Вопросы по CentOS

parex12> Здравствуйте,
parex12> Не встречался ли уже кто-нибудь с таким - пользователь может удалить файлы, на которые у него нет прав W.

Встречались, разумеется. И горю вашему легко помочь:

1. # cd /home/test
2. # ll -a
3. итого 8
4. drwxr-xr-x 2 root root 4096 Ноя 24 19:13 .
5. drwxr-xr-x 8 root root 4096 Ноя 24 19:10 ..
6. # touch a && chmod 0600 a
7. # ll
8. итого 0
9. -rw------- 1 root root 0 Ноя 24 19:15 a

От другого пользователя:

1. $ id
2. uid=1000(b) gid=100(users) группы=100(users),10(wheel),18(audio),27(video)
3. $ cd /home/test/
4. $ rm a
5. rm: удалить защищенный от записи пустой обычный файл «a»? y
6. rm: невозможно удалить «a»: Отказано в доступе
7. $ ll
8. итого 0
9. -rw------- 1 root root 0 Ноя 24 19:15 a

1. # chmod 0757 ../test/
2. # ll -a
3. итого 8
4. drwxr-xrwx 2 root root 4096 Ноя 24 19:15 .
5. drwxr-xr-x 8 root root 4096 Ноя 24 19:10 ..
6. -rw------- 1 root root    0 Ноя 24 19:15 a

1. $ rm a
2. rm: удалить защищенный от записи пустой обычный файл «a»? y
3. $ ll
4. итого 0

Вот так. Директория — тоже файл. Удаление файла из директории по смыслу равноценно редактированию файла типа "директория", т.е. управляется в простейшем случае установкой флага w для соответствующего поля директории.

А ведь ещё есть SELinux

Спасибо. Т.е. если у директории поднят W на группу, то каждый с таким gid может снести любой файл из этой директории?
век живи - век учись,...

Balancer> В итоге взял и поставил на домашний сервер Ubuntu 14.04. Благо, с корнем в LVM это делается за 15 минут. Это была последняя моя машина с Gentoo. Больше Gentoo нет

Рома , как ты мог...такими темпами можно опопсеть до CentOS =))

с.т.> Рома , как ты мог...такими темпами можно опопсеть до CentOS =))

Мне приходится по работе иметь дело с CentOS. Это тихий ужас, что после Gentoo, что после Ubuntu Кривая структура конфигов, древние пакеты, никакое коммьюнити, загадочные ошибки и т.п...

В общем, я на работе пользуюсь тем, что есть, не занимаясь никакой агитации, но с прошлого года админ начал переводить понемногу инфраструктуру на Ubuntu Server То ли сам к этому пришёл, то ли, всё же, от меня что-то просачивается После CentOS — намного удобнее и надёжнее получается.

наверно это от тебя просачивается или какие-то задачи спецфичные...как по мне так по надёжности линукс он и есть линукс, и шапка тут хороша уже много лет...а вот если тебе как разработчику удобнее на убунте значит админ правильно подстраивается ))) юзер френдли админ

ps древние пакеты потому что не федора )) для сервера в глубине (не фронтенда) проверенные пакеты это НЕ бага

с.т.> наверно это от тебя просачивается или какие-то задачи спецфичные...

Задачи — Web.

с.т.> как по мне так по надёжности линукс он и есть линукс

Это пока речь только о ядре. Как только речь заходит о сборке/настройке конкретного софта, там много может тонкостей.

с.т.> ps древние пакеты потому что не федора )) для сервера в глубине (не фронтенда) проверенные пакеты это НЕ бага

А мне не нужны шашечки, мне важно, чтобы ехало Какая мне разница, почему в дистрибутиве древний кривой Docker или LXC, если мне нужно чтобы просто работало?

Сейчас сложно всё вспомнить, с чем сталкивался, но:

— В CentOS очень кривая структура PHP-подсистемы. Конфиги неразумно объединяющие cli и fpm и т.п.
— Пакеты часто не конфигурируют должным образом систему. Поставил какой-нибудь Docker, в нём сеть не работает. Требуется долгое пиление напильником сетевых интерфейсов, бриджей и т.п.
— Часто вылезают косяки с русскими локалями. Бывают до сих пор пакеты, прибитые гвоздями к latin1, а не к utf-8
— Про древние версии говорил уже. Вопрос не только в «проверенности», увы.
— ...

Balancer> Сейчас сложно всё вспомнить, с чем сталкивался, но:
Balancer> — В CentOS очень кривая структура PHP-подсистемы. Конфиги неразумно объединяющие cli и fpm и т.п.

