Administración de sistemas

Secuencia de arranque con systemctl

noreply@blogger.com (Jose Fco. Hidalgo) — Thu, 21 Jul 2016 09:21:00 +0000

systemctl ha llegado a Linux envuelto en polémica. En la evolución de este sistema operativo ya hemos vivido episodios similares. Yo creo que como suele ocurrir, ha venido para quedarse.
Ya que tenemos que lidiar con él vamos a sacarle algún partido extra que justifique el "trago".

Ubicación de la configuración
Lo que antes buscabas en tu /etc/rcX.d ya no está. Tampoco te funciona "/etc/init.d/servicioX start". Eso ha cambiado y hay una nueva ubicación y un sistema de dependencias en el arranque diferente. Si eres de los míos y quieres saber donde se esconde y qué forma tiene la configuración aquí tienes algunas indicaciones:


# ls -al /etc/systemd/system/
total 12
drwxr-xr-x. 10 root root 4096 jul 21 10:40 .
drwxr-xr-x.  4 root root 4096 abr 25 13:35 ..
drwxr-xr-x.  2 root root   30 jul 21 10:40 basic.target.wants
lrwxrwxrwx.  1 root root   46 abr 25 13:28 dbus-org.freedesktop.NetworkManager.service -> /usr/lib/systemd/system/NetworkManager.service
lrwxrwxrwx.  1 root root   57 abr 25 13:28 dbus-org.freedesktop.nm-dispatcher.service -> /usr/lib/systemd/system/NetworkManager-dispatcher.service
lrwxrwxrwx.  1 root root   37 abr 25 13:29 default.target -> /lib/systemd/system/multi-user.target
drwxr-xr-x.  2 root root   85 abr 25 13:28 default.target.wants
drwxr-xr-x.  2 root root   31 abr 25 13:28 getty.target.wants
drwxr-xr-x.  2 root root 4096 may 18 13:59 multi-user.target.wants
drwxr-xr-x.  2 root root   30 may 18 13:59 remote-fs.target.wants
drwxr-xr-x.  2 root root   75 may 18 13:59 sockets.target.wants
drwxr-xr-x.  2 root root   86 abr 25 13:35 sysinit.target.wants
drwxr-xr-x.  2 root root   43 abr 25 13:28 system-update.target.wants


# ls /etc/systemd/system/multi-user.target.wants
atop.service      crond.service       kdump.service           nfs-client.target  
postfix.service   rsyslog.service     sshd.service            vmtoolsd.service
auditd.service    irqbalance.service  NetworkManager.service  ntpd.service       
remote-fs.target  snmpd.service       tuned.service


# cat /etc/systemd/system/multi-user.target.wants/atop.service
[Unit]
Description=advanced interactive monitor
After=syslog.target

[Service]
Type=forking
PIDFile=/var/run/atop.pid
ExecStart=/usr/bin/atopd
ExecStop=/bin/rm -f /var/run/atop.pid

[Install]
WantedBy=multi-user.target

Secuencia de arranque
Seguro que todos tenemos más o menos una idea de cómo arranca nuestro equipo con Linux. Me refiero a la secuencia en las que las cosas ocurren. Podemos saber con precisión qué depende de qué con el comando

# systemd-analyze critical-chain
The time after the unit is active or started is printed after the "@" character.
The time the unit takes to start is printed after the "+" character.

multi-user.target @22.077s
└─tuned.service @17.251s +4.824s
  └─network.target @17.233s
    └─network.service @15.516s +1.715s
      └─NetworkManager.service @7.451s +1.904s
        └─basic.target @7.265s
          └─sockets.target @7.265s
            └─dbus.socket @7.264s
              └─sysinit.target @7.253s
                └─systemd-update-utmp.service @7.201s +50ms
                  └─auditd.service @6.744s +452ms
                    └─systemd-tmpfiles-setup.service @6.647s +94ms
                      └─rhel-import-state.service @6.536s +108ms
                        └─local-fs.target @6.505s
                          └─boot.mount @5.125s +1.375s
                            └─systemd-fsck@dev-disk-by\x2duuid-0a013536\x2d8d16\x2d4bde\x2db03a\x2da664620130fe.service @4.737s +386ms
                              └─dev-disk-by\x2duuid-0a013536\x2d8d16\x2d4bde\x2db03a\x2da664620130fe.device @4.736s

Diagrama de Gant y tiempos de puesta en marcha
Podemos obtener más detalle en el informe generando un diagrama de Gant con marcas de tiempo. Para ello podemos usar el comando

systemd-analyze plot > boot-gant.svg

Esto nos va a generar un svg que puedes abrir sin problemas con cualquier explorador de internet (por ejemplo). Verás algo asi como el gráfico siguiente. Si lo analizas verás que te indice el tiempo en el que tu sistema operativo está completamente arriba desde cero.

La leyenda (abajo) te indica el estado de cada proceso a lo largo del tiempo.

autofs

noreply@blogger.com (Jose Fco. Hidalgo) — Tue, 29 Mar 2016 18:01:00 +0000

El demonio autofs es un gran desconocido en los sistemas Unix. No es que no lo conozca nadie, lo que pasa es que no se suele poner en funcionamiento por miedo a que un recurso no esté montado cuando se necesita. Vamos a aclarar algunas cuestiones a ver si gana adeptos. Yo más que recomendarlo, lo practico.

Empecemos por el principio. "autofs" es un servicio Unix/Linux que permite que un recurso se monte justo cuando se necesita. Pasado un tiempo de ociosidad (configurable, luego lo vemos), el recurso se desmonta.

Esto presenta ventajas desde varios puntos de vista:

Durante el arranque, el host no tiene que montar todos los sistemas de ficheros que pueden ser necesarios. Se montarán justo cuando empiecen a necesitarse. Se evitan los posibles sobresaltos y esperas durante el arranque.
El servidor NFS, FTP o del tipo que sea tendrá menos clientes conectados.
Durante el tiempo en el que el hots está encendido lo hará siempre con la menor cantidad de recursos montados.

Configuración básica

El fichero /etc/auto.master es el origen de la configuración. Los ficheros incluidos en él se incorporan a la configuración del demonio. Un contenido mínimo típico (quitando los comentarios):

/misc   /etc/auto.misc

La lectura que debemos hacer es que en el punto de montaje "/misc" se montarán los recursos declarados en el fichero "/etc/auto.misc".

El fichero /etc/auto.misc podría contener las siguientes 2 lineas:

cd              -fstype=iso9660,ro,nosuid,nodev :/dev/cdrom
recupera        -fstype=nfs,nolock servidor_nfs:/data/recuperaciones

Todo ello debe interpretarse como que virtualmente existen /misc/cd y /misc/recupera. Si sacamos un listado del directorio "/misc" puede que aparezca vacío, pero si accedemos a cualquiera de los 2 directorios virtuales se montará el correspondiente recurso y se mostrará el contenido.

Es muy importante que sepamos que el directorio /misc no debe contener nada. De hecho si contiene algo, al arrancar el demonio "autofs" desaparecerá virtualmente ya que el demonio gestiona por completo ese punto de montaje base. Esto es un pequeño inconveniente que solemos solventar con enlaces, como comento abajo.

Uso

Una vez configurado adecuadamente, usar el recurso es tan sencillo como acceder al recurso como si estuviera montado. En ese justo instante se monta si no lo está ya.

Un simple "ls" del punto de montaje servirá

ls /misc/recupera

La dificultad estriba, si cabe decirlo así, en saber donde está el recurso. Una operativa habitual consiste en crear un enlace simbólico del punto de montaje automático en el lugar donde lo querríamos tener. Supongamos para el ejemplo, que queremos tener el directorio de recuperaciones en el $HOME del root. Como hemos dicho, no es posible que el montaje automático ocurra en un directorio que usamos para otra cosa, pero si podemos hacer el enlace:

ln -s /misc/recupera /root/RECUPERA

Monitorización

Una vez montado se puede ver con el comando "mount", df, etc.., es decir, con cualquier comando que se nos ocurra.
El log del sistema almacena todos los hitos de montaje y desmontaje de los recursos del autofs.

Configuración avanzada

Una linea típica de configuración en el /etc/auto.misc puede contener cualquier opción que acepta el correspondiente comando "mount" para ese recurso. Una lectura atenta de la sintaxis nos permite adivinar dónde va el tipo de recurso y dónde las opciones. Un ejemplo más completo para el recurso NFS puede ser:

/recupera -fstype=nfs,rw,nosuid,nodev,hard,nolock,rsize=32768,wsize=32768,noatime,nodiratime servidor_nfs:/data/recuperaciones

La otra cuestión caliente es el tiempo que debe estar un recurso montado para evitar rebotes o que esté montado demasiado tiempo. En el fichero "auto.master" se puede modificar el timeout por defecto (suele ser 300 segundos). Por ejemplo:

/misc   /etc/auto.misc --timeout=60

En el ejemplo hemos rebajado a 60 segundos la permanencia del montaje. Cuanto más prolongado o frecuente sea el uso mayor tiene que ser el timeout. Cuanto mas esporádico sea el uso del recurso menor debería ser el timeout. Eso requiere de tu propio ajuste fino.

