0xC0000022L's questions

我正在使用 Proxmox VE 4.4，我很困惑如何弹出当前配置的 CD/DVD 驱动器。假设来宾 VM 的 ID 设置为环境变量vmid。

当前配置qm config $vmid|grep ^ide提供以下内容：

ide2: iso-storage:iso/SLE-12-SP2-Server-DVD-x86_64-GM-DVD1.iso,media=cdrom,size=3188M

并且我想“弹出”该驱动器，以便该驱动器中不再有媒体，但它仍然作为 CD/DVD 驱动器存在于来宾（即不移除驱动器！）。

如何从Proxmox VE 机器（即主机）的外壳中实现这一点？

注意： qm cdrom <vmid> eject此版本的 Proxmox VE 中不存在，但它似乎在过去存在。

我尝试了什么：

# qm set $vmid -ide2 media=cdrom
400 Parameter verification failed.
ide2: invalid format - format error
ide2.file: property is missing and it is not optional

qm set <vmid> [OPTIONS]

和

# qm set $vmid -ide2 media=cdrom,file=
400 Parameter verification failed.
ide2: invalid format - missing key in comma-separated list property

qm set <vmid> [OPTIONS]

和

# qm set $vmid -ide2 media=cdrom,file=/dev/null
update VM $vmid: -ide2 media=cdrom,file=/dev/null
volume /dev/null does not exists

所以我的问题是在 Proxmox VE 主机上（让我们假设 5.1 以防万一）当我运行apt-get update && apt-get dist-upgrade并决定继续安装包更新时，这会导致基于 KVM 的来宾（这是我们在时刻）被停止/暂停或以其他方式受到影响？

如果是这样，这是否取决于正在更新的特定包（我想这些pve-*包可能在这里感兴趣）？

从本质上讲，我想知道的是 KVM 来宾是否会继续运行而不受影响，或者我是否需要在特定时间安排此类主机更新。我意识到无论哪种情况，我都必须安排重新启动到新内核。

在 Windows Server 2012 R2 中，我找不到为通常管理磁盘的 CD/DVD 驱动器重新分配驱动器号的选项。所以我可以重新分配硬盘驱动器，但不能重新分配光驱？是什么赋予了？

由于compmgmt.msc运行服务器管理器，我想知道我应该使用哪种方法。

那么，如何在不经过 Windows Server 2012 R2 的循环的情况下为光驱重新分配驱动器号？

如何配置 OpenSSH (5.9) 以拒绝给定的一组公钥？

我知道我可以从每个.ssh/authorized_keys文件中删除密钥，但我想在服务器范围内这样做。想象一个私钥被泄露的场景，我想阻止任何用户将各自的公钥放入他们的authorized_keys（是的，他们仍然应该被允许编辑他们的）并且它工作。为实现这一点，我需要一些在系统级别工作的东西。

两个问题：

1. 如果有的话，我怎么知道mdadm新创建的数组不需要同步，因为上面没有数据？即基本上强制它进入一种状态，假设“数据”（即广阔的空白空间）是同步的并且只同步元数据？
2. 如果以上几点不可能，为什么？同步是否考虑了实际的坏扇区或者为什么我必须同步一个否则为空的数组？

定义

• host= 172.16.1.155 是一个公共 IP（更改它sed以保持一致）。
• guest= 192.168.122.10是IP为172.16.1.155的物理机上运行的虚拟机的IP。

情况

对于有问题的两个主机（加上理解上下文所需的所有规则），我有以下规则（转储iptables-save和过滤）：

*filter
-A INPUT -d 172.16.1.155/32 -p tcp -m multiport --dports 25,465 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -j DROP
-A FORWARD -p icmp -j ACCEPT
-A FORWARD -i _+ -o _+ -j ACCEPT
-A FORWARD -i _+ -o eth0 -j ACCEPT
-A FORWARD -d 192.168.122.10/32 -p tcp -m multiport --dports 25,465 -j ACCEPT
-A FORWARD -i virbr0 -o virbr0 -j ACCEPT
-A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -j LOG
-A FORWARD -j DROP
COMMIT
*nat
-A PREROUTING -d 172.16.1.155/32 -p tcp -m multiport --dports 25,465 -j DNAT --to-destination 192.168.122.10
COMMIT

规则确保从外部世界到公共 IP 的任何请求host实际上都将以guest. 所有这些都按预期正常工作。还有更多的规则，但它们只影响其他客人或有无关的目的。guest 的所有接口都以下划线开头，所以我可以方便地使用_+来匹配上述规则中的接口名称。

