Hallo zusammen,
mich würde interessieren, ob es möglich ist einzelne Dienste, z.B. LINBO, SAMBA4-AD, Fileserver aus dem linuxmusternet-Server in eigenständige Maschinen auszugliedern ohne das einem beim Update die ganze Umgebung um die Ohren fliegt. Es geht nicht um reines Replizieren des AD, sondern um eine Trennung der Dienste. Ziel soll es sein, linuxmuster.net nicht als Ein-Server-Lösung oder als Containerlösung zu betreiben.
Viele Grüße
Thomas Jordan
Hallo Thomas Jordan,
ich will die Frage mal nicht in Frage stellen, d.h. ob das, was du willst, sinnvoll ist, oder nicht.
Ich will bloß herausstellen, dass kein Mensch auf die Idee kommen würde, beim LMZ anzurufen, geschweige denn bei Microsoft, Novell oder dieser Linuxfirma, und fragen, ob man deren Serverlösung aufsplitten kann.
Ich wäre dankbar dafür, wenn auf unserem Verwaltungsserver Mail, ASV (Verwaltungsprogramm) und Untis (Vertretungsplan) und am besten Druckdienste getrennt wäre. Jeder einzelne ist schon ausgefallen und hat das gesamte System in Mitleidenschaft gezogen. Bei Mail war sogar nichts mehr erreichbar.
Zurück zu deiner Frage: Ich kann mir vorstellen, dass es ein KANN geben könnte als Antwort, aber das müssten die Entwickler beantworten.
LINBO haben vereinzelt Leute hier schon ausgegliedert.
sophomorix-Befehle sind aber zentral und da müsste deren Entwickler sagen, ob das so modular gebaut ist, oder ob man selbst Hand anlegen muss an X Stellen, dass das klappt.
Ich persönlich sehe momentan keinen Vorteil, wenn man das (weiter) containerisiert, bisher ist linuxmuster.net mit angesprochenen Diensten noch nie komplett um die Ohren geflogen. Höchstens einzelne Dienste taten den ihrigen nicht.
VG, Tobias
Hallo Thomas,
ich habe deine Anfrage an die Entwickler weitergeleitet.
Da kommt bestimmt noch eine Antwort 
Viele Grüße
Holger
Hallo Herr Jordan,
ja das ist generell möglich. Das Design sieht das vor, jedoch beschränken wir den Support zunächst auf die Standardumgebung.
Wir haben bereits größere deployments bei denen das aufgetrennt ist. Das ist aber nicht der Standard und bedarf einem Dienstleister.
Viele Grüße, Maurice Cazautet
Hallo Tobias, hallo Holger,
vielen Dank für die Info.
Die Anfrage mag eigenartig scheinen. Die Anforderungen und die Gegebenheiten an der Schule sind sehr speziell und bislang wurde dort jede eingesetze Lösung auf die Bedürfnisse extra angepasst. Mit der derzeit eingesetzen Lösung ist man nicht mehr wirklich zufrieden. Die einzelnen lxc-Container werden in dieser Lösung über puppet konfiguriert. Das ist prinzipell auch gar nicht schlecht, nur spielt hier der Hersteller selbst die puppet-rules ein und nimmt auf diesem Weg weitreichende Änderungen am Gesamtsystem vor. Passt man die puppet-rules dann nach seinen Bedürnissen kann, sind die evtl nach dem nächsten Update weg. Oder es werden auf die Art und Weise neue Container auf dem host generiert, die der Hersteller für sinnvoll hält. Beispiel: Die Schule hat zur SSL-Verschlüssel Wildcard-Zertifikate. Der Could-Server ist als lxc integriert. Im Auslieferungszustand wurden hier selbst-signierte Zertifikate eingesetzt, also hat die Schule hier das entsprechende Wildcard-Zertifikat hinterlegt. Dann kam über Nacht ein Update und schwupps gab es einen zusätzlichen Container der als ca fungiert und alle Zertifikate durch letsencrypt-Zertifikate ersetzt. Die ware aber leider nicht gültig, da Host und Firewall dafür gar nicht konfiguriert waren…usw.
Davon will man weg und sucht eine anpassbarere Lösung.
Viele Grüße
Thomas
Hallo Maurice,
danke für die Info. Gemessen an der Anzahl der Clients (ca. 1000) gehört die Schule zu den größeren…
Daher auch diese etwas ungewöhnliche Anfrage.