Finalmente decir que es posible tener montado el mismo recurso en distintos puntos de montaje. Esto es extensible a autofs. Puedes tener un recurso montado manualmente y también tenerlo configurado por autofs o en varios puntos de montaje autofs. La imaginación al poder.

Hay muchísimas posibilidades y detalles que escapan a la intención de primera aproximación de este post, por eso te recomiendo que mires documentación oficial similar a esta.

Docker: acceso interactivo a consola

noreply@blogger.com (Jose Fco. Hidalgo) — Wed, 23 Mar 2016 10:46:00 +0000

Un contenedor docker puede haber sido arrancado sin mapeo de puertos y sin sesión interactiva. En esos casos podemos albergar dudas sobre qué está ocurriendo en él. Otras veces queremos descubrir qué directorio interno debemos mapear con un volumen para conservar los cambios. Todo eso es posible de averiguar abriendo una sesión interactiva de shell con nuestro contenedor sin alterar su estado.

Cogemos de nuevo el post anterior y los contenedores que se crearon:

$ sudo docker ps -a
CONTAINER ID        IMAGE               [...]   NAMES
87a11363c32f        wordpress:latest    [...]   WPwordpress         
1eda9845dc71        mysql:latest        [...]   WPmysql

Vamos a hacer una incursión con sesión interactiva para administrar algo de ambos.

Acceder por shell a un contenedor en ejecución

"docker attach" solo permite una conexión simultánea. Es incómodo y además attach detiene la ejecución del contenedor cuando salimos de la sesión interactiva. Usaremos la fórmula siguiente para abrir tantos shell como deseemos y no afectar al estado del contenedor.

$ sudo docker exec -i -t 87a11363c32f bash

Para salir simplemente "exit"

root@87a11363c32f:/var/www/html# exit

Gestionamos algo del contenedor Wordpress
Al entrar vemos donde están los contenidos estáticos y los PHP de Wordpress. Deberíamos hacer un mapeo a un volumen externo.

root@87a11363c32f:/var/www/html# ls
index.php    readme.html wp-admin wp-comments-post.php  wp-config.php  
wp-cron.php  wp-links-opml.php  wp-login.php  wp-settings.php  wp-trackback.php
license.txt  wp-activate.php  wp-blog-header.php  wp-config-sample.php  wp-content     
wp-includes  wp-load.php   wp-mail.php   wp-signup.php    xmlrpc.php

Conexión a una base de datos dentro del contenedor
Vamos a conectarnos a la base de datos con el cliente propio del contenedor:

root@goku:~# sudo docker exec -i -t 1eda9845dc71 bash
root@1eda9845dc71:/# mysql -u root -p
Enter password: 
ERROR 1045 (28000): Access denied for user 'root'@'localhost' (using password: YES)
root@1eda9845dc71:/# mysql -u root -p
Enter password: 
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 29
Server version: 5.7.11 MySQL Community Server (GPL)

Copyright (c) 2000, 2016, Oracle and/or its affiliates. All rights reserved.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

mysql> show schemas;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
| performance_schema |
| sys                |
| wordpress          |
+--------------------+
5 rows in set (0.00 sec)

Hemos podido acceder al contenido, previa entrada a la consola del contenedor.

Wordpress con docker y mysql

noreply@blogger.com (Jose Fco. Hidalgo) — Tue, 22 Mar 2016 10:26:00 +0000

Uniendo los conceptos de docker de entradas anteriores del blog voy a proponerte una forma sencilla de desplegar un wordpress con contenedores docker.

La receta es tan sencilla como los 2 comandos siguientes y el paso final:
1.- Creamos la base de datos.
Le hacemos un mapeo del puerto (-p) por si queremos entrar a administrar o curiosear algo. No será necesario.

$ sudo docker run --name WPmysql -p 13307:3306 \
         -v /home/volumenes/WPmysql:/var/lib/mysql \
         -e MYSQL_ROOT_PASSWORD=mi-secreto -d mysql

30160004622edb51ef290fca4cf232b61ca519a674994c26a98127e6c424abc7

2.- Creamos el contenedor wordpress

$ sudo docker run --name WPwordpress --link WPmysql:mysql \
      -v /home/volumenes/WPwordpress/html:/var/www/html \
      -p 10080:80 -d wordpress
626c5706de2c062ecaa3479bd4f6abbcf96703d7353151dd2111d4e063bf3bf6

Debemos tener algo así:

$ sudo docker ps -a
CONTAINER ID        IMAGE               COMMAND                CREATED             STATUS              PORTS                     NAMES
626c5706de2c        wordpress:latest    "/entrypoint.sh apac   5 seconds ago       Up 4 seconds        0.0.0.0:10080->80/tcp     WPwordpress         
30160004622e        mysql:latest        "/entrypoint.sh mysq   6 seconds ago       Up 5 seconds        0.0.0.0:13307->3306/tcp   WPmysql

3.- Navegamos para terminar de configurar
Recupero un viejo clásico de la informática de administración. Se trata del comando "lynx" que muestra por consola su "best-effort" de la página en cuestión. Es un browser en consola de texto.

$ lynx http://localhost:10080

Lógicamente no tienes porqué usar "lynx". Puedes usar cualquier navegador o acceder desde tu escritorio si tienes accesible el anfitrión del contenedor por su IP y al puerto 10080.

Comentario final
Tal vez te hayas dado cuenta de que hay algo de magia en la poca configuración de Wordpress y sin embargo parece que llega a la base de datos. El secreto está en el switch "--link". Lo ampliaremos en otro post. De momento disfruta de tu wordpress reluciente.

Deshabilitar IPv6

noreply@blogger.com (Jose Fco. Hidalgo) — Mon, 21 Mar 2016 10:52:00 +0000

Normalmente uno no es consciente de si utiliza ipv6 o solamente ipv4. Lo normal en entornos pequeños o heredados es que lo que usamos sea solamente ipv4. Si esto es así, podemos desactivar ipv6 de nuestros sistemas para aligerar la carga del sistema y para aclarar diagnósticos relacionados con la configuración de red.

El ejemplo que te muestro aquí es de un sistema Ubuntu 14.04.04 LTS

Comprobamos si tenemos IPv6 habilitado

# sysctl -a | grep "ipv6 ="
net.ipv6.conf.all.disable_ipv6 = 0
net.ipv6.conf.default.disable_ipv6 = 0
net.ipv6.conf.docker0.disable_ipv6 = 0
net.ipv6.conf.eth0.disable_ipv6 = 0
net.ipv6.conf.lo.disable_ipv6 = 0

Como podrás observar las entradas de configuración dicen que "disable_ipv6 = 0". De forma resumida lo podíamos haber preguntado con el siguiente comando:

# cat /proc/sys/net/ipv6/conf/all/disable_ipv6
0

El comando netstat suele mostrar las filas correspondientes a tcp6 y udp6 de forma separada. Puedes ver en el ejemplo que las conexiones se duplican para ipv6 e ipv4.

# netstat -l
Conexiones activas de Internet (solo servidores)
Proto  Recib Enviad Dirección local         Dirección remota       Estado      
tcp        0      0 *:sunrpc                *:*                     ESCUCHAR   
tcp        0      0 *:ssh                   *:*                     ESCUCHAR   
tcp        0      0 localhost:ipp           *:*                     ESCUCHAR   
tcp6       0      0 [::]:sunrpc             [::]:*                  ESCUCHAR   
tcp6       0      0 [::]:ssh                [::]:*                  ESCUCHAR   
tcp6       0      0 [::]:43446              [::]:*                  ESCUCHAR   
tcp6       0      0 ip6-localhost:ipp       [::]:*                  ESCUCHAR   
udp        0      0 *:1008                  *:*                                
udp        0      0 *:mdns                  *:*                                
udp        0      0 *:sunrpc                *:*                                
udp6       0      0 [::]:1008               [::]:*                             
udp6       0      0 [::]:mdns               [::]:*                             
udp6       0      0 [::]:sunrpc             [::]:*

¿ Y esto porqué es ?. Por que está fijado por defecto que se habilite, con cada nueva interfaz. Vamos a verlo.

# cat /proc/sys/net/ipv6/conf/default/disable_ipv6
0

Es decir, por defecto cualquier nueva interfaz también tendría ipv6 activado.

Deshabilitar ipv6 de forma temporal
Antes de deshabilitar ipv6 de nuestro sistema de forma permanente vamos a ver que pasa si lo quitamos sin afectar la configuración. Lo desconectamos un momento.
La forma más rápida es

# echo "1" > /proc/sys/net/ipv6/conf/all/disable_ipv6

Comprobamos que cada una de las interfaces ya lo tiene "disable".

