Wiki » Konfiguracja serwerów » Linux LXC »
Tworzenie nowego kontenera PokażUkryj
Debian
NAME=tu_nazwa; lxc-create -t debian -n $NAME -B lvm --vgname=first --lvname=lxc-$NAME --fstype=xfs --fssize=10G -- -r trixie; \ echo 'lxc.start.auto = 1' >> /var/lib/lxc/$NAME/config; \ lxc-start -n $NAME -d;
Ubuntu 24.xx Noble
NAME=tu_nazwa; lxc-create -t ubuntu -n $NAME -B lvm --vgname=first --lvname=lxc-$NAME --fstype=xfs --fssize=10G -- -r noble; \ echo 'lxc.start.auto = 1' >> /var/lib/lxc/$NAME/config; \ lxc-start -n $NAME -d;
- Bridge - aktualnie zalecany
PokażUkryj
Pamiętać o nadaniu unikalnego adresu MAC.
echo -e "\n## Network\n lxc.network.type\t\t\t= veth\n lxc.network.flags\t\t\t= up\n lxc.network.link\t\t\t= br0.1000\n lxc.network.name\t\t\t= eth0\n" >> /var/lib/lxc/$NAME/config
Przykład## Network lxc.hook.version = 1 lxc.net.1.type = veth lxc.net.1.flags = up lxc.net.1.link = br0 lxc.net.1.name = wan lxc.net.1.veth.pair = $NAME lxc.net.1.script.up = /var/lib/lxc/$NAME/br0.up
br0.up
#!/bin/sh bridge vlan del dev $LXC_NET_PEER vid 1 untagged bridge vlan add dev $LXC_NET_PEER vid 2 untagged pvid
- SR-IOV - nie zalecany(tracimy rdzenie procesora które na sztywno trzeba przypisać do urządzenia)
PokażUkryj
## Network lxc.net.1.type = phys lxc.net.1.flags = up lxc.net.1.link = eth5 lxc.net.1.name = eth0vf1
- Konfiguracja IP - nie wykonujemy, ip nadajemy w kontenerze
PokażUkryj
#lxc.network.hwaddr = 00:FF:CB:AC:FF:A5 lxc.network.ipv4 = 31.41.176.16/24 lxc.network.ipv4.gateway = 31.41.176.1
Gdzie zmienne to: ** lxc.network.hwaddr - adres fizyczny karty sieciowej ** lxc.network.link - nazwa bridga do którego mamy się podłączyć ** lxc.network.name - nazwa interfejsu widocznego w GUEST
Konfiguracja kontenera PokażUkryj
lxc-attach -n $NAME -- bash -c 'echo "deb http://deb.debian.org/debian/ bookworm main contrib non-free" >> /etc/apt/sources.list;'; \ lxc-stop -n $NAME; lxc-start -n $NAME -d; IP=x.x.x.x; BRAMA=x.x.x.x; lxc-attach -n $NAME -- ip ad add $IP dev eth0; \ lxc-attach -n $NAME -- ip ro add default via $BRAMA; lxc-attach -n $NAME
Paczka pakietów potrzebnych na wszystkich systemach PokażUkryj
apt -y update; \ apt-get -y install mc ssh less psmisc pciutils tcpdump logrotate cron nano vim rsyslog iptables lsof strace iputils-ping wget screen \ pbzip2 aptitude htop man iftop bzip2 telnet htop tree rsync \ dnsutils ncdu mtr arping lldpd bash-completion acl git python3 python3-pip nano net-tools diceware ifstat acl colordiff \ fail2ban;
Dodawanie konta dla administratora PokażUkryj
USER=jadmin; \
adduser --force-badname --gecos "JustNet Admin Account" ${USER}; \
for group in justnet remote-console admin; do
egrep -q -i "^${group}" /etc/group; [ $? -eq 0 ] && adduser ${USER} ${group} || addgroup --system ${group}; adduser ${USER} ${group};
done; \
echo "alias su='su - -c \"export SSH_AUTH_SOCK=$SSH_AUTH_SOCK; bash\"'" >> /home/${USER}/.bashrc; \
mkdir -p /home/${USER}/.config/mc; \
echo -e '[Midnight-Commander]\nuse_internal_edit=true\neditor_fill_tabs_with_spaces=true\neditor_tab_spacing=4\n\n[Panels]\nnavigate_with_arrows=true' > /home/${USER}/.config/mc/ini; \
