wazoox's questions

我有一个运行 KVM+libvirt 的 Debian 服务器。VM 磁盘是主机上的 LV。问题在于，如果我在来宾内部创建 LV，它们会在主机上递归检测到，这会产生各种问题，例如无法调整大小或正确删除 LV。

所以我添加了一个过滤规则/etc/lvm/lvm.conf，以排除扫描其他 LV 内的 LV：

filter = [ "r|/dev/dm-*|", "a|/dev/sd.*|" ]

现在我的问题是：如何让 LVM 只重新扫描“真正的”VG 和 LV？我现在有这样的错误：

# lvs
  WARNING: Device for PV 73C0Ma-sAYV-Aa10-pAHB-ZAZA-3QjH-Rk1eTS not found or rejected by a filter.
  WARNING: Device for PV fcEG5k-BLzO-dbAr-Yw8o-dPw2-1hAk-VyluvW not found or rejected by a filter.
  LV              VG              Attr       LSize    Pool Origin    Data%  Meta%  Move Log Cpy%Sync Convert
  HaProxy         data            -wi-ao----   20,00g                                                       
  backup          data            -wi-ao----    4,00t                                                       
  database        data            -wi-ao----   16,00g                                                       
  lvol0           data            swi-a-s---   16,07g      stone-web 70,43                                  
  stone-vtls      data            -wi-ao----    2,00t                                                       
  stone-web       data            owi-aos---   16,00g                                                       
  lv0             ftpstorage      -wi-----p-   10,00t                                                       

在这种情况下，最后一个 lv 实际上是来自 VM 的 LV，而不是来自主机...如何在不重新启动主机的情况下摆脱它？

要将同一 IP 上的多个子域重定向到不同的主机，我使用的是 haproxy（1.7.5，Debian stable），它工作正常。但是，我还想通过 IP 限制对某些主机的访问，并向被拒绝的主机显示一条干净的消息（正确的 403 错误页面），这就是我找不到解决方案的地方。

到目前为止，我最好的配置是使用“拒绝”后端的配置；但是我不知道如何配置这个以从浏览器端获取除了 SSL 错误之外的任何内容。

配置如下所示：

frontend http_redirect
    bind *:80
    redirect scheme https if !{ ssl_fc }

frontend tls_router
    bind *:443
    mode tcp
    option tcplog
    option tcpka

    acl demo_acl req_ssl_sni -i demo.myhost.org
    acl www_acl req_ssl_sni -i www.myhost.org
    acl demo_network_allowed src 10.1.1.0/24

    use_backend demo_tls if demo_acl
    use_backend wwww_tls if www_acl
    use_backend reject_access if demo_acl !demo_network_allowed

backend www_tls
    mode tcp
    option tcpka
    server www_srv 192.168.1.2:443

backend demo_tls
    mode tcp
    option tcpka
    server demo_srv 192.168.1.3:443

backend reject_access
    mode http
    # errorfile 403 /etc/haproxy/errors/403.http
    # server demo  192.168.1.2:443
    http-request set-path www.myhost.org/403.html
    http-request redirect scheme https if ! { ssl_fc }

从“reject_access”后端可以清楚地看出，我尝试了几件事，结果相同：

$ LANG=C wget  --no-check-certificate -S https://demo.myhost.org
--2019-07-01 18:48:31--  https://demo.host.org/
Résolution de demo.myhost.org? 10.12.24.1
Connexion à demo.myhost.org|10.12.24.1|:443? connecté.
OpenSSL: error:140770FC:SSL routines:SSL23_GET_SERVER_HELLO:unknown protocol
Incapable d'établir une connexion SSL.