# sysctl -a | grep "ipv6 ="
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.docker0.disable_ipv6 = 1
net.ipv6.conf.eth0.disable_ipv6 = 1
net.ipv6.conf.lo.disable_ipv6 = 1

Si trabajamos con normalidad, hacemos pruebas y todo va ok, te puedes plantear pasar al siguiente punto y dejarlo deshabilitado de forma permanente.

Deshabilitar ipv6 de forma permanente
Para hacerlo de forma permanente editaremos el fichero "/etc/sysctl.conf" con un editor de textos. Es posible que todo lo que contenga esté comentado, de forma que solo los valores por defecto se incorporan para que sean tenidos en cuenta en cada reinicio. Nosotros vamos a aportar uno de los bloques que hemos visto arriba.

Ten en cuenta que puedes ser selectivo, por ejemplo dejando ipv6 habilitado solo para la interfaz localhost

net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.docker0.disable_ipv6 = 1
net.ipv6.conf.eth0.disable_ipv6 = 1
net.ipv6.conf.lo.disable_ipv6 = 0

O quitar todo ipv6 de forma permanente.

net.ipv6.conf.default.disable_ipv6 = 1
net.ipv6.conf.all.disable_ipv6 = 1

Tras el reinicio del sistema, las preferencias de ipv6 se mantendrán como las hayamos indicado.
Otra forma de hacer permanente la configuración del fichero "/etc/sysctl.conf" es usar "sysctl -p".

Docker: crear una base de datos (2/2)

noreply@blogger.com (Jose Fco. Hidalgo) — Wed, 16 Mar 2016 13:09:00 +0000

Este post es la continuación de este otro. Ahora vamos a mejorar un poco el planteamiento a la vez que introducimos un concepto nuevo.

Como ya hemos dicho el contenedor no debe contener estado alguno que lo convierta en una elemento valioso e irremplazable con datos. Tenemos varios mecanismos para hacer esto, pero el que vamos a ver hoy en acción es el de los volúmenes de docker. Se trata de mapear un directorio del host anfitrión para que sea accesible dentro del contenedor. Lógicamente lo que dejemos ahí desde cualquier extremo (host o contenedor) es visible para el contrario.

Siguiendo con el tema de la base de datos, supongamos que tenemos la carpeta /home/usuario/db y que es donde vamos a ubicar los schemas de nuestra mysql.
Creamos el contenedor desde cero indicando este volumen. La novedad es el switch -v:

$ sudo docker run --name mimysql2 -p 13307:3306 \
         -v /home/usuario/db:/var/lib/mysql \
         -e MYSQL_ROOT_PASSWORD=mi-secreto -d mysql
ebe6d5b6c4854a86a781e48386c5d6107b05ec6e10b16654feb5282028254257

Nos conectamos a ella y alteramos el estado.

$ mysql --host=127.0.0.1 --port 13307 -u root -p
Enter password: 
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 2
Server version: 5.7.11 MySQL Community Server (GPL)
 
Copyright (c) 2000, 2015, Oracle and/or its affiliates. All rights reserved.
 
Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.
 
Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.
 
mysql> show schemas;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
| performance_schema |
| sys                |
+--------------------+
4 rows in set (0.00 sec)
 
mysql> create schema prueba;
Query OK, 1 row affected (0.00 sec)
 
mysql> use prueba
Database changed

mysql> create table tabla_datos(id int(4),  nota varchar(20));
Query OK, 0 rows affected (0.00 sec)
 
mysql> insert into tabla_datos values (1,'hola mundo');
Query OK, 1 row affected (0.01 sec)
 
mysql> select * from tabla_datos;
+------+------------+
| id   | nota       |
+------+------------+
|    1 | hola mundo |
+------+------------+
1 row in set (0.01 sec)

Eliminamos el contenedor “mimysql”

$ sudo docker ps -a
CONTAINER ID        IMAGE               COMMAND                CREATED              STATUS              PORTS                     NAMES
ebe6d5b6c485        mysql:latest        "/entrypoint.sh mysq   About a minute ago   Up About a minute   0.0.0.0:13307->3306/tcp   mimysql             
89a8e4f3e3d4        mysql:latest        "/entrypoint.sh mysq   About an hour ago    Up 51 minutes       0.0.0.0:13306->3306/tcp   some-mysql          
$ sudo docker rm -f ebe6d5b6c485
ebe6d5b6c485

Volvemos a crear un nuevo contenedor y le montamos el volumen donde está la base de datos.

$ sudo docker run --name mimysql -p 13307:3306 \
         -v /home/usuario/db:/var/lib/mysql \
         -e MYSQL_ROOT_PASSWORD=mi-secreto -d mysql
83f848a88181a04f4c55b782bfe8bea988fa6d7a5c5b7936ae3f112db246f01a

Nos conectamos a la base de datos y vemos si existe el schema que creamos con el otro contenedor.

$ mysql --host=127.0.0.1 --port 13307 -u root -p
Enter password: 
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 2
Server version: 5.7.11 MySQL Community Server (GPL)
 
Copyright (c) 2000, 2015, Oracle and/or its affiliates. All rights reserved.
 
Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.
 
Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.
 
mysql> show schemas;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
| performance_schema |
| prueba             |
| sys                |
+--------------------+
5 rows in set (0.00 sec)
 
mysql> use prueba;
Reading table information for completion of table and column names
You can turn off this feature to get a quicker startup with -A

Database changed
mysql> select * from tabla_datos;
+------+------------+
| id   | nota       |
+------+------------+
|    1 | hola mundo |
+------+------------+
1 row in set (0.00 sec)

Si te has quedado con ganas de mucho más, aquí tienes algunos enlaces interesantes:

Docker: obtener los atributos con inspect

noreply@blogger.com (Jose Fco. Hidalgo) — Tue, 15 Mar 2016 14:21:00 +0000

Se pueden conocer los detalles de un contenedor o imagen con el subcomando "inspect".

$ sudo docker run --name mimysql -p 13306:3306 \
            -e MYSQL_ROOT_PASSWORD=mi-secreto -d mysql

$ sudo docker inspect mimysql
[{
    "AppArmorProfile": "",
    "Args": [
        "mysqld"
    ],
    "Config": {
        "AttachStderr": false,
        "AttachStdin": false,
        "AttachStdout": false,
        "Cmd": [
            "mysqld"
        ],
        "CpuShares": 0,
        "Cpuset": "",
        "Domainname": "",
        "Entrypoint": [
            "/entrypoint.sh"
        ],
        "Env": [
            "MYSQL_ROOT_PASSWORD=mi-secreto",
            "PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin",
            "MYSQL_MAJOR=5.7",
            "MYSQL_VERSION=5.7.11-1debian8"
        ],
        "ExposedPorts": {
            "3306/tcp": {}
        },
        "Hostname": "a7ba98d86780",
        "Image": "mysql",
        "Labels": {},
        "MacAddress": "",
        "Memory": 0,
        "MemorySwap": 0,
        "NetworkDisabled": false,
        "OnBuild": null,
        "OpenStdin": false,
        "PortSpecs": null,
        "StdinOnce": false,
        "Tty": false,
        "User": "",
        "Volumes": {
            "/var/lib/mysql": {}
        },
        "WorkingDir": ""
    },
    "Created": "2016-03-15T14:02:35.975162208Z",
    "Driver": "aufs",
    "ExecDriver": "native-0.2",
    "ExecIDs": null,
    "HostConfig": {
        "Binds": null,
        "CapAdd": null,
        "CapDrop": null,
        "CgroupParent": "",
        "ContainerIDFile": "",
        "CpuShares": 0,
        "CpusetCpus": "",
        "Devices": [],
        "Dns": null,
        "DnsSearch": null,
        "ExtraHosts": null,
        "IpcMode": "",
        "Links": null,
        "LogConfig": {
            "Config": null,
            "Type": "json-file"
        },
        "LxcConf": [],
        "Memory": 0,
        "MemorySwap": 0,
        "NetworkMode": "bridge",
        "PidMode": "",
        "PortBindings": {
            "3306/tcp": [
                {
                    "HostIp": "",
                    "HostPort": "13306"
                }
            ]
        },
        "Privileged": false,
        "PublishAllPorts": false,
        "ReadonlyRootfs": false,
        "RestartPolicy": {
            "MaximumRetryCount": 0,
            "Name": "no"
        },
        "SecurityOpt": null,
        "Ulimits": null,
        "VolumesFrom": null
    },
    "HostnamePath": "/var/lib/docker/containers/a7ba98d867804d74a2a2f9b749bd796ed9e54127356aa9e78e9a7a17161c8ade/hostname",
    "HostsPath": "/var/lib/docker/containers/a7ba98d867804d74a2a2f9b749bd796ed9e54127356aa9e78e9a7a17161c8ade/hosts",
    "Id": "a7ba98d867804d74a2a2f9b749bd796ed9e54127356aa9e78e9a7a17161c8ade",
    "Image": "50806c71cd84eb5b3bc15060d3aa60c8963c7df6cc6ceff9a7cb5c27b62a01f4",
    "LogPath": "/var/lib/docker/containers/a7ba98d867804d74a2a2f9b749bd796ed9e54127356aa9e78e9a7a17161c8ade/a7ba98d867804d74a2a2f9b749bd796ed9e54127356aa9e78e9a7a17161c8ade-json.log",
    "MountLabel": "",
    "Name": "/mimysql",
    "NetworkSettings": {
        "Bridge": "docker0",
        "Gateway": "172.17.42.1",
        "GlobalIPv6Address": "",
        "GlobalIPv6PrefixLen": 0,
        "IPAddress": "172.17.0.16",
        "IPPrefixLen": 16,
        "IPv6Gateway": "",
        "LinkLocalIPv6Address": "fe80::42:acff:fe11:10",
        "LinkLocalIPv6PrefixLen": 64,
        "MacAddress": "02:42:ac:11:00:10",
        "PortMapping": null,
        "Ports": {
            "3306/tcp": [
                {
                    "HostIp": "0.0.0.0",
                    "HostPort": "13306"
                }
            ]
        }
    },
    "Path": "/entrypoint.sh",
    "ProcessLabel": "",
    "ResolvConfPath": "/var/lib/docker/containers/a7ba98d867804d74a2a2f9b749bd796ed9e54127356aa9e78e9a7a17161c8ade/resolv.conf",
    "RestartCount": 0,
    "State": {
        "Dead": false,
        "Error": "",
        "ExitCode": 0,
        "FinishedAt": "0001-01-01T00:00:00Z",
        "OOMKilled": false,
        "Paused": false,
        "Pid": 19910,
        "Restarting": false,
        "Running": true,
        "StartedAt": "2016-03-15T14:02:36.105333233Z"
    },
    "Volumes": {
        "/var/lib/mysql": "/var/lib/docker/vfs/dir/842864eff1fdcb81c55f455925e72cbec425569585a99e60619178ed13e00ed9"
    },
    "VolumesRW": {
        "/var/lib/mysql": true
    }
}
]