Viele Grüße
Thomas
Hallo Thomas,
1000 Clients sind kein Problem. Wir haben derzeit eine Schule auf der LMN7 die etwas mehr PCs hat.
Gerne können wir die möglichkeiten der V7 auch mal Telefonisch besprechen. Bei Interesse einfach eine PN an mich
VG, Maurice
Hallo,
ich hätte auch noch eine Anmerkung, die in dieses Thema hineinspielt. Wie wäre es, wenn man per default schon einige Aliase für den Server einrichtet, so dass man für die Dienste diesen Namen verwenden kann. z. B. wird der Name ldap in die Server-IP aufgelöst. In der ldap-Konfiguration auf dem client wird dann eben ldap als Hostname eingetragen, ebenso mit ntp, samba, printer, usw. Verschiebt man dann den zugehörigen Dienst auf einen anderen Server, muss man nur den dns-Eintrag anpassen und auf den Clients keine Änderung machen.
Wir hatten früher Skolelinux im Einsatz, da war das so geregelt. Wir haben mal den Fileserver ausgelagert, das war dann kein Problem.
Besten Gruß, Martin
Hallo Thomas,
ohne eine Antwort auf Deine Frage zu haben und weil mich das Thema einfach interessiert, wollte ich auch mal nach dem Grund Deiner Anfrage fragen: soll das rein aus Performancegründen getrennt werden und wenn ja, welche Dienste sollen denn ausgelagert werden oder stecken da noch andere Überlegungen dahinter?
Könnte eine einzige Serverhardware nicht so ausgelegt werden, dass sie auch größeren Belastungen genügt? Angefangen bei Mehr-Sockel-Xeon-Systemen mit zahlreichen CPU-Kernen über RAM, “all-Flash-Storage” und/oder großen RAID-Verbünden bis hin zu NIC-Trunks oder 10-, 40- oder gar 100 Gbit/s-NICs kann man das ja vielleicht nicht grenzenlos aber bestimmt doch so weit skalieren, dass auch die GAS (größte anzunehmende Schule) da kein Problem darstellen sollte!?
Viele Grüße,
Jochen
Hallo Maurice,
darauf werde ich auf jeden Fall zurückkommen.
Viele Grüße
Thomas
Hallo Jochen,
es geht nicht nur um Performance sondern auch um Ausfallsicherheit. Bei der bisher eingesetzten Lösung ist es z.B. schon vorgekommen, dass es ein Problem mit einem Dienst bzw. Container gab, was dazu geführt hat, dass der komplette Containerhost und damit alle Container nicht mehr liefen. Angenommen irgendein Dienst müllt die Festplatten voll -> irgendwann geht dann auch bei noch so starker Serverhardware als Virtualisierungshost nichts mehr, wenn alles auf einem Server läuft.
Deshalb will man z.B. die AD vom Fileserver trennen. Wenn der Fileserver nicht funktioniert, kann man sich immer noch an Webuntis und co. anmelden. Gleichsam würden auch DHCP/DNS weiterhin zur Verfügung stehen und man könnte sich an den Arbeitsstationen anmelden. Es wären dann einzig die Netzlaufwerke nicht verfügbar. Läuft jetzt aber alles auf einer Maschine funktioniert evtl. im Fehlerfall nichts mehr.
Für die Trennung des AD vom Fileserver sprechen auch noch andere Gründe. Hierzu z.B. Stefan Kania “…Natürlich kann ein ADDC auch gleichzeitig Fileserver sein, nur gibt es da mit den Linux-Clients die Probleme hinsichtlich des ID-Mappings, das ist der Hauptgrund für die Trennung von AD und Fileserver…”
Den LINBO würde man tatsächlich aus Performancegründen extern unterbringen. Man vertraut dem Bittorrent nicht so ganz und für den Fall das der Rsync-Failover zum Einsatz kommt, geht das sehr auf die Performance des Gesamtsystems. Daher würden man den auf alle Fälle ausgliedern wollen.
Viele Grüße
Thomas
Hallo Thomas,
danke für Deine Rückmeldung.
Davon abgesehen, dass man die angesprochenen Eventualitäten durch entsprechende Maßnahmen (Quota, Monitoring, extra Partitionen, …) auch auf einem einzelnen Host in den Griff bekommen könnte, bin ich der Meinung, dass es v.a. beim Thema Verfügbarkeit einfacher ist, weniger Maschinen zu pflegen und hochverfügbar zu halten, als mehrere. Aber da gehen die Meinungen natürlich auseinander und es gibt bestimmt gute Gründe für das ein oder andere.
Leider kann ich Dir bei Deiner ursprünglichen Frage wie gesagt nicht weiterhelfen, bin aber mal gespannt, was die Entwickler dazu sagen.