欢迎对此配置提供任何帮助。

我有一个 Debian/Jessie Samba 4.2.14 作为 AD 成员运行。ADC 是一个 Windows2008R2 服务器。加入工作没有问题。

# net ads testjoin
Join is OK

wbinfo -u并且wbinfo -g工作完美，并按预期提供来自 AD 的用户和组列表。wbinfo -i <user>也可以：

# wbinfo -i TESTAD\\testuser
TESTAD\testuser:*:4294967295:4294967295:testuser:/home/TESTAD/testuser:/bin/false

编辑：这里出了点问题，因为wbinfo -i将所有用户和组映射到 id 4294967295，正如@TheSkunk 所说，2^32 -1。

编辑2： wbinfo --sid-to-uid TESTAD\\testuser失败。当然，我必须明确设置一些idmap参数（默认值显然根本不起作用）但是如何？

编辑 3：我已将这两行添加到 smb.conf：

idmap config * : backend = tdb
idmap config * : range = 10000-30000

现在 ẁbinfo -i TESTDOMAIN\testuser reports a valid id, and a different one for each and every user. However I still have the same problems (all users mapping to nobody,id andgetent` 不知道 AD 用户等）。

然而getent passwd TESTAD\\testuser失败了：

# getent passwd TESTAD\\testuser
# echo $? 
2

我可以使用任何 AD 帐户连接smbclient到服务器：

# smbclient //srv1/data -U TESTAD\\testuser
Enter TESTAD\testuser's password: 
Domain=[TESTAD] OS=[Windows 6.1] Server=[Samba 4.2.14-Debian]
smb: \> ls
  .                                   D        0  Fri Feb 17 16:23:04 2017
  ..                                  D        0  Wed Feb  1 16:47:02 2017
  test.txt                            N        5  Fri Feb 17 14:38:21 2017
  popo                                D        0  Fri Feb 17 16:23:04 2017

                117125466112 blocks of size 1024. 117052392484 blocks available
smb: \> 

但是，连接被映射到nobody/nogroup，并且创建的文件也归其所有nobody。Windows 机器无法使用任何 AD 帐户进行连接。但是，如果我创建一个本地帐户smbpasswd -a <user>，他们可以使用它进行连接。但是，它们的连接参数、文件等都是映射到的，nobody尽管该帐户也存在于本地。

这是当前的smb.conf（尽可能接近默认值）：

[global]
        workgroup = TESTAD
        realm = TESTAD.lan
        server role = member server
        security = ADS
        map to guest = Bad User
        obey pam restrictions = Yes
        pam password change = Yes
        passwd program = /usr/bin/passwd %u
        passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
        unix password sync = Yes
        syslog = 0
        log file = /var/log/samba/log.%m
        max log size = 1000
        dns proxy = No
        usershare allow guests = Yes
        panic action = /usr/share/samba/panic-action %d
        idmap config * : backend = tdb
        inherit permissions = Yes
        inherit acls = Yes


[DATA]
        path = /mnt/raid/
        read only = No
        guest ok = Yes

这是/etc/nsswitch.conf（我尝试从阴影中添加和删除'winbindd，根本没有改变）：

# cat /etc/nsswitch.conf 
# /etc/nsswitch.conf
#
# Example configuration of GNU Name Service Switch functionality.
# If you have the `glibc-doc-reference' and `info' packages installed, try:
# `info libc "Name Service Switch"' for information about this file.

passwd:         compat winbind
group:          compat winbind
shadow:         compat winbind
gshadow:        files

hosts:          files mdns4_minimal [NOTFOUND=return] dns wins
networks:       files

protocols:      db files
services:       db files
ethers:         db files
rpc:            db files

我不明白为什么身份验证似乎永远不会通过 winbind。我越来越绝望了，有什么想法吗？

我需要将运行 Debian 6 的现有存储服务器迁移到具有许多 TB 数据的 HA 设置。我不能简单地长时间关闭此服务器（毕竟需要 HA）。

我计划将此服务器迁移到 DRBD 集群。我不能为这个集群购买两台新服务器；出于成本原因，我需要重用现有服务器作为集群的成员。请记住，我一次不能关闭任何东西超过几分钟。

我准备好了一台新服务器，运行 Debian 8 作为“主服务器”。我需要使用这个“主”服务器设置一个“裂脑”集群；将现有旧服务器中的所有数据复制到集群；将现有服务切换到集群；用 Debian 8 重新配置旧服务器，然后将其作为“从属”添加到集群中，重新同步数据，最后进行冗余设置。

我已经在新机器上设置了集群，但是，如何进行呢？我什至无法启动 drbd 服务，因为另一个“节点”甚至还不存在......