Como se puede ver se trata de un JSON, lo cual lo convierte en muy apropiado para su tratamiento automatizado con paneles y scripts.

También se puede emplear para preguntar por atributos de la imagen. En el ejemplo "mysql" es la imagen. Si le preguntamos por los detalles nos ofrece los valores de fabricación de la misma.

$ docker inspect mysql

Si lo ejecutas verás que hay valores que no tienen sentido para una imagen pero si para el contenedor, como son los parámetros de red, configuración de host, etc..

Si solo estás interesado en un atributo en particular podemos preguntar por él directamente usando --format. En el siguiente ejemplo vamos a preguntar por el gateway del contenedor mimysql.

$ sudo docker inspect --format='{{.NetworkSettings.Gateway}}' mimysql
172.17.42.1

Un nuevo ejemplo pero ahora con 2 consultas simultáneas.

$ sudo docker inspect --format='{{.NetworkSettings.IPAddress}}, {{.NetworkSettings.Gateway}}' mimysql
172.17.0.16, 172.17.42.1

Docker: crear una base de datos mysql (1/2)

noreply@blogger.com (Jose Fco. Hidalgo) — Mon, 14 Mar 2016 13:47:00 +0000

Vamos con un ejemplo concreto de uso de contenedores docker. En esta entrada vamos a crear una base de datos de usar y tirar sin necesidad de enturbiar nuestro sistema host.

Concretamente vamos a crear un contenedor docker que:

El contenedor se llamará "mimysql". Recuerda que el nombre es único. Si repites el experimento te toca eliminar cada vez el contenedor o usar otro nombre.
Si no tenemos ninguna imagen mysql ya descargada, la imagen es la del registry y la versión será la última disponible (no la hemos especificado).
El demonio mysqld escuchará internamente (en el contenedor) en el puerto 3306 interno pero se mapeará al puerto 13306 del localhost (externo).
La contraseña del root de mysql será "mi-secreto".

Creación del contenedor

$ sudo docker run --name mimysql -p 13306:3306 \
           -e MYSQL_ROOT_PASSWORD=mi-secreto -d mysql
89a8e4f3e3d4673a8fd1b34ace7ac9a60dd90265dea6b9f92fe5fcdcd355cc54

Comprobamos que se ha creado

$ sudo docker ps -a
CONTAINER ID        IMAGE               COMMAND                CREATED             STATUS              PORTS                     NAMES
89a8e4f3e3d4        mysql:latest        "/entrypoint.sh mysq   9 seconds ago       Up 8 seconds        0.0.0.0:13306->3306/tcp   mimysql

Conexión a la base de datos

$ mysql --host 127.0.0.1 --port=13306 -u root -p
Enter password: 
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 2
Server version: 5.7.11 MySQL Community Server (GPL)

Copyright (c) 2000, 2015, Oracle and/or its affiliates. All rights reserved.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

Y vemos que es funcional

mysql> show schemas;
+--------------------+                                                              
| Database           |                                         
+--------------------+                                         
| information_schema |                                         
| mysql              |                                           
| performance_schema |                                         
| sys                |
+--------------------+
4 rows in set (0.00 sec)

mysql> create schema prueba;
Query OK, 1 row affected (0.00 sec)

mysql> show schemas;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
| performance_schema |
| prueba             |
| sys                |
+--------------------+
5 rows in set (0.00 sec)

Como se puede ver hemos alterado el estado de la base de datos creando un schema y por tanto del contenedor. Después de pararla de forma abrupta (kill) y de arrancarla (start), el contenido de la base de datos se mantiene.

Aunque el ejemplo demuestra que es posible alterar el estado del contenedor, eso va contra la naturaleza de los mismos. Los contenedores tienen que ser reemplazables y por tanto no contener datos ni las modificaciones de los mismos. En un próximo post voy a mostrar como hacerlo, pero si lo que quieres es una base de datos de prueba o test donde importar un backup y que puedes borrar sin problemas tal vez este post te sirva tal cual.

Estados de un contenedor docker

noreply@blogger.com (Jose Fco. Hidalgo) — Fri, 11 Mar 2016 14:19:00 +0000

Estados de un contenedor docker

El ciclo de vida de un contenedor docker es algo que debemos conocer en detalle. Los contenedores están concebidos como un servicio en ejecución y como tal tiene un estado que en parte lo provocamos nosotros con el despliegue, cada vez que usamos un comando que lo altera o con herramientas de orquestación.

He visto esta imagen en la web de docker que creo que debes conocer en detalle para comprender el alcance de cada uno de los subcomandos.

Los posibles estados son:

created: el contenedor existe como personalización de la imagen base pero no ha entrado en ejecución. Ha sido dado de alta en la lista de docker y tiene un identificador asignado.
running: es un contenedor que podemos considerar que ha pasado por la etapa "created" y además está arrancado ejecutando la tarea encomendada. Es posible crearlo y ejecutarlo con el mismo comando docker.
stopped: la tarea ha concluido y el contenedor se detiene.
paused: la tarea se ha detenido aunque no ha concluido. Es un estado provocado en el contenedor desde fuera bien por el uso del comando pause o por la captura de una señal SIGSTOP. Está técnicamente congelado y se puede reanudar.
deleted: el contenedor ha sido eliminado. No existe ya como tal. Tampoco está en la lista de contenedores.

Primeros pasos con Docker

noreply@blogger.com (Jose Fco. Hidalgo) — Wed, 09 Mar 2016 14:37:00 +0000

Docker está de moda así que vamos a dar algunas nociones para que todo el mundo pueda subirse a esta tecnología tan fantástica. En pocos días no podrás dejar de pensar en ella cada vez que tengas que iniciar un proyecto o hacer una prueba. Transformará el arquitecto de sistemas que llevas dentro y enriquecerá todo lo que hagas a partir de ahora.

Empezamos.

Qué es un contenedor docker

No es una máquina virtual. Y punto. Aunque lo parezca. Es un proceso que corre directamente en tu máquina. Lo puedes ver con un "ps". Ese proceso crea un entorno que contiene todo lo necesario para dar la apariencia de que es otra máquina. Está basado en LXC que es un sistema de contenedores ligeros que emplean muchos proveedores de hosting. Cuanto antes te convenzas de que no es una máquina virtual antes empezarás a disfrutar de lo que sí es.

Otra cosa que debes saber es que las imágenes de los contenedores docker se construyen unas sobre otras. Abajo estaría la más básica y conforme vamos subiendo podemos ir perfeccionando un contenedor para que cumpla con el rol que queramos. Es como hacer plantillas.