ага, понимаю о чём ты )) да есть такие сложности, если нужно экзотическое что-то поверх стандарного сетапа в пакетах то засовывать другие версии и тп - увлекательно (зато и денег за это можно взять, опять же не каждый может так закастомизировать систему, и потом не каждый её сможет поддерживать =)) )

но например Оракл на него встаёт в лёгкую так как система совпадает с RHEL
если в организации основной парк под RHEL (и админы рядовые и девелоперы с RHEL дружат) - то есть и плюсы

пожалуй из последнего - редмайн с рубионрейлс засовывал...увлекательно было, на "продакшене" потом взяли готовый образ виртуалки насколько помню потому что настоящая магия

с.т.> ага, понимаю о чём ты )) да есть такие сложности, если нужно экзотическое что-то
с.т.> но например Оракл на него встаёт в лёгкую

Вот как раз LEMP сегодня — не экзотика, а штампованная массовость И тут у CentOS грустно. А Оракл, где нормально — это большая экзотика.

с.т.> пожалуй из последнего - редмайн с рубионрейлс засовывал...увлекательно было

Делаем в каталоге docker-compose.yml:

1. redmine:
2.   image: sameersbn/redmine:latest
3.   environment:
4.    - TZ=Europe/Moscow
5.     - DB_TYPE=mysql
6.     - DB_HOST=my.host.local
7.     - DB_NAME=redmine_production
8.     - DB_USER=redmine
9.     - DB_PASS=redmine_password
10.     - REDMINE_PORT=38000
11.   ports:
12.    - "38000:80"
13.   volumes:
14.    - ./data:/home/redmine/data

Потом: docker-compose up -d — и готово. На 38000-м порту висит система

На дворе же 2016-й год. Пользуйся современными технологиями, а не артефактами RH

Balancer> Пользуйся современными технологиями, а не артефактами RH

"Птичку нашу [CentOS] попрошу не обижать" ©

Мы активно его используем и вполне нравиццо. Особо хорошо то, что длительная поддержка версий у них — когда куча серверов по республике разбросана.

V.Stepan> Мы активно его используем и вполне нравиццо.

Да я уже докатился до советов по CentOS — Composer выводит ошибки - Web-development - Форум

с.т.> да есть такие сложности, если нужно экзотическое что-то поверх стандарного сетапа в пакетах…

Что экзотичного в поднятии адресов на лупбеке, вдобавок к 127.0.0.1/8? А вот, поди ж ты! Не запускается автоматически и всё тут. Руками, через ifup/down работает, а при загрузке нет. Так что, центось — это для тех, кому время девать некуда.

HolyBoy> Что экзотичного в поднятии адресов на лупбеке, вдобавок к 127.0.0.1/8? А вот, поди ж ты! Не запускается автоматически и всё тут. Руками, через ifup/down работает, а при загрузке нет. Так что, центось — это для тех, кому время девать некуда.

окай ))

у тебя в подсетке 127.0.0.0/8 лупбак адрес или в другой?

с.т.> у тебя в подсетке 127.0.0.0/8 лупбак адрес или в другой?


Пробовал создавать файлик ifcfg-lo и писать в нём:

1. DEVICE="lo"
2.  
3. ONBOOT=yes
4. BOOTPROTO=none
5. USERCTL=no
6.  
7. IPADDR=192.168.1.12
8. PREFIX=32

Но тогда он создавался без 127.0.0.1/8.

Пришлось два файла делать: ifcfg-lo:1 (с корректным DEVICE) с вышеуказанным и ifcfg-lo:0 с

1. DEVICE="lo:0"
2.  
3. ONBOOT=yes
4. BOOTPROTO=none
5. USERCTL=no
6.  
7. IPADDR=127.0.0.1
8. PREFIX=8

При загрузке взлетает с адресом 127.0.0.1/8, второй отсутствует, а с ним отсутствуют все связанные с ним маршруты, естессна. Если руками сделать ifup lo0:1 , то без ругани заводится адрес, а потом, приходится ещё и маршруты вешать. Тоже руками.

В гентушечке такой проблемы в принципе нет:

1. config_lo="\
2.         127.0.0.1/8 \
3.         192.168.1.12/32 \
4. "

(адреса условно, для примера)

И всё работает как часы. В центоси же, как мне кажется и как успеваю увидеть при загрузке, проблема где-то в районе инит-скриптов которые поднимают интерфейс и вешают маршруты.

PS CentOS release 5.8 (Final). Да, древняя, но, блин, повесить адрес на интерфейс? Она слишком хороша для этого?

а я так и думал что ты не лупбачный адрес на лупбак вешаешь
это не бага , это ФИЧА


127.0.0.0/8 - This block is assigned for use as the Internet host
loopback address. A datagram sent by a higher level protocol to an
address anywhere within this block should loop back inside the host.
This is ordinarily implemented using only 127.0.0.1/32 for loopback,
but no addresses within this block should ever appear on any network
anywhere [RFC1700, page 5].