我从以前运行良好的 drbd 配置开始......有两个可用节点。

任何帮助表示赞赏。

我设置了一对相同的服务器，带有 RAID 阵列（8 核、16GB RAM、12x2 TB RAID6）、3 个 10GigE 接口，以托管一些高可用性服务。

系统当前正在运行 Debian 7.9 Wheezy oldstable（因为 corosync/pacemaker 在 8.x stable 和测试中均不可用）。

• 本地磁盘性能约为 900 MB/s 写入，1600 MB/s 读取。
• 机器之间的网络吞吐量超过 700MB/s。
• 通过 iSCSI，每台机器可以以超过 700 MB/s 的速度写入对方的存储。

但是，无论我如何配置 DRBD，吞吐量都被限制在 100MB/s。它真的看起来像一些硬编码的限制。我可以通过调整设置可靠地降低性能，但它永远不会超过 1Gbit（一次达到 122MB/s 几秒钟）。我真的在这个上拉我的头发。

• 普通香草内核 3.18.24 amd64
• drbd 8.9.2~rc1-1~bpo70+1

配置分为两个文件global-common.conf：

global {
        usage-count no;
}

common {
        handlers {
        }

        startup {
        }

        disk {
                on-io-error             detach;
         #       no-disk-flushes ;
        }
        net {
                max-epoch-size          8192;
                max-buffers             8192;
                sndbuf-size             2097152;
        }
        syncer {
                rate                    4194304k;
                al-extents              6433;
        }
}

和cluster.res：

resource rd0 {
        protocol C;
        on cl1 {
                device /dev/drbd0;
                disk /dev/sda4;
                address 192.168.42.1:7788;
                meta-disk internal;
        }

        on cl2 {
                device /dev/drbd0;
                disk /dev/sda4;
                address 192.168.42.2:7788;
                meta-disk internal;
        }
}

从机上的输出cat /proc/drbd：

version: 8.4.5 (api:1/proto:86-101)
srcversion: EDE19BAA3D4D4A0BEFD8CDE 
 0: cs:SyncTarget ro:Secondary/Secondary ds:Inconsistent/UpToDate C r-----
    ns:0 nr:4462592 dw:4462592 dr:0 al:0 bm:0 lo:0 pe:0 ua:0 ap:0 ep:1 wo:f oos:16489499884
        [>....................] sync'ed:  0.1% (16103024/16107384)M
        finish: 49:20:03 speed: 92,828 (92,968) want: 102,400 K/sec

主机上的输出vmstat 2（两台机器几乎完全空闲）：

procs -----------memory---------- ---swap-- -----io---- -system-- ----cpu----
 r  b   swpd   free   buff  cache   si   so    bi    bo   in   cs us sy id wa
 0  0      0 14952768 108712 446108    0    0   213   254   16    9  0  0 100  0
 0  0      0 14952484 108712 446136    0    0     0     4 10063 1361  0  0 99  0
 0  0      0 14952608 108712 446136    0    0     0     4 10057 1356  0  0 99  0
 0  0      0 14952608 108720 446128    0    0     0    10 10063 1352  0  1 99  0
 0  0      0 14951616 108720 446136    0    0     0     6 10175 1417  0  1 99  0
 0  0      0 14951748 108720 446136    0    0     0     4 10172 1426  0  1 99  0

iperf两台服务器之间的输出：

------------------------------------------------------------
Client connecting to cl2, TCP port 5001
TCP window size:  325 KByte (default)
------------------------------------------------------------
[  3] local 192.168.42.1 port 47900 connected with 192.168.42.2 port 5001
[ ID] Interval       Transfer     Bandwidth
[  3]  0.0-10.0 sec  6.87 GBytes  5.90 Gbits/sec

显然，初始同步应该有点慢，但不是这么慢......此外，它并没有真正对任何限制同步速率的尝试做出反应，例如drbdadm disk-options --resync-rate=800M all.