Vamos a suponer que tienes un equipo con Linux. Ubuntu por ejemplo. Instalamos el paquete de docker. Ojo que ya existe un paquete con el nombre "docker" que es una bandena KDE. El que nos interesa se llama "docker.io" en ubuntu.

sudo apt-get install docker.io

Mi primer docker

Vamos a arrancar un primer contenedor con un ubuntu limpio. Sin pensarlo. A lo loco. Los ejemplos que pongo aquí los puedes ejecutar sin peligro en tu equipo.

$ sudo docker run --name osadmin-ubuntu ubuntu
Unable to find image 'ubuntu:latest' locally
latest: Pulling from ubuntu
454970bd163b: Pull complete 
38112156678d: Pull complete 
4e1f7c524148: Pull complete 
56063ad57855: Pull complete 
ubuntu:latest: The image you are pulling has been verified. Important: image verification is a tech preview feature and should not be relied on to provide security.
Digest: sha256:4e85ebe01d056b43955250bbac22bdb8734271122e3c78d21e55ee235fc6802d
Status: Downloaded newer image for ubuntu:latest

Analicemos qué ha pasado: hemos querido arrancar un contenedor al que llamaremos "osadmin-ubuntu" y que está basado en la imagen de contenedor docker "ubuntu". Puesto que no teníamos ninguna imagen llamada "ubuntu" se la ha descargado de un repositorio (llamado "registry"). Luego lo ha arrancado y está en algún lugar corriendo. Comprobamos.

Comprobamos que existe la instancia "osadmin-ubuntu".

$ sudo docker ps -a
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS                     PORTS               NAMES
c98e2697c8fa        ubuntu:latest       "/bin/bash"         7 minutes ago       Exited (0) 7 minutes ago                       osadmin-ubuntu

Vemos que está detenida. Esto es porque docker solo tiene sentido como proceso. Es decir, si no le encargas que haga nada, no hace nada. Se muere. Vamos a eliminarla y la volvemos a crear haciendo una espera de 120 segundos.

Primero la eliminamos

$ sudo docker rm osadmin-ubuntu

¿ Qué hemos eliminado ? La instancia llamada "osadmin-ubuntu".
¿ Hemos eliminado la imagen docker ubuntu ? La imagen está en un repositorio local y debe seguir allí. Lo vemos.

$ sudo docker images
REPOSITORY          TAG                 IMAGE ID            CREATED             VIRTUAL SIZE
ubuntu              latest              56063ad57855        5 days ago          188 MB

Observa que nuestro repositorio todavía tiene la copia de la imagen "ubuntu" creada hace 5 dias de la imagen del contenedor.

El siguiente comando creará de nuevo el contenedor pero hará un sleep de 120 segundos.


$ sudo docker run -d --name osadmin-ubuntu ubuntu /bin/bash -c "sleep 120"
da6eda60ad16cfb8e1d6843fa6030ba191cc051900947052c9f07e332fcaeaa0
$ sudo docker ps -a
CONTAINER ID        IMAGE               COMMAND                CREATED             STATUS              PORTS               NAMES
da6eda60ad16        ubuntu:latest       "/bin/bash -c 'sleep   6 seconds ago       Up 5 seconds                            osadmin-ubuntu

Pasados 120 segundos se morirá.

Eliminar imágenes

Si queremos purgar nuestro depósito local de imágenes, es sencillo. El ejemplo nos permite eliminar la plantilla "ubuntu". Se supone que no hay nadie usándola. Si es así no nos deja eliminarla a no ser que hagamos un "-f".

$ sudo docker rmi ubuntu
Untagged: ubuntu:latest
Deleted: 1997914a7c23c0f2f77ba6570032f8e74292224d24b9e13228244561ac304020
Deleted: 1b1999356dda739315854eb57a482e92405660e84fd71b6c59f777377b5bd2dc
Deleted: 13a8e55f2d20aee3c842842ebadcbda69347bb657a4cde1b851719b8f896c596
Deleted: 8aa2fc7185e20bacda32d815eaae32cbc1c0457dc160ed5b3995ab79a8c7fd98

No ha estado mal como aperitivo.

SSH: conexión desatendida entre hosts

noreply@blogger.com (Jose Fco. Hidalgo) — Tue, 01 Mar 2016 09:29:00 +0000

Quiero resumir aquí lo necesario para realizar la configuración que permite la conexión desatendida del usuario userA desde el hostA hasta la cuenta del userB del hostB.

La base del mecanismo es la criptografía asimétrica. En el ejemplo vamos a emplear cifrado RSA, pero podíamos haber escogido "cifrado DSA". El resultado es equivalente.

La criptografía asimétrica requiere de un par de claves: la pública y la privada. Un mensaje cifrado con una de ellas solo puede ser descifrado con la otra. En este sencillo mecanismo nos apoyamos para:

Demostrar que somos quienes somos: porque lo que nos dicen cifrado con la clave pública lo entendemos porque tenemos la privada.
Mantener la privacidad del canal puesto que nadie puede suplantar el extremo que posee la clave privada. Para evitar que suplanten al otro extremo, al inicio de la sesión se intercambia un secreto que permitirá cifrar las comunicaciones, ya con criptografía simétrica.

Generamos la pareja de claves
Ten en cuenta que la pareja de claves podría existir antes ya. Sigue leyendo el post y cuando lo entiendas todo, comprueba el contenido del directorio $HOME/.ssh por ver si te puedes saltar el paso de la generación.

(host A) user A # ssh-keygen -t rsa 
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
a7:34:ee:dd:cc:bb:aa:99:88:77:66:55:44:33:22:11 root@muchotest.com
The key's randomart image is:
+--[ RSA 2048]----+
|        ..=+ ..o.|
|         1 3+ +..|
|          == - = |
|         . .. e .|
|        S .  o o |
|       . +    *  |
|        .    o   |
|                 |
|                 |
+-----------------+

Si entras en el .ssh del HOME del usuario que quiere hacer las conexiones desatendidas encontrarás los 2 nuevos ficheros:

id_rsa.pub: puede ser enviado a cualquier host o persona que lo solicite. Es la parte pública de la pareja de claves asimétricas.
id_rsa: NUNCA debe salir del lugar seguro donde se supone que se ha generado. NUNCA. Es la parte privada de la clave asimétrica. Cualquiera que tenga este fichero puede suplantar la identidad del host o el usuario al que pertenece.

Habilitamos la clave en el hostB

Lo normal es que los dos hosts sean de nuestra propiedad o ámbito de gestión. Copiamos el id_rsa.pub con un scp o copy-paste por el terminal.

Para seguir con el ejemplo, vamos a suponer que ya se ha copiado el fichero id_rsa.pub en el $HOME del receptor.

(hostB) userB # cat $HOME/id_rsa.pub >> $HOME/.ssh/authorized_keys
(hostB) userB # chmod 400 $HOME/.ssh/authorized_keys

El tema de los permisos es importantísimo, por eso los aseguramos en la segunda línea. Si el fichero $HOME/.ssh/authorized_keys no existe se creará con unos permisos por defecto que pueden no ser "400". Debemos asegurarnos de que los permisos del fichero son esos porque si no va a parecer que no lo hemos hecho bien ya que no funcionará y tampoco habrá un mensaje de error claro de ello.

Probamos

La prueba es hacer un ssh desde el userA del hostA hasta el userB del hostB. Es posible que nos pida confirmación para guardar el certificado del host e incluso de userB. Solo debe ocurrir la primera vez. Lo que nunca debe ocurrir es que nos pida la contraseña.

Lo que hemos hecho solo sirve en el sentido de A hacia B. Si queremos los 2 sentidos hay que intercambiar la clave pública de B.

Acceso a Ubuntu para recuperación

noreply@blogger.com (Jose Fco. Hidalgo) — Thu, 25 Feb 2016 11:16:00 +0000

Es frecuente que un administrador de sistemas tenga que recuperar una contraseña o deshabilitar un módulo del arranque porque el host se queda colgado sin presentar el prompt para login. Típicamente uno piensa en dispositivo booteable con un Linux Live para poder trastear todo lo que quiera. La idea no es mala pero toma nota de este truco porque tal vez no necesites arrancar con un Linux Live.

1.- Cuando salga el primer mensaje de grub pulsa ESC para detener la cuenta atrás.
2.- Escoge la versión que te interesa (la más reciente estará arriba por defecto) y pulsa la tecla 'e'.
3.- En la siguiente pantalla muévete con los cursores hasta el final de la linea y añade init=/bin/bash. Cambia también de "ro" a "rw" (montajes con todos los permisos de escritura)
4.- Provocamos el arranque. Según la versión será con la tecla "b" o F10.

Si además necesitas, cambiar el password porque lo has perdido usa el comando "passwd".
Cuando hayas terminado reinicia normalmente (comando reboot por ejemplo) para ver el resultado.

RECUERDA: estas operaciones son delicadas. Si tienes dudas lee, lee y lee. No te quedes con lo que yo te he dicho, sigue leyendo y forma tu propia estrategia de forma segura. Aquí tienes esta información y otras que pueden ser útiles Algunos efectos pueden ser no reversibles.