虚拟机都是 KVM 来宾。网桥接口的名称是virbr0. 每个具有外部 IP 地址的虚拟机都有一个以它命名的接口，但前面加了一个下划线（因此来宾foo将具有 interface _foo）。

此外，KVM 为每个来宾创建一个vnetX（数字）接口。X

以下路线设置有host问题guest：

172.16.1.155    *               255.255.255.255 UH    0      0        0 eth0
192.168.122.0   *               255.255.255.0   U     0      0        0 virbr0
default         172.16.1.155    0.0.0.0         UG    100    0        0 eth0

问题

如果我通过 SSH 连接到host( ssh -D) 创建 SOCKS 代理，我无法guest通过该代理连接。首先我认为原因是 SOCKS 代理可能会在旁边使用lo接口（tcpdump -i lo确认）host，所以我添加了以下规则iptables -I FORWARD -i lo -p tcp -m multiport --dports 25,465 -j ACCEPT（记住-A INPUT -i lo -j ACCEPT已经接受输入），但这应该已经包含在-A FORWARD -d 192.168.122.10/32 -p tcp -m multiport --dports 25,465 -j ACCEPT. 所以我再次删除了规则并尝试了以下 NAT 规则：iptables -t nat -I PREROUTING -d 127.0.0.1/24 -p tcp -m multiport --dports 25,465 -j DNAT --to-destination 192.168.122.10以及随后的等效规则（出于所有实际目的）iptables -t nat -I PREROUTING -i lo -p tcp -m multiport --dports 25,465 -j DNAT --to-destination 192.168.122.10。都没有给我想要的结果。

我怎样才能弥合这种情况下的差距？此外，我的假设是否有效，我可以通过使用来测试 SOCKS 代理是否有效telnet 127.0.0.1 25？

所以我iptables -t nat -D OUTPUT -d 127.0.0.1/24 -p tcp -m multiport --dports 25,465 -j DNAT --to-destination 192.168.122.10按照 mgorven 的建议添加了规则。这里的行为显然发生了变化，但这还不完全是我正在寻找的。

没有这条规则，我得到：

$ telnet localhost 25
Trying 127.0.0.1...
telnet: Unable to connect to remote host: Connection refused

有了这条规则，我得到：

$ telnet localhost 25
Trying 127.0.0.1...
telnet: Unable to connect to remote host: Connection timed out

我的托管商 - 可以理解 - 减少了新服务器提供的 IPv4 地址，以便下次我将我的东西重新定位到新服务器时，我将使用大量的 IPv6 地址，但只有一个 IPv4 地址。

对于我只运行一个实例的服务（例如 SMTP），这应该不是问题。我将简单地通过（使用iptables/6）对这些内容进行 NAT。然而，对于其他服务——我在这里特别担心 HTTP/S——我看到了如何将传入流量传递到正确的访客机器以及显然再次将出站数据传输到客户端的问题。

我这里的主要问题是安全性。我想我可以（ab）使用一种常用的代理或也可以用作代理的网络服务器（nginx、lighttpd）。然而，在这种情况下，访客系统将其视为“本地请求”，并且某些访问控制机制可能会失败。此外，由于加密流量，HTTPS 在这里是一个大问题，尽管我可以让主机系统完全实现 HTTPS 部分，并在未加密的情况下代理来往于来宾系统（一直在 lighttpd 实例用作的单台机器上使用该方法处理一组特定 URI 的 Apache2 后端的前端）。

即使个别域的处理是由个别客人执行的，我如何向外界提供相同的服务（此处为 HTTP/S）？或者更确切地说，如今什么被认为是最佳实践？

[internet] <--> [IPv4:host] <-+-> [guest:foo.org]
                              |
                              |-> [guest:bar.org]
                              |
                              |-> [guest:baz.org]

...或者我是否可以通过仅AAAA向这些域提供记录并让客户端处理所有内容来忽略所有这些问题？

在 Windows 2008 R2 Server 中，服务器管理器通常需要很长时间才能显示我们两台服务器上角色节点下的项目。然而，一旦在重启后第一次完成，它似乎快了很多。

我怎样才能模仿这种行为，而不必第一次手动启动它并单击任何相关节点，这样我第一次真正进入并使用服务器管理器时，使用起来会快得多？

如果这不容易回答或症状指向奇怪的行为（我对这些版本的了解从未不同），我想寻求调试问题的方法。