这是我的问题：我需要将很多（最多 60 TB）大文件（通常每个 30 到 40 GB）归档到 tar 文件中。我想在归档之前对这些文件进行校验和（md5、sha1 等）；但是，不读取每个文件两次（一次用于校验和，两次用于 tar'ing）或多或少是实现非常高的归档性能的必要条件（LTO-4 需要持续 120 MB/s，并且备份窗口是有限的）。

所以我需要一些方法来读取文件，在一侧提供校验和工具，并在另一侧构建一个 tar 到磁带，沿着：

tar cf - files | tee tarfile.tar | md5sum -

除了我不想要整个存档的校验和（这个示例 shell 代码就是这样做的），而是存档中每个单独文件的校验和。

我研究过 GNU tar、Pax、Star 选项。我查看了Archive::Tar的来源。我认为没有明显的方法可以实现这一目标。看来我必须用 C 或类似语言手动构建一些东西才能实现我需要的东西。Perl/Python/etc 根本不会降低性能，并且各种 tar 程序都缺少必要的“插件架构”。在我开始编写代码之前，有谁知道任何现有的解决方案？

我对通过光纤通道连接到 Linux 机器的 SAN 存储阵列有一个严重的问题。这是配置：

• 带有普通 linux 2.6.27.25 的 Debian
• 光纤控制器 QLogic 4Gb 双端口（基于 ISP2432）

基本上问题是：如何得到这个#?@!! FC 控制器/驱动程序以正确识别存储阵列的配置更改（新的或删除的 LUN）？

1. 当我在我的阵列上创建一个新 LUN（通常是一些现有 LUN 的快照）并将其映射到我的 HBA 时，我无法正确识别它：rescan-scsi-bus -l -w -r实际上检测到某些东西（通用 /dev/sgXX 设备）但是没有块设备已创建 (/dev/sdXX)。

2. 发出 LIP 并手动重新扫描时同样的事情：

   回声 1 > /sys/class/fc_host/host6/issue_lip

   echo "- - -" > /sys/class/scsi_host/host6/scan

3. 如果我删除现有的 LUN，则发出 LIP 和重新扫描或重新扫描-scsi-bus 都不会产生任何影响。以前的设备仍然存在，当然不能工作（“file -s /dev/sdXX -> I/O error”）。

4. 重新加载 qla2xxx 驱动程序有效。但是，它在生产环境中完全行不通。

显然这是QLogic 的一个非常常见的问题。存在某种解决方案，仅当使用仅适用于 RedHat 和 Suse 企业发行版的 QLogic 发布的驱动程序时才有效：请参阅此说明。

附加信息 ：

这是 LIP 和重新扫描之前的 scsi 设备：

# sg_map -x
/dev/sg0  0 0 0 0  0  /dev/sda
/dev/sg1  0 0 1 0  5  /dev/scd0
/dev/sg2  1 0 0 0  0  /dev/sdb
/dev/sg3  6 0 0 0  0  /dev/sdc
/dev/sg4  6 0 0 1  0  /dev/sdd
/dev/sg5  6 0 0 2  3

LIP 和重新扫描后，我有一个新的 sg 设备，但没有匹配的驱动器。如果我重新加载驱动程序，会出现一个驱动器：

# sg_map -x
/dev/sg0  0 0 0 0  0  /dev/sda
/dev/sg1  0 0 1 0  5  /dev/scd0
/dev/sg2  1 0 0 0  0  /dev/sdb
/dev/sg3  6 0 0 0  0  /dev/sdc
/dev/sg4  6 0 0 1  0  /dev/sdd
/dev/sg5  6 0 0 2  3
/dev/sg6  6 0 0 3  3

~# sg_map -x
/dev/sg0  0 0 0 0  0  /dev/sda
/dev/sg1  0 0 1 0  5  /dev/scd0
/dev/sg2  1 0 0 0  0  /dev/sdb
/dev/sg3  8 0 0 0  0  /dev/sdc
/dev/sg4  8 0 0 1  0  /dev/sdd
/dev/sg5  8 0 0 2  0  /dev/sde
/dev/sg6  8 0 0 3  3

编辑：好的，显然这是一个难以破解的难题。我会问 LKML 并在这里报告。

我正在考虑使用 Bacula 进行一些备份的想法，但是为了节省磁带和限制手动操作，我想进行两阶段备份：

1. 将机器备份到磁盘（在 bacula 中很容易）
2. 完成后，将磁盘备份整合到磁带上。这就是棘手的点...

有谁知道如何将给定的备份从磁盘支持“迁移”到 Bacula 中的磁带？

显然 LTO-4 驱动器可以读写 LTO-3 磁带。这些磁带是否与 LTO-3 驱动器完全兼容？我对现实生活中的体验感兴趣，而不是理论上供应商吹捧的兼容性:)