Viele Grüße,
Jochen
Finde ich auch, und was muss denn in der Schule wirklich „hochverfügbar“ sein?
Wie sind doch weder in einer Bank oder bei Ebay noch bei Amazon, wo unter Umstaenden jede Minute Millionen von Transaktionen gesichert sein muessen.
Die ganze Komplexitaet von solchen Systemen macht es doch bei unserem Budget und Zeitkontingent nicht einfacher eine gute Verfuegbarkeit zu ermoeglichen?
Ich glaube, dass hier Probleme herbeigeredet werden, die es gar nicht gibt.
Ich weiss nichtmal genau was fuer Hardware bei uns genau am Laufen ist und zwar weil es mich schlicht und einfach nicht interessiert, aber die CPUs sind nicht ueberlastet und die Festplatten sind auch nicht voll und alles tut soweit und das seit Jahren. Der Hauptserver, der die uralte Linuxmuster traegt, hat 4 GByte-RAM und die Festplatten (RAID1) 500 Gbyte an Nutzdaten.
Gut, ich baue gerade parallel eine neue Loesung auf und stelle raumweise darauf um, aber an der ranzigen alten Loesung haengen ca. 300 Clients, Moodle haben wir allerdings extra draussen, das braucht die alte Kiste nicht zustemmen, Linbo laeuft beim alten System auch nicht, das macht noch (!) eine Eigenbauloesung.
Krass ist, dass die 6er-Musterloesung, die mittlerweile 3 Raeume fuettert, virtualisiert auf einem RAID0 (!) mit ca. 420 GByte laeuft, war ein Testsystem und ich hab da drei 146er Platten reingestopft, ewiges Provisorium halt. Das laeuft seit ca. 1 Jahr und ist so natuerlich nicht zur Nachahmung empfohlen.
Ich weiss aber, dass ich beim Crash keine 5h brauche umd das wieder zum Laufen zu bekommen - wie ich die dazugehoerigen Backups mache, schreibe ich hier lieber nicht.
Bevor Werkzeuge wie Docker ihre Einarbeitungszeit incl. der ganzen Problemloesungen, deren Probleme man ohne Docker ncht haette, wieder eingespielt haben, duerfte einiges an Zeit vergehen.
Vielleich bin ich aber auch einfach zu doof fuer Docker, aber mir erschliesst sich die Vorgehensweise nicht intuitiv, gerade bei Updates von vielen Dockerinstanzen und dem tragenden „Wirt“ und was nicht einigermassen intuitiv bedienbar ist, kommt weg. Ich mag es nicht mich an wirren Kochbuechern entlanghangeln zu muessen, aber das ist Geschmacksache wie fast alles.
Ich muss auch zugeben, dass ich ein grosser Freund von einfachen Systemen bin, ich mag es wenn viele Dienste auf einem Host laufen und ich mag auch relativ flache Netze. Der ganze VLAN-Wahnsinn laesst sich aus meiner Sicht in der Schule auf ein Minimum reduzieren. Das Verwaltungsnetz sollte aus meiner Sicht aber vom paedagogischen physikalisch getrennt sein und was im paedagogischen gespeichert ist, ist wenig sicherheitsrelevant, zumindest ist es ueberschaubar.
LVM interessiert mich auch nicht und ich neige ebenfalls dazu sehr wenige Partitionen zu erstellen, trenne nichtmal /var von den /homes und von /root. Ich weiss das ist verwerflich, mir ist aber bisher noch keine Platte vollgelaufen - obwohl mein Monitoring mittlerweile auf ein Minimum geschrumpft ist .
Ich glaube wir alle sind auch Spielkinder und jeder froehnt hier seinen Ticks: Docker, VLANs, rote/gruene/gelbe/blaue/… Netze und ich hab halt andere im Netzwerksektor, muss aber alles einfach sein,
Gruss Harry
Hallo Harry,
na ja, doch, ich denke schon, dass die IT-Infrastruktur auch in einer Schule heute "hoch"verfügbar sein sollte. Wobei hier sicherlich die Definition von “hoch” schwierig ist, 99,99999% brauchen wir vermutlich nicht.