ты точно на физику или виртуальный интерфейс не можешь повесить, тебе ИМЕННО НУЖНО на алиас к лупбаку прибить что-то из 192.168...?


ну и опять же совершенно логичное поведение системы ( когда ты создавал ifcfg-lo с адресом 192.168...)- ты ей ПРИКАЗАЛ инициировать лупбак адресом отличным от дефолтного и потом удивляешься что дефолтный адрес не поднялся

тут нужно (теоретически) делать алиас на второй адрес lo0:1 (или lo:0, смотря какая там система) , дело не хитрое (хотя я бы сто раз подумал зачем таки на лупбак не лупбачный адрес вешать - и интересно как оно будет работать )

[показать]

с.т.> а я так и думал что ты не лупбачный адрес на лупбак вешаешь…

Неужели я так непонятно пишу? Даже засомневался в себе и перечитал: вроде двусмысленностей нет. Хочу вдобавок к 127.0.0.1/8 на lo подвесить ещё один адрес, скажем, какой-нибудь 192.168…

А цитата из RFC вообще к делу не относится. Там про префикс 127/8 речь и про то, как он в интернетиках маршрутизируется.

с.т.> ты точно на физику или виртуальный интерфейс не можешь повесить, тебе ИМЕННО НУЖНО на алиас к лупбаку прибить что-то из 192.168...?

На виртуальный интерфейс я могу повесить что угодно:

ip a add ....

но что за радость это делать руками при каждой перезагрузке сервера? Я пробовал для "lo" указывать сразу два адреса, тогда вообще ничего не взлетало, значит, надо использовать алиасы. Алиасы с лупбеком работают странно, когда система загружается.

с.т.> ты ей ПРИКАЗАЛ инициировать лупбак адресом отличным от дефолтного и потом удивляешься что дефолтный адрес не поднялся

Я не этому удивляюсь.

с.т.> тут нужно (теоретически) делать алиас на второй адрес lo0:1 (или lo:0, смотря какая там система) ,

Ты не прочитал

"Пришлось два файла делать: ifcfg-lo:1 (с корректным DEVICE) с вышеуказанным и ifcfg-lo:0 с…" и далее? Имелось в виду, что в одном файле DEVICE=ifcfg-lo:1, в другом — показано как есть.

с.т.> дело не хитрое (хотя я бы сто раз подумал зачем таки на лупбак не лупбачный адрес вешать - и интересно как оно будет работать )

Зачем так? Основное применение: адрес, который всегда доступен при любых изменениях на физических интерфейсах.

Как оно будет работать? Да также всё будет работать, как и на обычном "железном" интерфейсе. И, надо заметить, работает, когда руками этот адрес поднимается.

Что тебя тут удивляет?


PS dummy, говоришь… нууу, посмотрю, спасибо.

с.т.>> а я так и думал что ты не лупбачный адрес на лупбак вешаешь…
HolyBoy> Неужели я так непонятно пишу? Даже засомневался в себе и перечитал: вроде двусмысленностей нет. Хочу вдобавок к 127.0.0.1/8 на lo подвесить ещё один адрес, скажем, какой-нибудь 192.168…

ну так для этого в линуксе есть алиасы, если вешать в ДОПОЛНЕНИЕ то не нужно c ОСНОВНЫМ файлом ifcfg-lo что-то делать


HolyBoy> А цитата из RFC вообще к делу не относится. Там про префикс 127/8 речь и про то, как он в интернетиках маршрутизируется.

речь про то что на лупбаке стандарт 127.0...
сетка 192.168 - вообще сильно удивляет, в системе могут быть блокировки (а могут и не быть)


с.т.>> ты точно на физику или виртуальный интерфейс не можешь повесить, тебе ИМЕННО НУЖНО на алиас к лупбаку прибить что-то из 192.168...?
HolyBoy> На виртуальный интерфейс я могу повесить что угодно:
HolyBoy> , в другом — показано как есть.
с.т.>> дело не хитрое (хотя я бы сто раз подумал зачем таки на лупбак не лупбачный адрес вешать - и интересно как оно будет работать )
HolyBoy> Зачем так? Основное применение: адрес, который всегда доступен при любых изменениях на физических интерфейсах.

для этого специально есть dummy

ты спросишь почему - потому что потом (лет через 5 ) придёт другой админ и будет долго разбираться как же это настроено так хитро, как ему этот адрес от сервака отвязать (допусти ты инстанс поднимаешь а потом он на другую машину переедет)

HolyBoy> Как оно будет работать? Да также всё будет работать, как и на обычном "железном" интерфейсе. И, надо заметить, работает, когда руками этот адрес поднимается.
HolyBoy> Что тебя тут удивляет?