chown -cR $USER.$USER /home/${USER}
Konfiguracja Podstawowa(SSH Root Firewall) PokażUkryj
passwd; \
mkdir -p /root/.config/mc; \
echo -e '[Midnight-Commander]\nuse_internal_edit=true\neditor_fill_tabs_with_spaces=true\neditor_tab_spacing=4\n\n[Panels]\nnavigate_with_arrows=true' > /root/.config/mc/ini; \
\
echo -e "\nAllowGroups remote-console\n" >> /etc/ssh/sshd_config; \
/etc/init.d/ssh restart; \
\
echo "auth required pam_wheel.so trust group=admin" >> /etc/pam.d/su; \
\
rsync -avz -e ssh jadmin@deploy.justnet.pl:storage/baseconfig/firewall/* /; \
SERVER_IP=`ip li|grep ',UP,'|grep -v lo|cut -d':' -f 2| xargs`; \
mkdir -p /etc/gen/firewall/host:${SERVER_IP}/22:tcp:ssh; \
echo -e "78.9.185.84\t# JustNet VPN" > /etc/gen/firewall/host\:${SERVER_IP}/22\:tcp\:ssh/allow; \
/etc/init.d/ip_firewall restart; \
update-rc.d ip_firewall defaults; \
echo "Europe/Warsaw" > /etc/timezone; \
rm /etc/localtime; \
ln -s /usr/share/zoneinfo/Europe/Warsaw /etc/localtime; \
\
echo 'DAEMON_ARGS="-c -s -e"' >> /etc/default/lldpd; \
systemctl restart lldpd;
Debian - Zabbix instalacja i konfiguracja PokażUkryj
apt -y update; \
apt-get -y install git sudo zabbix-agent rsync; \
\
git clone https://github.com/H-Software/Zabbix-Template-Linux-LXC.git /tmp/zabbix; \
cp /tmp/zabbix/conf/zabbix-lxc.conf /etc/zabbix/zabbix_agentd.conf.d/; \
cat /tmp/zabbix/conf/sudoers.d-zabbix-agent >> /etc/sudoers; \
mkdir -p /etc/zabbix/scripts; \
rm -rf /tmp/zabbix/; \
rsync -avz -e ssh jadmin@deploy.justnet.pl:storage/baseconfig/zabbix/* /; \
/etc/init.d/zabbix-agent restart; \
mkdir -p /etc/gen/firewall/host\:${SERVER_IP}/10050\:tcp\:zabbix; \
echo -e "78.9.185.79\t# Zabbix" > /etc/gen/firewall/host\:${SERVER_IP}/10050\:tcp\:zabbix/allow; \
/etc/init.d/ip_firewall restart; \
echo "Dodaj z laski swojej host $HOSTNAME o ip ${SERVER_IP} do zabbiksa";
SNMPD - instalacja i konfiguracja PokażUkryj
apt-get update; \
apt-get -y install snmpd; \
sed -i "s|-Lsd|-LS6d|" /etc/init.d/snmpd; \
sed -i "s|-Lsd|-LS6d|" /etc/default/snmpd; \
sed -i "s|-Lsd|-LS6d|" /lib/systemd/system/snmpd.service; \
systemctl daemon-reload;
sed -i "s|udp:127.0.0.1:161|udp:${SERVER_IP}:161|" /etc/snmp/snmpd.conf; \
sed -i "s|rocommunity public default|rocommunity read-`hostname` default|" /etc/snmp/snmpd.conf; \
systemctl restart snmpd; \
mkdir -p /etc/gen/firewall/host:${SERVER_IP}/161:udp:snmp; \
echo -e "78.9.185.84\t# JustNet VPN" > /etc/gen/firewall/host\:${SERVER_IP}/161\:udp\:snmp/allow; \
/etc/init.d/ip_firewall restart; \
Tworzymy hostname w poleceniu należy zamienić domena na używaną domenę PokażUkryj
echo firma._domena_ > /etc/hostname; \
echo `ip ad|grep inet|grep eth0|awk '{print $2}'|cut -d/ -f1` firma._domena_ >> /etc/hosts;
Przygotowanie partycji¶
Udziały Stripe i RAID do trzymania danych docker PokażUkryj
Stripe dla danych typu logi, stare obrazy
VGNAME=lxc1; \
lvcreate -L60G --type raid0 -i 2 -n lxc-${NAME}-stripe ${VGNAME} /dev/sdb2 /dev/sdc2; \
mkfs.xfs /dev/${VGNAME}/lxc-${NAME}-stripe;
Udział RAID dla danych typu konfiguracja, baza danych itp.
