, что доступ по TCP по умолчанию на локалхостЪ не рубится?

turtle_bazon ★★★★★
()
Ответ на: комментарий от turtle_bazon

И что? Что она (СУБД) может такого ужасного через TCP натворить, чего нельзя сделать из диких интернетов?

Harald ★★★★★
()
Ответ на: комментарий от turtle_bazon

ну и СУБД не обязательно через TCP работает, может и через unix сокет, TCP порт можно вообще отключить, а исходящие нежелательные соединения порезать на файерволе

Harald ★★★★★
()
Ответ на: комментарий от crutch_master

Ну БД смотрит в локалхост, там же у тебя ещё что-нибудь будет. Или одному нужен будет мускл, другому постгрес. А кому-то постгрес одной версии, кому-то другой. Каждому по отдельной машине БД предлагаешь?

turtle_bazon ★★★★★
()
Ответ на: комментарий от Harald

А кто его знает что там неизвестная СУБД захочет сделать. А из диких интернетов сложнее прорваться на локалхост сервера.

turtle_bazon ★★★★★
()
Ответ на: комментарий от Harald

Как сервер оно может хоть через UDP работать, но как клиент может и понаворотить. Ты же не пишешь специальные правила selinux или чего там у тебя под каждую инсталляцию СУБД?

turtle_bazon ★★★★★
()
Ответ на: комментарий от turtle_bazon

Ты любишь ставить проприетарные СУБД, скачанные с кряком с рутрекера или ещё откуда-то? Иначе откуда такие ожидания.

Harald ★★★★★
()
Ответ на: комментарий от turtle_bazon

Ты же не пишешь специальные правила selinux или чего там у тебя под каждую инсталляцию СУБД?

правила apparmor, к примеру, в убунте из коробки идут ко многим пакетам

Harald ★★★★★
()
Ответ на: комментарий от Harald

Я вообще ничего не люблю ставить. Но может кто-то захотеть поставить. Точнее, окажется, что нужно поставить.

turtle_bazon ★★★★★
()
Ответ на: комментарий от Harald

К слову говоря, не пользуюсь докером. Но загоняю аппликухи в контейнеры.

turtle_bazon ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.