Quitar password a un PDF

noreply@blogger.com (Jose Fco. Hidalgo) — Wed, 17 Mar 2010 11:28:00 +0000

A veces tenemos un PDF protegido con una contraseña pero:
* Sabemos que tarde o temprano la olvidaremos
* Nuestro dispositivo móvil no es capaz de abrirla
* Nos molesta teclearla

Propongo que utilicemos ghostscript para crear un nuevo PDF sin contraseña. Ejemplo con el fichero "fichero.pdf" protegido por la contraseña "clave"


gs -sPDFPassword=clave -sDEVICE=pdfwrite -dNOPAUSE -sOutputFile=fichero-sinclave.pdf fichero.pdf

Todo esto, claro está, si no quebrantamos ninguna ley.

Comandos EMC Celerra NS80G

noreply@blogger.com (Jose Fco. Hidalgo) — Wed, 17 Mar 2010 11:03:00 +0000

Lo normal cuando tienes un Celerra y no terminas de aprenderte los comandos es que sufres la interfaz web y además no puedes hacer scripts. Eso tiene una fácil solución. El fichero /nas/log/nas_log.al contiene todos los comandos que lancemos desde el shell, el equivalente a la operación desde la interfaz web y los comandos internos.


2010-03-17 11:48:03.349 db:201:16987:E: fs_ckpt ckpt_fs_2 -refresh
2010-03-17 11:48:09.532 db:201:17550:S: fs_copy -start ckpt_fs_2 fs_2 -option convert=no,monitor=on
2010-03-17 11:48:13.436 db:201:17550:E: fs_copy -start ckpt_fs_2 fs_2 -option convert=no,monitor=on
2010-03-17 11:48:30.490 db:0:18223:S: /nas/sbin/rootfs_copy -abort 611_CK200000000000000 -timestamp
2010-03-17 11:48:31.197 db:0:18223:E: /nas/sbin/rootfs_copy -abort 611_CK2000000000000000 -timestamp

Tras la marca de tiempo y el identificador de proceso encuentras "S" o "E" que es Start y End respectivamente. Nos permitirá calcular la duración de los comandos.

Observa que también sirve para analizar a posteriori qué ha podido ocurrir si algo va mal o ver qué ejecutan desde el servicio técnico cuando pones una incidencia.

Link Aggregation/Bonding AIX

noreply@blogger.com (Jose Fco. Hidalgo) — Tue, 23 Feb 2010 12:03:00 +0000

Problema: queremos hacer una agregación de 2 interfaces de un Blade con VIOS. El chasis es un BladeCenter H y el blade un JS22.
Tenemos una versión de VIOS 2.1.0

Hemos hecho una identificación previa de ent0 y ent3 viendo el tráfico que les llega con tcpdump.

1.- Creamos la agrecación de enlace
$ mkvdev  -lnagg ent0,ent3
ent8 Available

2.- Importante la MAC alternativa
$ chdev -dev ent8 -attr use_alt_addr=yes
ent8 changed
$ chdev -dev ent8 -attr alt_addr=0x000000123456
ent8 changed
$ chdev -dev ent8 -attr mode=8023ad
ent8 changed


Vemos un poco más de detalle (ahora como root):
$ oem_setup_env

# lsdev -Cc adapter | grep ent
ent0    Available       Logical Host Ethernet Port (lp-hea)
ent1    Available       Logical Host Ethernet Port (lp-hea)
ent2    Available 06-20 Gigabit Ethernet-SX PCI-X Adapter (14106703)
ent3    Available 06-21 Gigabit Ethernet-SX PCI-X Adapter (14106703)
ent4    Available       Virtual I/O Ethernet Adapter (l-lan)
ent5    Available       Virtual I/O Ethernet Adapter (l-lan)
ent6    Available       Virtual I/O Ethernet Adapter (l-lan)
ent7    Available       Virtual I/O Ethernet Adapter (l-lan)
ent8    Available       EtherChannel / IEEE 802.3ad Link Aggregation

# lsattr -El ent8
adapter_names   ent0,ent3      EtherChannel Adapters                       True
alt_addr        0x000000123456 Alternate EtherChannel Address              True
auto_recovery   yes            Enable automatic recovery after failover    True
backup_adapter  NONE           Adapter used when whole channel fails       True
hash_mode       default        Determines how outgoing adapter is chosen   True
mode            8023ad         EtherChannel mode of operation              True
netaddr         0              Address to ping                             True
noloss_failover yes            Enable lossless failover after ping failure True
num_retries     3              Times to retry ping before failing          True
retry_time      1              Wait time (in seconds) between pings        True
use_alt_addr    yes            Enable Alternate EtherChannel Address       True
use_jumbo_frame no             Enable Gigabit Ethernet Jumbo Frames        True

Y ahora configuramos (no persistente) la interfaz para ver si funciona:

# ifconfig en8 192.168.1.11 netmask 255.255.255.0

Para comprobarlo podemos ir a los switches del BladeCenter y deshabilitar alternativamente los puertos internos INTX correspondientes de nuestro blade para ver cuando se pierde el "ping".

Problema con el VG altinst_rootvg

noreply@blogger.com (Jose Fco. Hidalgo) — Tue, 16 Feb 2010 19:09:00 +0000

Al intentar crear un disco alternativo, nos damos cuenta de que en otra ocasión al hacerlo eliminamos el disco sin exportar el VG altinst_rootvg. Los síntomas son estos.

1.- Nos dice que el "mkvg" no puede crear el mismo device
# alt_disk_install -O -C -B hdisk3
+-----------------------------------------------------------------------------+
ATTENTION: calling new module /usr/sbin/alt_disk_copy. Please see the alt_disk_copy man page and documentation for more details.
Executing command: {/usr/sbin/alt_disk_copy -O -B -d "hdisk3"}
+-----------------------------------------------------------------------------+
Calling mkszfile to create new /image.data file.
Checking disk sizes.
Creating cloned rootvg volume group and associated logical volumes.
0505-102 alt_disk_install: mkvg has returned an error.
0516-360 /usr/sbin/mkvg: The device name is already used; choose a
different name.

2.- Nos lo encontramos definido
# lsvg
rootvg
altinst_rootvg

3.- No podemos exportarlo porque falta el disco
# exportvg altinst_rootvg
0516-894 exportvg: Warning, cannot remove volume group altinst_rootvg from device configuration database.

SOLUCION:
La opción "-X" nos limpia los subproductos pendientes de este tipo:

# alt_disk_install -X
+-----------------------------------------------------------------------------+
ATTENTION: calling new module /usr/sbin/alt_rootvg_op. Please see the alt_rootvg_op man page and documentation for more details.
Executing command: {/usr/sbin/alt_rootvg_op -X }
+-----------------------------------------------------------------------------+
Bootlist is set to the boot disk: hdisk0 blv=hd5

LISTO!!!
# lsvg
rootvg

Convertir cualquier documento a PDF desde un Windows

noreply@blogger.com (Jose Fco. Hidalgo) — Thu, 14 Jan 2010 18:12:00 +0000

Lógicamente existen impresoras PDF y piezas de software que hacen esto de un solo paso. Aquí se da una solución de emergencia y gratuíta.

Necesitamos una impresora postcript (nos la regala Microsoft) y un conversor postcript a PDF. La secuencia será imprimir a postscript en un fichero y posteriormente convertirlo a PDF con ghostscript.

1.- Descargamos e instalamos GPL ghostscript 8.64 o similar de http://pages.cs.wisc.edu/~ghost/doc/GPL/gpl864.htm

2.- Desde el panel de control, en Impresoras nos agregamos una impresora local (inexistente) postscript (PS) a color. Por ejemplo, "Apple Laserwriter 12/640 PS". Es importante que cuando nos pregunte el tipo de puerto seleccionemos "FILE:" del desplegable.

3.- Abrimos el documento que nos interesa y procedemos a imprimirlo seleccionando esa impresora. Nos pedirá el nombre de un fichero y le ponemos por ejemplo "c:\factura".

4.- Nos desplazamos a directorio donde está instalado el ghostscript. En mi caso C:\Archivos de programa\gs\gs8.63\bin.

5.- Ejecutamos el sencillo comando:

gswin32c.exe c:\factura.prn -sOutputFile=c:\factura.pdf -sDEVICE=pdfwrite -dBATCH -dNOPAUSE

6.- En c:\factura.pdf está nuestro oscuro objeto del deseo.

Voy a decir una tontería, pero para el siguiente documento que nos urja pasar a PDF solo repetiremos desde el paso 3.