так это опять же нормальное поведение..когда ты под рутом из CLI его начинаешь прибивать гвоздями - там многое поднимается что не должно , на то она и рутовая консоль

с.т.> если вешать в ДОПОЛНЕНИЕ то не нужно c ОСНОВНЫМ файлом ifcfg-lo что-то делать

А его и нету. Просто нету. Есть два файла: ifcfg-lo:0 ifcfg-lo:1. В одном вешается 127.0.0.1/8, в другом — то, что надо. Не помню сейчас, пробовал ли я из ifcfg-lo подвешивать 127.0.0.1/8 , а из ifcfg:1 , например, другой файл. Надо проверить потом будет.

с.т.> речь про то что на лупбаке стандарт 127.0...

Эээ…
Там речь про то, что префикс 127/8 нигде в интернете не маршрутизируется и если пакетик пойдёт куда-то на этот префикс, то он должен маршрутизироваться так, чтобы дальше хоста не уходил. Всё. О том, что на виртуальный интерфейс lo нельзя вешать ничего, кроме адресов из 127/8 ничего не написано. Вешают же адресок из 127/8 на этот интерфес только потому, что он всегда(!) онлайн, если не опустить специально и не зависит от внешнего мира, а главное, никак с ним не сообщается.

с.т.> сетка 192.168 - вообще сильно удивляет, в системе могут быть блокировки (а могут и не быть)

Среди скриптов в /etc/sysconfig/network-scripts никаких вхождений префикса 192.168/16 не нашлось да и не должно быть их там.


с.т.> ты спросишь почему - потому что потом (лет через 5 ) придёт другой админ и будет долго разбираться как же это настроено так хитро,

Чтобы разобраться, он сделает вот так: grep 192.168 /etc/sysconfig/network-scripts/* и потом почитает то, что в конфигах.

с.т.> так это опять же нормальное поведение..когда ты под рутом из CLI его начинаешь прибивать гвоздями - там многое поднимается что не должно , на то она и рутовая консоль

Какой-то странный разговор у нас. Я ничего гвоздями не прибиваю, делаю всё исключительно штатными средствами дистрибутива. Гвоздями костыли сколачивать — это делать всё через утилиты из iproute2 из самописных скриптов. Уверен, напиши я именно такой скрипт, всё будет работать, но я думаю про админа через 5 лет. Поэтому, хочу, чтобы всё штатно взлетело.

Ещё раз напомню, что в гентушечке это всё штатно заводится с полпинка и работает от перезагрузки к перезагрузке.

PS А в чём отличие рутовой консоли от процесса, запускаемого init с точки зрения прав и возможностей насиловать систему? [показать]

HolyBoy> PS А в чём отличие рутовой консоли от процесса, запускаемого init с точки зрения прав и возможностей насиловать систему? [показать]


а в том что там по разному скрипты отрабатываются (при запуске INITом и рутом из шелла), сейчас уже не помню деталей, они там как то энвайрнмент ловят, у меня похожая тема была несколько лет назад с IPv6 адресами которые хрензнамо откуда прилетали и мешали работать кластерной софтине - при запуске из INITа...вообще очень похожая история была вот как ты описываешь

с.т.> а в том что там по разному скрипты отрабатываются (при запуске INITом и рутом из шелла),

В центоси так? Тогда, это проблема криворуких мейнтейнеров из редхата и коммьюнити центоси. К центоси вопросов не имею.

с.т.> сейчас уже не помню деталей но у меня похожая тема была с IPv6 адресами которые хрензнамо откуда прилетали…

О, как.
Я тебя удивлю, наверное, но IPv6 адреса "хрензнамо откуда" никакого отношения к init-скриптам вообще не имели с вероятностью в 99%.

Кстати, по лупбекам уже разногласий нет? Ты согласен с тем, что интерфейс lo не только для префиксов 127/8 и ::1/128 в системе живёт?

HolyBoy> О, как.
HolyBoy> Я тебя удивлю, наверное, но IPv6 адреса "хрензнамо откуда" никакого отношения к init-скриптам вообще не имели с вероятностью в 99%.

а я уже не помню чем там история закончилась, помню что хертбит система была "немного удивлена" )) там много чего выплыло тогда

HolyBoy> Кстати, по лупбекам уже разногласий нет? Ты согласен с тем, что интерфейс lo не только для префиксов 127/8 и ::1/128 в системе живёт?

нет, я не согласен )) но не вижу смысла спорить )) победил систему - ЧЕСТЬ ТЕБЕ И ХВАЛА, я серьёзно )))

иногда проще пойти в rc.local и прописать тупо что надо , если это НАДО

с.т.> нет, я не согласен )) но не вижу смысла спорить )) победил систему - ЧЕСТЬ ТЕБЕ И ХВАЛА, я серьёзно )))

Это не победа на системой. Это просто ожидание того, что система должна работать так, как надо. Когда этого не происходит, встаёт вопрос: нафиг такая система?

Остальное в личке.