Du hast Recht, es gibt nicht die monetären Ausfälle wie in einem großen Konzern. Aber mein ehemaliger Schulleiter hat genau so argumentiert, ich höre ihn noch heute poltern “…wir sind doch keine Bank…!”, als ich gewagt hatte, anstatt eines selbst zusammengeschraubten PCs als Server echte Serverhardware mit redundanten Netzteilen etc. zu fordern. Und dann hättest Du ihn mal hören sollen, als er mich in den Sommerferien im Urlaub anrief, weil der Internetzugang nicht funktionierte, da ging die Welt unter…! Tja, so weit liegen Anspruch und Realität auseinander…
Und wenn an einer Schule der Unterricht immer mehr digitalisiert abläuft, es vielleicht nur noch digitale Whiteboards gibt und Du an den Versand der Abiaufgaben per verschlüsseltem USB-Stick denkst, für den das Passwort morgens per Email eintreffen soll und wo die Abiaufgaben dann noch “gschwind” tausende Seiten weise kopiert werden müssen, dann werden da bestimmt manche ziemlich nervös, wenn irgendetwas nicht funktioniert… Und dann unter Druck improvisieren und das Dingen wieder zum Laufen bringen: puh…
Und ich denke, dass man heutzutage diese halbwegs vernünftige Verfügbarkeit, v.a. bei virtualisierten Systemen, zu vertretbaren Kosten hinbekommt. Und wer auch diese nicht aufbringen kann oder will, dem muss man halt klarmachen, was das im Extremfall für Auswirkungen hat. Und wenn ein Schulleiter damit klarkommt und das absegnet, dann ok aber dann bin ich nachher nicht der Depp…
Aber ich schweife vom ursprünglichen Thema des Threads ab… 
Viele Grüße,
Jochen
Jochen , mein Posting oben war natuerlich etwas ueberspitzt, unser Serverschrank ist vollgestopft mit Hardcorehardware, die uns weitgehend geschenkt wurde und natuerlich spiele ich da auch mit.
Auch wenn off topic, zur Redundanz von Netzteilen wuerde mich interessieren, ob schonmal jemanden ein Servernetzteil abgeraucht ist? Ich bestelle nur noch mit einem Netzteil, der aelteste Server den ich letztes Jahr abgeschaltet habe, lief 15 Jahre durch ohne irgendeinen Hardwaredefekt und Ausfaelle in der Schule, die den Unterricht beeintraechtigen sind so gut wie immer kaum verhinderbare, Baggerfahrer kappt Internetleitung, Baggerfahrer die Stromversorgung fuer das ganze Viertel, Belwuerouter brennt ab…
Hallo Harry,
lustig, dass Du fragst!
Vor zwei Wochen ist uns eines der (Gott sei Dank beiden!) Netzteile in unserem Coreswitch abgeraucht. Vermutlich Überspannung durch eine defekte USV. Hat nen ordentlichen Schlag getan!
Und an meiner letzten Schule hat eine Überspannung im Netz einen der beiden (auch redundanten!) Storagecontroller mit runtergerissen.
Passiert also nicht unbedingt häufig aber wenn, dann…
An meiner alten Schule sind wir für die zentralen Komponenten dann auf Online-USVs umgestiegen und an meiner jetzigen Schule werden wir das beim nächsten Ersatz oder Beschaffung von USVs auch machen. Sind zwar ca. 30% teurer aber et kann sich lohnen.
Ist halt wie bei ner Versicherung: passiert nix, hast Du jahrelang umsonst gezahlt, wenn was passiert, ist man froh, man hat sie. Abwägungssache.
Viele Grüße,
Jochen
Deshalb hab ich vor dem letzten Akkutausch die USV einfach aus dem Netz genommen, frisst keinen Strom mehr und erzeugt keine Ueberspannungen. 
Hallo
und vielen Dank für die zahlreichen Rückmeldungen.
Inwiefern nun Hochverfügbarkeit der Systeme gegeben sein muss, ist wohl von Schule zu Schule unterschiedlich. Zumindest gewerbliche Schulen haben und stellen da andere Anforderungen und haben da auch eigene Vorstellungen wie man so etwas realisieren kann und sollte.
Viele Grüße
Thomas
Hallo zusammen,
ich habe noch eine Frage zum Dateisystem, bzw. Rechteverwaltung. Wenn ich das richtig verstanden habe, arbeitet man in der neuen lmn7 mit Windows ACLs, solange ich mich auf dem DC bewege. Das heißt ich kann und darf die Berechtigungen auf den Freigaben nur über ein Windows Tool bzw. setfacls getfacls ändern und kann chmod nicht mehr nutzen.
Wie verhält sich das, wenn ich statt dessen für die Userhomes ein externes Storage mit NFS4 und Kerberos Authentisierung einsetze und dort mit Posix ACLs arbeite? Zum Beispiel, weil ich nur LinuxClients habe und gar kein Fenster Geraffel? Geht das?
Viele Grüße
Thomas
Irgendwie stört mich die Vorstellung auf einem Linux System mit Windows ACLs rumfriemeln zu müssen.