AIX: openssh

noreply@blogger.com (Jose Fco. Hidalgo) — Tue, 17 Mar 2009 10:28:00 +0000

Cuando arrancamos el demonio sshd, al menos la versión 3.4.2 nos podemos encontrar con que rechaza la conexión y aparecen cosas en los logs como:

Mar 17 00:21:58 machine auth|security:debug /usr/sbin/sshd PAM: pam_acct_mgmt: error La cuenta del usuario ha caducado
Mar 17 00:21:58 machine auth|security:info sshd[221312]: PAM rejected by account configuration[17]: La cuenta del usuario ha caducado

Ó
Mar 17 00:26:57 server auth|security:info syslog: ssh: failed login attempt for user from host
Mar 17 00:26:57 server auth|security:info sshd[507984]: Failed password for user from IP port 40984 ssh2

Nos puede confundir el hecho de que tuviéramos otro demonio SSH funcionando anteriormente (compilado por nosotros mismos).

En resumen, lo que está pasando es que no tenemos bien configurado el /etc/pam.conf en el que hay que incluir:

sshd auth required /usr/lib/security/pam_aix
sshd account required /usr/lib/security/pam_aix
sshd password required /usr/lib/security/pam_aix
sshd session required /usr/lib/security/pam_aix

Para permitir que el servicio sshd tenga la opción de autenticar. Si teníamos otro servidor SSH funcionando antes, probablemente no estaba compilado con PAM.

AIX: Cannot set process environment

noreply@blogger.com (Jose Fco. Hidalgo) — Fri, 13 Feb 2009 11:54:00 +0000

El problema es

$ su -
Passwd:
3004-505 Cannot set process environment

Solución
La solución pasa por detectar qué hay de anómalo en el perfil en este caso de root. Contamos según el resultado con que sí sabemos la contraseña del root (en otro caso habríamos obtenido un error de autenticación) y podemos hacer "su - -c "

$ sudo - -c 'usrck -n root'
3001-602 The user name root is not unique.
3001-603 The UID 0 is duplicated for user root.

Antes de asustarnos más comprobamos quiénes son esos dos usuarios con UID "0".
$ grep :0:0: /etc/passwd
root:!:0:0::/:/usr/usr/bin/ksh
root:!:0:0::/:/usr/bin/ksh

Se trata de eliminar una de las entradas. Como podemos hacer uso del "su" en las condiciones arriba descritas, hacemos una copia del /etc/passwd la retocamos y la devolvemos a su sitio de nuevo ya retocada.

En este caso, el problema que tenía el usuario era ese, pero el comando usrck podía habernos advertido de otra cosa diferente. Con "su -" nos apañamos para arreglarlo.

Origen del problema
Realmente son 2. El primero es un despiste humano o un fallo del smit al modificar el shell (debe hacer mucho tiempo porque no lo recuerdo). Pero el decisivo es que al migrar de AIX 5.2 a AIX6.1 al shell del root les ha puesto /usr/ delante, lo que ha convertido el shell de la primera de las 2 entradas en inexistente.

AIX: savebase failed

noreply@blogger.com (Jose Fco. Hidalgo) — Fri, 06 Feb 2009 13:28:00 +0000

En alguna ocasión he comentado el error "savebase" haciendo operaciones del tipo que sea como administrador. Esto hay que interpretarlo como que no puede guardar los cambios y ante un eventual reinicio puede que ni arranque el servidor.

Ej:
# extendvg rootvg hdisk1
0516-1734 extend vg: Warning, savebase failed. Please manually run 'savebase' before rebooting.

Lo más preocupante es que ejecutamos "savebase" sin obtener ningún error pero el mensaje anterior vuelve a aparecer en la próxima ocasión que hacemos algo delicado.

Se confirman las sospechas cuando el verbose dice lo siguiente:
# savebase -v
non-bootable LV name given

SOLUCION
Lo primero es asegurarnos de que /dev/ipldevice apunta al dispositivo correcto. Para nuestro ejemplo, el rootvg está en el disco hdisk0 y nos vamos a asegurar de que sea así:

# rm /dev/ipldevice
# ln /dev/hdisk0 /dev/ipldevice
# bosboot -ad /dev/ipldevice

bosboot: Boot image is 36250 512 byte blocks.
# savebase -v
saving to '/dev/hd5'
145 CuDv objects to be saved
706 CuAt objects to be saved
47 CuDep objects to be saved
75 CuVPD objects to be saved
474 CuDvDr objects to be saved
2 CuPath objects to be saved
0 CuPathAt objects to be saved
0 CuData objects to be saved
Number of bytes of data to save = 98151
Compressing data
Compressed data size is = 25679
bi_start = 0x3600
bi_size = 0x11cfc00
bd_size = 0x11afc00
ram FS start = 0x513130
ram FS size = 0xc9cad0
sba_start = 0x11b3200
sba_size = 0x20000
sbd_size = 0x6453
Checking boot image size:
new save base byte cnt = 0x6453
Wrote 25683 bytes
Successful completion

Finalmente configuramos el disco en el bootlist si no lo estaba:
# bootlist -m normal hdisk0
# bootlist -m normal -o
hdisk0

AIX: target hdisk does not exist

noreply@blogger.com (Jose Fco. Hidalgo) — Wed, 04 Feb 2009 13:38:00 +0000

Estamos en la situación de que el disco existe y lo vemos sin problemas el "lsdev" y "lspv", pero sin embargo algunos comandos dicen que no existe:

# alt_disk_install -C -B hdiskpower1
0505-125 alt_disk_install: target disk hdiskpower1 does not exist.

En mi caso era debido a que el disco estaba asignado también a otro host en la cabina de discos. Dicho host no lo estaba usando pero casualmente era un VIOS y lo tenía bloqueado porque existía un mapeo sobre el disco. La conclusión es que solamente el mapeo (el host virtual estaba parado esperando el disco) bloquea el disco.

La solución fué quitar el mapeo en el VIOS para que me permitiera trabajar en el otro host.

c# y excel

noreply@blogger.com (Jose Fco. Hidalgo) — Wed, 28 Jan 2009 17:48:00 +0000

Me vais a disculpar la salida de tono en el blog, pero recientemente he tenido que ayudar a una persona a resolver la manera de procesar información de un fichero Excel desde una aplicación C#. Lo pongo aquí porque seguro que a alguién le sirve.
Con poco esfuerzo lo hacemos en Visual Basic también pero aquí os lo dejo tal cual en C#.

El ejemplo abre un hoja de cálculo Excel llamado "ficheroinput.xls" como una base de datos y exporta las filas deseadas a un fichero html llamado "output.html".


string strcon;

//Con la siguiente funciona, pero la otra más simplificada tambien sirve
strcon = "Dsn=Excel Files;Provider=Microsoft.Jet.OLEDB.4.0;DBQ=ficheroinput.xls;Extended Properties=\"Excel 12.0;Readonly=False;IMEX=0\"";
strcon = "Dsn=Excel Files;Provider=Microsoft.Jet.OLEDB.4.0;DBQ=ficheroinput.xls;"; 

//Abrimos la conexion
System.Data.Odbc.OdbcConnection conn;
conn = new System.Data.Odbc.OdbcConnection(strcon);
conn.Open();

//Nos vamos a interesar solamente los datos de las 2 primeras columnas y 3 filas de la hoja "Hoja1"
//Creamos la consulta y la mostramos por pantalla. 
//Se considera a la primera fila no vacía como la cabecera de las columna de datos
//por lo que hay que poner nombres a las columnas
System.Data.Odbc.OdbcCommand misel;
misel = conn.CreateCommand();
misel.CommandText = " Select * from [h$A1:B4];";
System.Data.Odbc.OdbcDataReader r = misel.ExecuteReader();

//Guardamos los datos en el fichero en formato htm
System.IO.StreamWriter writer = new System.IO.StreamWriter("output.html", false);
string lineaweb;
writer.WriteLine("<"+"html><"+"body><"+"table>");
try {    
    while (r.Read()) {
         lineaweb = "<"+"tr>";
         for (int i = 0; i < 7; i++) {
                 lineaweb = lineaweb + "<"+"td>" + notnull(r, i) + "";
         }              
         writer.WriteLine(lineaweb+"");
    }
    writer.WriteLine("");
}
catch {
     Console.WriteLine("error leyendo del fichero");
}
r.Close();
writer.Close();
misel.Dispose();
conn.Close();

La función notnull de fabricación casera es la siguiente:


string notnull(System.Data.Odbc.OdbcDataReader result,int columna) {
   string res;
   try {
      res = result.GetString(columna);
   }
   catch  {
      res = "";
   }
   return res;
}

AIX: error en alt_disk_install

noreply@blogger.com (Jose Fco. Hidalgo) — Tue, 20 Jan 2009 19:02:00 +0000

Algunos errores son como la sangre en una herida: son mas escandalosos que graves.
Por ejemplo tenemos este haciendo un rootvg alternativo:

[...]
Creating /alt_inst/var file system.
Generating a list of files 
for backup and restore into the alternate file system...
sort: 0653-657 Se ha producido un error de grabación al clasificar.
Backing-up the rootvg files and restoring them to the alternate file system...
/usr/bin/lslpp: No such file or directory
Modifying ODM on cloned disk.
0518-402 odmadd:  No se puede abrir la clase:  CuAt, línea de stanza: 2  /tmp/.fake_cuat
        Compruebe el nombre de vía de acceso y los permisos.
0518-402 odmadd:  No se puede abrir la clase:  CuDv, línea de stanza: 2  /tmp/.fake_cudv
        Compruebe el nombre de vía de acceso y los permisos.
0518-402 odmadd:  No se puede abrir la clase:  CuDvDr, línea de stanza: 2  /tmp/.fake_cudvdr
        Compruebe el nombre de vía de acceso y los permisos.
Un archivo o directorio en la vía de acceso no existe.
/usr/sbin/alt_disk_install[66]: /alt_inst/etc/filesystems.save: 0403-005 No se puede crear el archivo especificado.
cp: /alt_inst/etc/filesystems.save: Un archivo o directorio en la vía de acceso no existe.
Building boot image on cloned disk.
mv: 0653-401 No se puede renombrar /alt_inst/dev/hd5 a /alt_inst/dev/orig.hd5:
             Un archivo o directorio en la vía de acceso no existe.
mknod: /alt_inst/dev/hd5: Un archivo o directorio en la vía de acceso no existe.
mv: 0653-401 No se puede renombrar /alt_inst/dev/hdisk0 a /alt_inst/dev/orig.hdisk0:
             Un archivo o directorio en la vía de acceso no existe.
mv: 0653-401 No se puede renombrar /alt_inst/dev/rhdisk0 a /alt_inst/dev/orig.rhdisk0:
             Un archivo o directorio en la vía de acceso no existe.
mknod: /alt_inst/dev/hdisk0: Un archivo o directorio en la vía de acceso no existe.
mknod: /alt_inst/dev/rhdisk0: Un archivo o directorio en la vía de acceso no existe.
0518-506 odmget: No se puede abrir la clase de objeto CuAt
        Compruebe el nombre de vía de acceso y los permisos.
0518-506 odmget: No se puede abrir la clase de objeto CuAt
        Compruebe el nombre de vía de acceso y los permisos.
0518-506 odmget: No se puede abrir la clase de objeto CuAt
        Compruebe el nombre de vía de acceso y los permisos.
/usr/sbin/bosboot: No such file or directory
/usr/sbin/bosboot: No such file or directory
0505-120 alt_disk_install: Error running bosboot in the cloned
root volume group.
Cleaning up.
desmontaje forzado de /alt_inst/var
[...]

Diría uno que está corrupta la ODM o incluso que viene el apocalipsis. 
Yo solo tuve que ampliar el /var para que la larguísima lista de ficheros contenidos a la sazón en el rootvg cupiera para hacer el posterior sort, etc...

AIX/Linux: lsof

noreply@blogger.com (Jose Fco. Hidalgo) — Tue, 20 Jan 2009 18:35:00 +0000

El otro día hablé sobre tcpdump e introduje un poquito como usarlo para capturar tráfico. Ahora quiero ponerme en la situación del administrador que quiere saber qué proceso está generando el tráfico.

Para ello empleo "lsof" que viene para todo estos sistemas operativos en la revisión 4.78:


         AIX 5.[123]
         Apple Darwin 7.x and 8.x for Power Macintosh systems
         FreeBSD 4.x, 4.1x, 5.x and [67].x for x86-based systems
         FreeBSD 5.x and [67].x for Alpha, AMD64 and Sparc64-based systems
         HP-UX 11.00, 11.11 and 11.23
         Linux 2.1.72 and above for x86-based systems
         NetBSD 1.[456], 2.x and 3.x for Alpha, x86, and SPARC-based systems
         NEXTSTEP 3.[13] for NEXTSTEP architectures
         OpenBSD 2.[89] and 3.[0-9] for x86-based systems
         OPENSTEP 4.x
         SCO OpenServer Release 5.0.6 for x86-based systems
         SCO|Caldera UnixWare 7.1.4 for x86-based systems
         Solaris 2.6, 8, 9 and 10
         Tru64 UNIX 5.1

Seguro que ya habeis leído por ahí que en Unix todo son ficheros (incluído los directorios!). Pues este comando lo viene a poner de manifiesto porque nos muestra tanto ficheros abiertos, como dispositivos /dev, como conexiones de red y todo ello asociado al proceso que los posee.

Con este comando ya podemos contestar a las preguntas ¿ quién está generando tal o cual tráfico ? ¿ hay algún proceso oracle conectado al LDAP ? ¿ qué procesos están bloqueando el sistema de ficheros que quiero desmontar ? y muchas otras.

Aquí proporciono algunos ejemplos que hablan por sí solos.

Todos los procesos y objetos en uso por ellos


# lsof
COMMAND    PID      USER   FD      TYPE     DEVICE     SIZE       NODE NAME
init         1      root  cwd       DIR      253,0     4096          2 /
init         1      root  rtd       DIR      253,0     4096          2 /
init         1      root  txt       REG      253,0    38620     291774 /sbin/init

Casi no hace falta comentario porque la cabecera es suficientemente aclaratoria.

Muestra los procesos que utilizan algún objeto de /lib o directorios descendientes


# lsof +D /lib

Muestra los procesos con puertos TCP a la escucha sin resolución de nombres

# lsof -P | grep LISTEN
sshd      2395      root    3u     IPv6       6947                 TCP *:22 (LISTEN)
mysqld    2513     mysql   10u     IPv4       7086                 TCP *:3306 (LISTEN)
smbd      2579      root   20u     IPv4       7265                 TCP *:445 (LISTEN)
smbd      2579      root   21u     IPv4       7266                 TCP *:139 (LISTEN)

Objetos abiertos por el proceso init


# lsof -c init
COMMAND PID USER   FD   TYPE DEVICE    SIZE   NODE NAME
init      1 root  cwd    DIR  253,0    4096      2 /
init      1 root  rtd    DIR  253,0    4096      2 /
init      1 root  txt    REG  253,0   38620 291774 /sbin/init
init      1 root  mem    REG  253,0  125736 618768 /lib/ld-2.5.so
init      1 root  mem    REG  253,0 1602320 618769 /lib/libc-2.5.so
init      1 root  mem    REG  253,0   16428 618783 /lib/libdl-2.5.so
init      1 root  mem    REG  253,0  242880 618787 /lib/libsepol.so.1
init      1 root  mem    REG  253,0   93508 618788 /lib/libselinux.so.1
init      1 root   10u  FIFO   0,16           1286 /dev/initctl

Linux: carpeta pública con SAMBA

noreply@blogger.com (Jose Fco. Hidalgo) — Mon, 19 Jan 2009 18:30:00 +0000

La siguiente receta permite configurar una carpeta de acceso público sin necesidad de usar usuario y contraseña (que no será solicitada).

En principio es para la versión 3.0.28 de Samba que en CentOS 5.2 está constituida por los paquetes:
samba-common-3.0.28-1.el5_2.1
samba-client-3.0.28-1.el5_2.1
samba-3.0.28-1.el5_2.1

El siguiente es el contenido ejemplo de un fichero que permite que un recurso compartido llamado "publica" y localizado en "/home/publica" sea de acceso libre sin usuario y contraseña:
[global]
workgroup = WORKGROUP
server string = Samba Server
log file = /var/log/samba/%m.log
max log size = 0
security = share
usershare allow guests = yes
browseable = yes
[publica]
path = /home/publica
writeable = no
guest ok = yes

En este caso, además la carpeta es de sólo lectura. Como complemento a esta configuración es necesario que el fichero /etc/samba/smb.conf contenga un mapeo para el usuario "guest" a un usuario local con permisos de ejecución y lectura para las carpetas y lectura para los ficheros. Por ejemplo, el fichero que viene por defecto:

# Unix_name = SMB_name1 SMB_name2 ...
root = administrator admin
nobody = guest pcguest smbguest

El resultado de la configuración de smb.conf lo puedes comprobar con "testparm":

$testparm
Load smb config files from /etc/samba/smb.conf
Processing section "[publica]"
Loaded services file OK.Server role: ROLE_STANDALONE
Press enter to see a dump of your service definitions
[global]
server string = Samba Server
security = SHARE
log file = /var/log/samba/%m.log
max log size = 0
usershare allow guests = Yes
[publica]
path = /home/publica
guest ok = Yes

Observa que hay opciones que desaparecen con el comando anterior. El motivo puede ser que esté mal escrita o no soportada y es ignorada, o que coincide con el valor por defecto de la propiedad. Una forma interesante de comprobar ambas cosas y sobre todo ver las opciones de configuración sobre las que debemos actuar es "testparm -v".

Un último obstáculo puede ser tener SElinux activado. Se manifiesta en que no puedes publicar directorios de creación reciente y si el /tmp o el /home. Antes de volverte loco con la configuración de SAMBA deshabilita SElinux para probar el acceso a la carpeta.