VGNAME=lxc1; \
lvcreate -L40G -n lxc-${NAME}-raid1 ${VGNAME}; \
lvconvert --type raid1 /dev/${VGNAME}/lxc-${NAME}-raid1 /dev/sdae1; \
mkfs.xfs /dev/${VGNAME}/lxc-${NAME}-raid1;
Mount zasobów
mkdir -p /var/lib/lxc/${NAME}/rootfs/home/storage/{raid1,stripe}
Docker¶
Instalacja docker-ce PokażUkryj
apt-get install docker-cli docker-compose docker.io; \ touch /etc/docker/docker-compose.yaml
Konfiguracja Network¶
Przykład definicji własnej sieci PokażUkryj
networks:
justnet:
ipam:
config:
- subnet: 172.19.0.0/26
gateway: 172.19.0.1
Przypisanie sieci do service PokażUkryj
networks:
justnet:
ipv4_address: 172.19.2.21
HAProxy¶
apt-get install haproxy; \
\
mkdir -p /etc/gen/firewall/host\:${SERVER_IP}/80\:tcp\:http; \
mkdir -p /etc/gen/firewall/host\:${SERVER_IP}/443\:tcp\:https; \
Ograniczenie dostępu do zasobów np. MGTM PokażUkryj
Dodajemy ACL w sekcji frontend:
acl network_allowed src x.x.x.x
http-request deny if host-is-${NAME} !network_allowed !is_letsencrypt-acl
Konfiguracja SSL
Konfiguracja HAProxy PokażUkryj
Dodanie SSL na 443 w sekcji frontend
#bind :443 ssl crt /etc/letsencrypt/live/fullchains/fullchain.pem
Dodanie przekierowania w sekcji frontend:
acl is_letsencrypt-acl path_beg /.well-known/acme-challenge/ use_backend letsencrypt-backend if is_letsencrypt-acl
Dodanie backend:
backend letsencrypt-backend server letsencrypt 127.0.0.1:8888
Dodanie przekierowanie HTTP do HTTPS w sekcji frontend
http-request redirect scheme https unless { ssl_fc }
Przykład pełnego wpisu
frontend http-in
bind :80
#bind :443 ssl crt /etc/letsencrypt/live/fullchains/cert.pem
mode http
http-request redirect scheme https unless { ssl_fc }
# Strip port from Host header
http-request replace-value Host (.*):.* \1
acl is_letsencrypt-acl path_beg /.well-known/acme-challenge/
use_backend letsencrypt-backend if is_letsencrypt-acl
backend letsencrypt-backend
server letsencrypt 127.0.0.1:8888
Pobranie konfiguracji przez certbot PokażUkryj
echo -e '#!/bin/bash -x' "\n\n" >> /etc/haproxy/certbot.sh
echo "certbot -m webmaster@justnet.pl --agree-tos; certonly --standalone --preferred-challenges http-01 --http-01-port 8888 --http-01-address 127.0.0.1 -d domain1.xyz -d domain1.xyz" >> /etc/haproxy/certbot.sh; \
chmod +x /etc/haproxy/certbot.sh; \
bash /etc/haproxy/certbot.sh; \
\
for domain in `find /etc/letsencrypt/live/* -maxdepth 1 -type d|xargs`; do ln -s ${domain}/privkey.pem ${domain}/fullchain.pem.key; done;
Podajemy port 8888 na którym słucha certbot, na port 8888 zostanie przekierowane zapytanie przez HAProxy z portu 80